La formation restreinte de la Commission nationale de l’informatique et des libertés, réunie sous la présidence de Mme Claire DAVAL ;

Etant aussi présents MM. Jean-Marie COTTERET, Claude DOMEIZEL et Sébastien HUYGHE, membres ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment ses articles 45 et 46 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;

Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la délibération n° 2008-158 du 29 mai 2008 portant mise en demeure à l’encontre de l’association X ;

Vu le rapport de M. Philippe GOSSELIN, commissaire rapporteur, notifié par huissier à la l’association X, le 1er juin 2011 ;

Vu les autres pièces du dossier ;

Après avoir entendu, lors de sa séance du 12 juillet 2011 :

– M. Philippe GOSSELIN, commissaire, en son rapport ; – Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;

M. A, président de l’association, éditeur du site litigieux, n’ayant pas réagi à la notification par huissier du rapport, le 1er juin 2011, et ne s’étant pas présenté à l’audience en dépit d’une notification d’avis d’audience par huissier, le 6 juillet 2011 ;

I. FAITS ET PROCEDURE

L’association X (ci-après « l’association »), qui indique œuvrer en faveur de la numérisation à la source des décisions de jurisprudence rendues par les juridictions françaises, met en ligne une banque de données de décisions de jurisprudence, accessible à l’adresse […].

La Commission nationale de l’informatique et des libertés (ci-après la « Commission » ou la « CNIL ») a été saisie de plusieurs plaintes par des personnes concernées par des décisions de jurisprudence diffusées sur ce site internet. L’instruction de ces plaintes a révélé que le président de l’association mise en cause n’avait pas répondu aux demandes formées par ces personnes afin que soit respecté leur droit d’opposition à figurer dans ce traitement, et que cette diffusion leur causait, ou était susceptible de leur causer de graves préjudices.

En l’absence de réponse de l’association aux demandes de la CNIL, et au vu de ce qui précède, la Commission a mis l’association en demeure, le 29 mai 2008, de procéder à l’anonymisation des décisions de justice litigieuses, de l’informer des raisons pour lesquelles l’association n’avait pas répondu aux divers courriers qui lui avaient été adressés, de lui communiquer l’intégralité des procédures mises en œuvre afin de respecter les droits des personnes garantis par la loi du 6 janvier 1978 modifiée, et de justifier du respect de l’ensemble des demandes précitées dans le délai imparti de deux mois.

L’association X n’a répondu à cette mise en demeure que le 21 mars 2009, après plusieurs relances infructueuses. Dans son courrier de réponse, l’association indiquait avoir pris un certain nombre de mesures visant à réduire l’occurrence de mentions nominatives désignant les parties dans les décisions produites, à réduire l’impact d’une éventuelle omission involontaire sur une personne concernée et à garantir un droit de suppression effectif. Toutefois, la Commission a constaté que, malgré ses dires, des décisions nominatives signalées par des plaignants restaient accessibles sur le site […].

Sur la foi de ces constats, et au vu de la gravité des faits relatés dans les plaintes susmentionnées, le Président de la Commission a décidé d’initier des poursuites à l’encontre de l’association sur le fondement du I de l’article 45 de la loi du 6 janvier 1978.

Dans le cadre de cette procédure, le rapport de Monsieur Philippe GOSSELIN, membre de la CNIL, rapporteur, proposant à la formation restreinte de la Commission de prononcer à l’encontre de l’association une sanction pécuniaire de 4000 euros et d’enjoindre à cette association de cesser le traitement en cause, a été notifié par huissier à son président le 1er juin 2011. L’association n’a formulé aucune observation écrite à la réception de ce rapport.

Un courrier de convocation à la séance de la formation restreinte du 12 juillet a été notifié par huissier au président de l’association, le 6 juillet 2001, l’informant de l’inscription de son dossier à l’ordre du jour. Ce dernier n’a pas réagi à ce courrier et ne s’est pas présenté le jour de l’audience.

II. MOTIFS DE LA DECISION

– Sur le manquement de l’association X à l’obligation de respecter le droit d’opposition des personnes

La formation restreinte rappelle, au préalable, que la Commission a adopté une importante recommandation sur la diffusion de données personnelles sur Internet par les banques de données de jurisprudence le 29 novembre 2001.

Afin de concilier le caractère public d’une décision de justice et donc sa libre accessibilité sur Internet et le droit à l’oubli, la CNIL y préconisait que le nom et l’adresse des personnes ayant été parties à un procès soient anonymisés. Cette réflexion était guidée par la volonté de prévenir que des bases de jurisprudence se transforment en véritables fichiers de renseignements sur les personnes citées dans des décisions de justice, notamment par l’utilisation des moteurs de recherche. Sensibles à ces préoccupations, les plus grands organismes éditeurs de jurisprudence, notamment le site Internet Légifrance, service public de la diffusion du droit par l’internet, ont mis en œuvre ces préconisations, en anonymisant les décisions mises en ligne.

De manière corollaire, cette même recommandation rappelle que l’absence d’occultation du nom des parties ou témoins sur les décisions de justice implique de respecter les dispositions de la loi du 6 janvier 1978 modifiée relatives aux droits des personnes, et tout particulièrement celles relatives au droit reconnu à toute personne de s’opposer, pour des raisons légitimes, à ce que des informations nominatives la concernant fassent l’objet d’un traitement.

