Mesleki İletişim Bilgileri ve İtiraz Hakkı

CNILTEXT000028711042

CNIL texte/cnil/CNIL/TEXT/00/00/28/71/10/CNILTEXT000028711042.xml DELIBERATION

Délibération 2014-041 du 29 janvier 2014 Délibération de la formation restreinte n°2014-041 du 29 janvier 2014 prononçant une sanction pécuniaire à l’encontre de l’Association X 2014-041

Sanction 2014-01-29

2014-03-11 VIGUEUR

La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ;

Etant aussi présents M. Jean-François CARREZ, M. Claude DOMEIZEL, Mme Marie-Hélène MITJAVILE et M. Dominique RICHARD, membres ;

Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;

Vu la décision n° 2010-234C du 26 novembre 2010 de la Présidente de la Commission nationale de l'informatique et des libertés ordonnant une mission de vérification auprès de l'association X, sise 134, avenue de Versailles, à PARIS ;

Vu la délibération n° 2011-013 du 18 janvier 2011 de la formation restreinte de la Commission nationale de l'informatique et des libertés adressant une mise en demeure à l'encontre de l'association X ;

Vu la décision n°2012-035 du 16 octobre 2012 de la Présidente de la Commission clôturant la délibération n°2011-013 et adressant une mise en demeure à l'association Y ;

Vu la décision n° 2013-052 du 27 novembre 2013 de la Présidente de la Commission mettant en demeure l'association X ;

Vu la décision 13 décembre 2013 de la Présidente de la Commission décidant de désigner M. Bernard PEYRAT en qualité de rapporteur sur le fondement de l'article 45 de la loi n°78-17 du 6 janvier 1978 modifiée ;

Vu le rapport de M. Bernard PEYRAT, commissaire rapporteur, notifié par huissier à l'association, le 17 décembre 2013 ;

Vu les autres pièces du dossier ;

Ayant entendu, lors de la séance de la formation restreinte du 23 janvier 2014 : - M. Bernard PEYRAT, commissaire, en son rapport ; - Mme Catherine POZZO DI BORGO, commissaire du Gouvernement adjoint, en ses observations ; - Les représentants de l'association X;

A adopté la décision dont la teneur suit :

I. FAITS ET PROCEDURE

La Commission nationale de l'informatique et des libertés (ci-après la CNIL ou la Commission) a été saisie de plusieurs plaintes concernant la diffusion des coordonnées professionnelles des plaignants sur le site Internet [...]. Ce site appartient à l'association X, qui propose divers services de conseil juridique et permet, entre autres, d'accéder à des annuaires de professionnels du droit (avocats, huissiers de justice, notaires, ect.).

Les plaintes parvenues à la Commission émanent de professionnels du droit (avocats, experts judiciaires) qui ne parviennent pas à obtenir l'effacement des données les concernant dans l'annuaire en ligne du site Internet [...], malgré plusieurs demandes et relances adressées à l'association en ce sens.

L'association n'ayant pas répondu de manière satisfaisante aux demandes de suppression des données concernant les plaignants dans ses bases, la Commission a procédé à une mission de contrôle dans ses locaux au [...], le 29 novembre 2010. Lors de ce contrôle, le représentant de l'association a indiqué que les données figurant dans l'annuaire disponible sur son site étaient conservées sans limitation de durée et qu'il refusait de les supprimer, lorsqu'il était saisi d'une demande en ce sens, tant que le professionnel concerné restait en activité.

Compte tenu de son refus de donner une suite favorable aux demandes des plaignants, l'association X a été mise en demeure par la formation restreinte de la Commission, le 28 janvier 2011, de prendre toute mesure de nature à garantir qu'il soit tenu compte, de manière efficace et systématique, du droit d'opposition exercé par toute personne concernée et, en particulier, faire droit aux demandes d'opposition de Madame XXXX et Monsieur YYYY.

