La Commission nationale de l’informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TURK ;

Etant aussi présents, M. Guy ROSIER, vice-président délégué, M. François GIQUEL, vice-président, Mlle Anne DEBET, membre, M. Bernard PEYRAT, membre et M. Hubert BOUCHET, membre ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;

Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la délibération n° 2008-064 du 6 mars 2008 de la Commission nationale de l’informatique et des libertés mettant en demeure la société Y, notifiée le 31 mars 2008 ;

Vu la plainte n° 07021505 ;

Vu le rapport de M. de GIVRY, commissaire rapporteur, notifié par huissier à la société X le 9 mai 2008 ;

Vu les autres pièces du dossier ;

Après avoir entendu, lors de la réunion du 12 juin 2008 :

· M. Emmanuel de GIVRY, commissaire, en son rapport ; · Mme Catherine POZZO di BORGO, commissaire adjoint du Gouvernement, en ses observations ; · M.M ; · M. A ; · Maître G., avocat de la société X.

Maître G. ayant pris la parole en dernier ;

I. FAITS ET PROCEDURE

· Faits

1. Mlle B, abonnée de la société Y (ci-après la société ), a souhaité exercer son droit d’accès auprès de ce fournisseur d’accès à internet, à plusieurs reprises.

La plaignante a demandé une première fois par courriel du 29 juillet 2007 que ses données à caractère personnel figurant dans les traitements mis en œuvre par la société Y, lui soient transmises.

Le 31 juillet 2007, la société Y a d’abord expliqué ne pas être en mesure de lui communiquer ces informations pour des raisons de confidentialité et de sécurité.

La requérante continuant à faire valoir son droit d’accès dans ses courriels des 3 et 5 août 2007, la société Y a finalement expliqué pouvoir lui communiquer par téléphone ses données à caractère personnel, en appelant un numéro surtaxé, ce que la requérante a refusé de faire. Elle a par ailleurs signalé, le 5 août 2007, sa décision de saisir la Commission Nationale de l’Informatique et des Libertés (ci-après CNIL ).

Melle B a par la suite reçu un courrier papier en date du 15 août 2007 dans lequel la société Y lui a délivré les informations qu’elle leur avait transmis lors de son abonnement, à savoir ses nom, prénom, adresse, numéro de carte bancaire et date de l’ouverture de son compte auprès de la société Y.

Mlle B a alors relevé par courriel en date du 18 août 2007 qu’il ne s’agissait pas d’une copie de l’intégralité de ses données à caractère personnel. Elle a précisé que les informations étaient erronées et incomplètes, dans la mesure où rien ne lui avait été communiqué sur ses facturations, ses paiements, ses communications et relations avec le service clientèle de la société.

N’ayant pas obtenu de réponses précises répondant à ses attentes de la part de la société Y, Mlle B a saisi la CNIL le 16 août 2007.

Dans un courrier du 26 septembre 2007, la CNIL a demandé à la société Y de faire parvenir à la requérante une copie de l’ensemble des données la concernant, conformément à l’article 39 de la loi du 6 janvier 1978 modifiée.

La société Y n’a apporté aucune suite à la demande de la Commission, réitérée dans ses courriers des 6 novembre et 18 décembre 2007.

· Procédure

2. En conséquence, par délibération n° 2008-064 du 6 mars 2008, la formation restreinte de la Commission a mis en demeure la société Y, sous un délai d’un mois à compter de la notification de la décision (le 31 mars 2008) de :

· adresser à Melle B la copie de l’intégralité des documents contenant des données à caractère personnel la concernant figurant dans le ou les fichiers de la société, conformément aux demandes formulées par la CNIL dans ses courriers ;

· informer la Commission sur les raisons pour lesquelles la demande de Melle B d’exercer son droit d’accès n’a pas été prise en compte ainsi que celles pour lesquelles aucune réponse n’a été apportée aux courriers adressés par la CNIL ;

· communiquer à la CNIL l’intégralité des procédures mises en œuvre au sein de la société Y visant à respecter les dispositions des articles 32 (droit à l’information), 38 (droit d’opposition), 39 (droit d’accès) et 40 (droit de rectification) de la loi du 6 janvier 1978 ;

· justifier auprès de la CNIL que l’ensemble des demandes précitées ont bien été respectées, et ce dans le délai imparti.

3. En réponse à la mise en demeure, la société X a adressé, le 1er avril 2008, à la CNIL un courrier à l’en-tête […] , la société X ayant absorbé entre temps la société Y, lui communiquant copie d’une lettre adressée à Mme B mais n’apportant aucune réponse sur les autres points de la mise en demeure.