Les faits de l’affaire illustrent avec netteté la pertinence et l’actualité de ces développements. En effet, les différentes plaintes parvenues à la CNIL dans cette affaire démontrent l’impact réel, parfois dramatique, de la diffusion de décisions nominatives sur le site litigieux sur les vies personnelles et professionnelles des personnes concernées.

L’association X a indiqué vouloir accéder aux demandes de la CNIL dans ces dossiers, allant jusqu’à soutenir qu’elle considérait les demandes visant à la suppression des données nominatives comme légitimes, urgentes, et qu’à ce titre elle les traitait avec diligence. Elle a également indiqué avoir mis en œuvre un certain nombre de mesures afin de faire droit aux demandes visant à la suppression de mentions nominatives dans les décisions de justice accessibles sur son site internet.

Cependant, malgré ces dires, la Commission a constaté que des décisions comportant les noms de personnes identifiées étaient toujours diffusées sur le site à cette date ; elle a, en outre, continué de recevoir des plaintes montrant que les systèmes prétendument mis en place étaient inefficaces, ou à tout le moins insuffisants.

Dans ces conditions, la formation restreinte constate que l’association a manqué à son obligation de respecter le droit d’opposition formulé par les différents plaignants, tel que garanti par l’article 38 de la loi du 6 janvier 1978 modifiée, contredisant ainsi les termes de la mise en demeure lui ayant été adressée le 29 mai 2008.

– Sur l’absence de réponse aux demandes de la CNIL

Il est établi, en outre, que l’association n’a fait preuve d’aucune diligence pour répondre aux demandes formulées par la CNIL, qu’il s’agisse de l’instruction des plaintes reçues de personnes souhaitant exercer leur droit d’opposition ou de demandes générales formulées par la Commission, laissant nombre de courriers de la Commission sans réponse.

La formation restreinte relève à cet égard qu’il a fallu trois notifications et un délai de huit mois pour que la CNIL obtienne une réponse à sa mise en demeure du 29 mai 2008 – réponse qui, au demeurant, ne s’est pas avérée satisfaisante.

De plus, il est établi que l’association ne s’est jamais manifestée après avoir reçu la demande complémentaire adressée par la CNIL le 23 novembre 2009, ni après sa relance par voie recommandée du 27 janvier 2010, revenue NPAI.

Enfin, les trois tentatives d’audition sur convocation se sont révélées infructueuses, les convocations ayant été retournées à la CNIL avec les mentions « non réclamé » ou « boîte non identifiable ».

Or l’adresse à laquelle ces courriers ont été adressés est bel et bien correcte, puisque l’en-tête du courrier finalement adressé par l’association à la CNIL, le 21 mars 2009, comportait l’adresse à laquelle tous ont été adressés, antérieurement ou postérieurement.

En outre, malgré tous les efforts faits par la CNIL pour obtenir des compléments d’information et des éléments lui permettant d’apprécier les réponses fournies par l’association X dans sa lettre du 21 mars, lesquelles étaient contredites par les plaintes qui parvenaient régulièrement à la CNIL, toutes ces demandes sont restées lettre morte.

La formation restreinte estime, dans ces conditions, que l’association a agi volontairement de manière à ne pas se soumettre aux demandes de la CNIL. Ce faisant, elle a violé les dispositions de l’article 21 de la loi susvisée, qui met à la charge des responsables de traitement l’obligation de ne pas s’opposer à l’action de la commission ou de ses membres et, au contraire, de prendre toutes mesures utiles afin de faciliter sa tâche. Ce faisant, l’association n’a pas respecté les termes de la mise en demeure sur ce point.

Sur les manquements constatés et la publicité de la décision

La formation restreinte estime, au vu de ce qui précède, que l’association X s’est rendue responsable de graves violations aux dispositions des articles 38 et 21 de la loi du 6 janvier 1978 modifiée, et que sa mauvaise foi est caractérisée et qu’en conséquence, il y a lieu de prononcer une sanction pécuniaire.

En outre, elle considère que les atteintes subies par les personnes concernées par les décisions diffusées nominativement par le site X se sont révélées d’une gravité telle qu’elle justifie que soit prononcée une injonction de cesser le traitement mis en cause.

Enfin, la formation restreinte, eu égard à la nature et à la gravité des manquements commis, estime nécessaire que les personnes soient informées des droits leur étant accordés par la loi quant à la protection de leurs données à caractère personnel, et que les responsables de traitement soient mis en mesure de connaître les règles qui s’imposent à eux. De ce fait, elle décide de rendre publique sa délibération.

PAR CES MOTIFS

Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré :

– prononce une sanction pécuniaire de 10.000 euros (dix mille euros) à l’encontre de l’association X ;

– enjoint à cette association de cesser la mise en œuvre du traitement litigieux ;

– ordonne la publication de sa décision sur le site internet de la Commission ainsi que son insertion aux frais de l’association dans les journaux suivants : le Figaro, le Monde, la Provence.

Paris, le 30 août 2011

La Présidente,

Claire DAVAL