Verisure sanctionné 400 000 € en Italie : un numéro donné pour un devis ne vaut pas consentement marketing

Le Garante, l'autorité italienne de protection des données, a infligé une amende de 400 000 euros à Verisure Italia pour traitement illicite de données à des fins de marketing direct. Au cœur de la décision : l'idée qu'un numéro de téléphone communiqué pour obtenir un devis ne vaut pas consentement à être démarché. Une jurisprudence qui concerne directement toute organisation qui prospecte.

Ce qui s'est passé

Spécialiste des systèmes d'alarme télésurveillés, Verisure Italia a été sanctionnée fin 2025 à hauteur de 400 000 euros par le Garante. L'enquête a démarré sur la base de plaintes : un ancien client continuait de recevoir des SMS promotionnels alors qu'il s'était opposé au traitement de ses données ; un prospect, lui, s'est mis à recevoir appels, emails et SMS publicitaires après avoir simplement demandé un devis personnalisé.

Le Garante a relevé des manquements « nombreux et graves ». Verisure traitait la demande de devis comme une porte d'entrée marketing : le simple fait de communiquer son numéro pour obtenir une offre était assimilé à un consentement à recevoir de la publicité téléphonique. L'autorité a également pointé un consentement recueilli de façon incorrecte auprès des prospects et une prise en compte tardive des demandes d'opposition. Au-delà de l'amende, le Garante a interdit la poursuite du traitement des données acquises illicitement, ordonné l'effacement des données collectées sans consentement valable, exigé la mise en conformité de la politique de confidentialité et imposé à l'entreprise de rendre compte des mesures correctives sous soixante jours.

Pourquoi c'est important

La décision rappelle deux fondamentaux que beaucoup d'entreprises continuent de négliger. D'abord, la qualité du consentement : pour être valable, il doit être libre, spécifique, éclairé et univoque. Or noyer une case marketing dans un formulaire de devis revient à coupler deux finalités distinctes — obtenir une offre et accepter d'être démarché — ce qui prive le consentement de son caractère « libre » au sens de l'article 7 du RGPD. Le « consentement groupé » est précisément ce que le règlement interdit.

Ensuite, le droit d'opposition. En matière de prospection, ce droit est absolu : la personne peut s'y opposer à tout moment, sans avoir à se justifier, et l'organisation doit cesser immédiatement. Continuer d'envoyer des SMS après une opposition, comme l'a fait Verisure, transforme un simple manquement procédural en violation caractérisée. Cette lecture est parfaitement alignée avec la position française : la CNIL a récemment reprécisé la frontière entre opt-in et opt-out en prospection électronique, en insistant sur la traçabilité du consentement et la charge de la preuve, qui pèse sur le responsable de traitement.

Ce que ça change pour les organisations

Pour les DPO et les équipes marketing, l'affaire Verisure est une checklist en creux. Trois réflexes s'imposent :

• Découpler le devis du marketing. La collecte de coordonnées pour répondre à une demande commerciale ne doit jamais embarquer, par défaut, un accord publicitaire. Une case dédiée, décochée, distincte de la demande de devis, est indispensable. Le cadre de la prospection commerciale doit être documenté finalité par finalité.
• Industrialiser le traitement des oppositions. Une demande d'opposition doit déclencher une suppression effective et rapide des coordonnées dans tous les canaux (CRM, routeur d'emails, plateforme SMS). Un délai ou un canal oublié suffit à reconstituer le manquement.
• Tenir la preuve. Pour chaque contact démarché, l'organisation doit pouvoir produire l'origine et la date du consentement, ou la base légale invoquée — y compris en prospection BtoB, qui n'échappe pas aux exigences du RGPD.

Ce que Leto pense de cette décision

L'affaire Verisure n'a rien d'exotique : c'est un schéma que l'on retrouve dans une majorité de tunnels de conversion. La leçon est moins juridique qu'opérationnelle. Le risque ne naît pas d'une stratégie marketing agressive assumée, mais de micro-négligences accumulées — une case pré-cochée, un export CRM mal nettoyé, une désinscription qui met trois semaines à se propager. À 400 000 euros, le Garante envoie un signal clair : en prospection, la facilité de collecte ne justifie jamais le raccourci sur le consentement. Mieux vaut un fichier plus petit mais propre qu'une base volumineuse qu'on ne peut pas défendre.

Sources : European Data Protection Board — Italian SA fines Verisure Italia ; DataGuidance — Garante fines Verisure €400,000 ; MLex — Verisure fined €400,000 in Italy.