4. Sur la base de ces faits, une proposition de sanction pécuniaire a été notifiée par huissier à la société X le 9 mai 2008, à laquelle était jointe la convocation à l’audience du 12 juin 2008. Le rapport de sanction faisait état du manquement constaté à la loi informatique et libertés relatif au droit d’accès.

La société X a adressé le 28 mai 2008 ses observations écrites en réponse au rapport de M. de GIVRY.

II. MOTIFS DE LA DECISION

5. Le rapporteur a considéré que la société X, qui a repris les activités de Y, n’avait pas respecté les dispositions de l’article 39 de la loi du 6 janvier 1978 modifiée. En effet, si la société a délivré à Melle B quelques-unes des informations personnelles demandées, la mise en demeure de la CNIL portait sur l’intégralité des documents contenant des données à caractère personnel sur la plaignante. Les éléments concernant la facturation et les paiements ne lui ont ainsi pas été transmis. Le courrier adressé à Melle B comportait uniquement le récapitulatif de ses contacts (date et heure de l’appel ainsi que le motif et la solution apportée).

Par ailleurs, le rapporteur a souligné que la réponse de la société du 1er avril 2008 ne comportait aucune explication sur les raisons pour lesquelles la demande de Melle B n’a pas été prise en compte, ni pour lesquelles aucune réponse n’a été apportée aux courriers adressés par la CNIL.

La société X, dans son courrier du 28 mai 2008 et lors de l’audience du 12 juin 2008, en réponse au rapport de sanction, a indiqué que les dysfonctionnements constatés étaient dus à la période d’acquisition de Y par X et que l’application aux clients de Y des procédures CNIL de X avait imposé des changements importants ayant eux-mêmes engendré des difficultés techniques dans la transmission de l’information et la centralisation des réponses aux abonnés.

La Commission prend acte des difficultés organisationnelles qui ont pu affecter les deux sociétés au moment de leur rapprochement mais considère que cela n’empêchait nullement d’apporter une réponse complète à la demande de Melle B, ni de justifier auprès de la Commission par un simple courrier les raisons pour lesquelles les demandes successives de la plaignante, ainsi que celles de la CNIL, n’avaient pas été prises en compte. La Commission rappelle que ces demandes étaient formulées dans sa mise en demeure du 6 mars 2008.

La Commission constate, à la lumière des éléments fournis par la société X qu’un courrier contenant l’ensemble des éléments sollicités n’a été adressé par la société à Melle B que le 28 mai 2008.

6. Le rapporteur a également souligné que la société n’avait apporté aucun élément permettant de considérer qu’elle avait mis en place un système efficace de gestion du droit d’accès de ses abonnés.

La société a détaillé à la formation restreinte de la CNIL, lors de l’audience du 12 juin 2008, les mesures, figurant déjà dans son courrier du 28 mai 2008, afin de garantir le droit d’accès. Elle a également précisé la procédure de contrôle interne mise en place ainsi que les mesures prises pour permettre un exercice immédiat du droit d’opposition en matière de prospection commerciale par courriel ou par téléphone. La société a également produit à l’appui de son courrier du 28 mai 2008 les mesures d’information de ses abonnés sur les droits offerts par la loi du 6 janvier 1978 modifiée. Elle a aussi adressé deux projets de chartes données personnelles destinées aux prospects et aux clients.

La Commission rappelle qu’elle a déjà décidé, par une délibération n° 2007-046 du 15 mars 2007 une sanction pécuniaire de 10 000 euros contre la société X pour ne pas avoir répondu complètement à une mise en demeure de la CNIL portant également sur une difficulté d’exercice du droit d’accès par un client. A cette occasion, la société avait, dans un courrier du 1er mars 2007, déjà présenté les mêmes mesures à la Commission. S’il n’est pas anormal que ces mesures soient identiques plus d’un après, elle constate, notamment, que les chartes données personnelles , annoncées dans le courrier du 27 mars 2008, étaient déjà des projets en mars 2007 (point 2.2.3 du courrier du 1er mars 2007).

La Commission relève, par conséquent, à la lumière des faits qui lui ont été soumis, qu’elle ne dispose que de faibles garanties sur la réelle mise en œuvre des mesures annoncées par la société X.

8. La Commission estime que les observations, tant écrites qu’orales, ainsi formulées par la société X ne sont pas de nature à supprimer totalement le manquement au respect de l’article 39 de la loi du 6 janvier 1978 modifiée justifiant le prononcé d’une sanction.

PAR CES MOTIFS, conformément à l’article 45 de la loi du 6 janvier 1978 modifiée, la CNIL décide de :

– prononcer à l’encontre de la société X une sanction pécuniaire de 7000 euros ; – publier la présente décision sur son site internet et sur la base Légifrance .

A Paris, le

Le Président Alex TURK