Par une décision du 26 octobre 2012, la Présidente de la Commission de nouveau adressé une mise en demeure à l'encontre du responsable du site, dans les mêmes termes que ceux employés dans la délibération du 28 janvier 2011, dont elle a par ailleurs prononcé la clôture. Cette nouvelle mise en demeure a été adressée à l'association Y et non plus à l'association X, sous le nom de laquelle elle ne se présentait plus.

Suite à cette mise en demeure, plus d'une trentaine de nouvelles plaintes sont parvenues à la Commission.

Par courrier en date du 16 novembre 2013, le président de l'association a informé la Commission que le site litigieux appartenait exclusivement à l'association X, laquelle en assure la gestion.

Par décision n° 2013-052 en date du 27 novembre 2013, la Présidente de la CNIL a alors de nouveau mis cette association en demeure de faire droit aux demandes des plaignants, et plus généralement de toute personne ne souhaitant pas figurer sur le site Internet [...].

Répondant favorablement à une demande formée par le conseil de l'association le 6 décembre 2013, la Présidente a accepté de proroger de deux jours le délai imparti dans la mise en demeure afin de lui permettre l'association de prendre connaissance de la liste exhaustive des plaignants concernés, adressée par courrier en date du 11 décembre 2013.

Ayant constaté, à l'issue de ce délai, que les données relatives à l'ensemble des plaignants figuraient toujours sur le site géré par l'association, et que l'attitude de celle-ci rendait manifeste sa volonté de faire obstacle au bon déroulement de la procédure, la Présidente a décidé de désigner un rapporteur, le 13 décembre 2013, afin d'initier à son encontre une procédure de sanction sur le fondement l'article 45-I de la loi du 6 janvier 1978 modifiée. A l'issue de son instruction, considérant que la société avait manqué à l'obligation lui incombant de respecter les droits garantis aux plaignants par l'article 38 de la loi du 6 janvier 1978 modifiée, le rapporteur a établi un rapport demandant à la formation restreinte de la Commission de prononcer une sanction pécuniaire à son encontre. Le rapport a été notifié à la société par huissier, le 17 décembre 2013.

La société n'a adressé aucune observation à la Commission ni au rapporteur en vue de la séance de la formation restreinte. Ses représentants se sont en revanche présentés à la séance de la formation restreinte du jeudi 23 janvier 2014, durant laquelle ils ont présenté leurs observations orales.

II. MOTIFS DE LA DECISION

1. Sur le manquement à l'obligation de respecter le droit d'opposition des personnes

La Présidente de la Commission a mis en demeure de respecter les dispositions de l'article 38 de la loi n°78-17 du 6 janvier 1978 modifiée, qui disposent que : toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement ; elle a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur.

Il n'est pas contesté que l'ensemble des coordonnées des personnes à l'origine des plaintes visées dans la présente procédure étaient toujours en ligne au jour de l'audience, et en tout état de cause au jour de l'expiration de la mise en demeure en date du 27 novembre 2013.

Pour autant, l'association soutient en défense qu'elle souhaite être en conformité à la loi du 6 janvier 1978 modifiée et ne s'oppose pas aux demandes de la Commission par principe.

Elle soutient qu'elle cherche uniquement à faire valoir un point de droit quant à la faculté de réutilisation de données professionnelles issues de registres publics, et conteste par ailleurs traiter des données à caractère personnel au sens de la loi.

Elle soutient, d'autre part, qu'elle a elle-même fait preuve de patience envers la CNIL depuis 2008, dès lors qu'elle aurait demandé que lui soit communiqué l'ensemble des courriers lui ayant été adressés depuis cette date, ce que, selon elle, la Commission n'aurait jamais fait malgré plusieurs demandes en ce sens.

Sur ce, la formation restreinte considère ce qui suit.

Elle constate, au préalable, que les services de la Commission ont bien adressé copie de l'ensemble des documents requis par l'association, dont ils avaient par ailleurs la preuve qu'ils avaient bien été préalablement notifiés et reçus par leur destinataire, que ce soit par lettres recommandées avec accusé de réception ou par huissier.

