La Commission nationale de l’informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TURK ;

Etant aussi présents M. Guy ROSIER, vice-président délégué, M. François GIQUEL, vice-président, M. Hubert BOUCHET et M. Bernard PEYRAT, membres ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;

Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu le rapport de M. Jean-Marie COTTERET, commissaire rapporteur, notifié par huissier à la société X le 18 janvier 2008 ;

Après avoir entendu, lors de la réunion du 21 février 2008, M. Jean-Marie COTTERET, commissaire, en son rapport et Mme Catherine POZZO DI BORGO, commissaire adjointe du Gouvernement, en ses observations ;

Constate les faits suivants :

1. La Commission nationale de l’informatique et des libertés (ci-après CNIL ) a été sollicitée, le 12 décembre 2006, par les services de la direction départementale de la concurrence, de la consommation et de la répression des fraudes (DDCCRF) de Châteauroux qui ont appelé son attention sur le site internet […], spécialisé dans la vente de mobiliers.

Lors des vérifications menées par les services de la DDCCRF, il a été constaté que le site internet permettait l’accès, via la rubrique suivi de votre commande , à la liste nominative des commandes accompagnée de commentaires sur leur état de fabrication et leur règlement par le client concerné.

La CNIL a rappelé à la société X, par un courrier du 30 janvier 2007, que l’article 34 de la loi du 6 janvier 1978 modifiée le 6 août 2004 dispose que : le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .

La société X n’a toutefois apporté aucune suite aux demandes de la Commission, réitérées dans ses courriers des 5 mars et 11 avril 2007.

2. Ces faits n’étaient pas conformes aux dispositions de l’article 34 de la loi informatique et libertés car la société X n’a pas veillé à la confidentialité des informations contenues sur son site Internet.

Ils étaient également contraires à l’article 21 alinéa 2 de la loi du 6 janvier 1978 modifiée qui dispose que : Les ministres, autorités publiques, dirigeants d’entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s’opposer à l’action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche. En effet, la société X n’a apporté aucune réponse aux courriers de la CNIL des 30 janvier, 5 mars et 11 avril 2007.

En outre, la société X n’avait pas déclaré à la CNIL les traitements mis en œuvre, et notamment son fichier de gestion des clients et prospects, contrairement aux dispositions du chapitre IV de la loi précitée.

En conséquence, par délibération n° 2007-135 du 14 juin 2007, la Commission a mis en demeure la société X, sise […] sous dix jours à compter de la notification de la délibération, de :

– procéder à l’accomplissement des formalités préalables auprès de la CNIL pour tout traitement automatisé de données à caractère personnel mis en œuvre ;

– empêcher l’accès, sur le site Internet, aux données à caractère personnel relatives aux commandes ;

– indiquer à la CNIL les raisons pour lesquelles les données précitées ont pu être rendues librement accessibles sur Internet ainsi que les mesures correctives adoptées afin qu’un tel manquement ne se reproduise pas ;

– justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.

L’accusé de réception postale atteste que la mise en demeure a bien été remise à la société X, le 10 août 2007. Aucune réponse n’ayant été adressée à la CNIL, il a été décidé d’engager une procédure de sanction.

3. Le 18 janvier 2008, un rapport de sanction a donc été notifié par huissier à la société X, en vue de la formation restreinte du 21 février 2008. Ce rapport faisait état des différents manquements constatés à la loi informatique et libertés , qui n’ont pas été régularisés, à savoir ceux relatifs à l’obligation de sécurité et de confidentialité des données traitées, à l’obligation de procéder aux formalités préalables avant la mise en œuvre de traitements et à l’obligation de répondre aux demandes de la CNIL. Le rapporteur a également considéré que l’absence de réponse de la société X à la mise en demeure de la CNIL du 14 juin 2007 ainsi qu’à ses courriers des 30 janvier 2007, 5 mars 2007 et 11 avril 2007 était de nature à caractériser sa mauvaise foi.

La société X n’a pas souhaité apporter d’observations écrites en réponse à ce rapport ni se présenter à l’audience du 21 février 2008, comme le lui permettent les articles 75 et 76 du décret n° 2005-1309 du 20 octobre 2005.

4. Au regard de l’ensemble de ce qui précède, la Commission considère que la société X n’a pas mis fin aux manquements constatés dans la mise en demeure du 14 juin 2007.

La Commission retient également la mauvaise foi à l’encontre de la société X.

En conséquence, la Commission décide :

– de faire application des dispositions des articles 45 et suivants de la loi du 6 janvier 1978 modifiée et de prononcer à l’encontre de la société X, sise […] compte tenu de la gravité des manquements constatés, une sanction pécuniaire de 5.000 euros (cinq mille euros), qui sera rendue publique ;

– décide également, compte tenu de la mauvaise foi de la société X, de la publication de la présente décision, sous la forme d’un extrait tel qu’il figure en annexe à la présente délibération, dans le quotidien La Nouvelle République du Centre Ouest. La publication s’effectuera dans un délai de trente jours à compter du jour où la présente délibération sera devenue définitive et devra être notifiée par la société X à la CNIL. Les frais seront supportés par la société X.

Le Président

Alex TURK