Elle constate également que l'association n'a jamais accordé de réponse favorable aux multiples demandes formées dans les mises en demeure adoptées aux fins permettre aux plaignants d'obtenir l'effacement des données les concernant sur le site litigieux, et ce, concernant certains d'entre eux, depuis plus de cinq ans.

Elle relève qu'il est inopérant, à cet égard, de soutenir que les données relatives aux professionnels du droit à l'origine des plaintes susmentionnées ne constituent pas des données à caractère personnel.

En effet, l'article 2 alinéa 2 de la loi du 6 janvier 1978 modifiée prévoit que :

Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne.

La formation restreinte constate que ces dispositions ne distinguent pas selon que les données désignent une personne physique dans ses activités personnelles ou professionnelles.

Tel est également le cas du groupe de travail des autorités européennes de protection des données, dit groupe de l'article 29, qui relève ce même point dans son avis de référence 4/2007 sur le concept de donnée à caractère personnel, en date du 20 juin 2007.   Cette interprétation s'impose également au regard de la jurisprudence de la Cour de justice des communautés européennes, qui a jugé que : L'opération consistant à faire référence, sur une page Internet, à diverses personnes et à les identifier soit par leur nom, soit par d'autres moyens, par exemple leur numéro de téléphone ou des informations relatives à leurs conditions de travail et à leurs passe-temps, constitue un "traitement de données à caractère personnel, automatisé en tout ou en partie," au sens de l'article 3, paragraphe 1, de la directive 95/46 /CE (CJCE, 6 novembre 2003, Lindqvist, req. C-101/2001).

Au vu de ce qui précède, il est certain que les noms, qualités et coordonnées de professionnels constituent des données à caractère personnel au sens de la loi, y compris, comme en l'espèce, des professionnels du droit dont les coordonnées sont publiquement disponibles.

En outre, le fait que les données des plaignants soient librement accessibles sur Internet ne fait pas obstacle à leur droit d'obtenir leur rectification ou leur effacement, conformément à l'article 38 de la loi. Ce droit demeure applicable quelles que soient la nature de ces sources - lesquelles n'ont, en tout état de cause, pas pu être clairement déterminées en l'espèce.

La formation restreinte relève, par ailleurs, que les plaignants font valoir à l'appui de leurs demandes d'opposition plusieurs motifs.

Il soutiennent ainsi, en premier lieu, qu'il leur est interdit de faire de la publicité dans le cadre de leurs activités de professionnels du droit, sous peine de sanctions disciplinaires pouvant aller jusqu'à la radiation. Or, la diffusion de leurs coordonnées sur le site peut les placer en contradiction apparente à cette obligation.

En second lieu, ils invoquent également une atteinte à leur réputation en raison du remplacement de leurs coordonnées téléphoniques réelles par des numéros surtaxés, qui ne permettent en outre pas de les joindre.

De tels motifs doivent être considérés comme légitimes au sens de l'article 38 de la loi du 6 janvier 1978 modifiée.

L'association ne pouvait donc valablement chercher à se soustraire à l'application de cet article et était tenue de faire droit aux demandes des plaignants.

Elle n'a donc pas respecté les termes de la mise en demeure sur ce point.

2. Sur les manquements constatés et la publicité de la décision

L'association X n'a pas respecté les termes de la mise en demeure de la Présidente de la Commission en date du 27 novembre 2013 et ne s'est pas mise en mesure de respecter les dispositions de l'article 38 de la loi n°78-17 du 6 janvier 1978 modifiée.

La formation restreinte décide par conséquent de prononcer à son encontre une sanction pécuniaire de 10 000 € (dix mille euros).

En outre, la formation restreinte décide de rendre cette décision publique.

PAR CES MOTIFS

Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide :

- De prononcer une sanction pécuniaire de 10.000 euros (dix mille euros) à l'encontre de l'association X ; - De rendre publique sa décision.

La Présidente

Claire DAVAL

Cette décision est susceptible de faire l'objet d'un recours devant le Conseil d'Etat dans un délai de deux mois à compter de sa notification.