La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ;

Etant aussi présents MM. Jean-François CARREZ, Jean-Marie COTTERET, Claude DOMEIZEL, Sébastien HUYGHE et Dominique RICHARD, membres ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment ses articles 45 et 46 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;

Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la délibération n° 2008-374 du 9 octobre 2008 adoptée par la formation restreinte de la Commission, adressant une mise en demeure à la société X ;

Vu la décision n° 2008-094C du 3 juillet 2008 du président de la Commission de procéder à la vérification sur place de la conformité aux dispositions de la loi n° 78-17 du 6 janvier 1978 de l’ensemble des traitements mis en œuvre par la société X ;

Vu le rapport de M. Jean MASSOT, commissaire rapporteur, notifié par huissier à maître X, prise en sa qualité de liquidateur de la société X, le 13 mai 2011 ;

Vu les autres pièces du dossier ;

Après avoir entendu, lors de sa réunion du 16 juin 2011 :

– M. Jean MASSOT, commissaire, en son rapport ; – Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;

Aucun représentant de la société mise en cause ni Maître A, prise en sa qualité de liquidateur de la société, n’ayant souhaité être présents lors de l’audience, ni n’ayant fourni d’observations en défense.

I. FAITS ET PROCEDURE

La société X (ci-après la « société ») est une société à responsabilité limitée créée en 2008, qui propose un service de pige immobilière à destination des professionnels de l’immobilier (agences immobilières, sociétés de déménagement, sociétés de diagnostics immobiliers, services logement de mairies, etc.).

La société collecte des annonces immobilières de particuliers sur des sites internet spécialisés grâce, d’une part, à son logiciel […], d’autre part, aux alertes par courriers électroniques et aux flux d’informations (RSS) proposés par ces sites. Elle saisit également manuellement les nouvelles annonces immobilières publiées dans les journaux papiers. Après analyse et classification des contenus, la société édite une pige immobilière consistant à informer chaque jour les clients abonnés au service des nouveaux biens mis à la vente ou la location par les particuliers sur leur secteur géographique.

Par décision n° 2008-094C en date du 3 juillet 2008, le président de la Commission a fait procéder à la vérification sur place de la conformité aux dispositions de la loi n° 78-17 du 6 janvier 1978 de l’ensemble des traitements mis en œuvre par la société X.

Au vu des constats opérés lors de ce contrôle diligenté auprès de la société et des échanges s’étant ensuivis, celle-ci a été mise en demeure, par délibération de la formation restreinte en date du 9 octobre 2008 : – de procéder, sous un délai de trois mois, à l’accomplissement des formalités préalables auprès de la CNIL pour l’ensemble des traitements automatisés de données à caractère personnel mis en œuvre ; – de cesser, sous un délai de dix jours, toute collecte déloyale de données à caractère personnel sur les sites internet d’annonces immobilières de particuliers, et, sous un délai de trois mois, de procéder à une collecte loyale des données à caractère personnel, notamment en informant les personnes concernées dans les conditions prévues à l’article 32 de la loi informatique et libertés ; – de permettre, sous un délai de trois mois, aux personnes d’accéder à leurs données à caractère personnel, afin de pouvoir exercer leurs droits de rectification et d’opposition à la transmission de celles-ci à des tiers ; – de justifier auprès du service des sanctions, sous un délai de trois mois, du respect de l’ensemble des demandes précitées dans les délais impartis.

Une délégation de contrôle de la Commission s’est ensuite rendue dans les locaux de la société, le 28 juillet 2010, afin de vérifier si la société s’était mise en conformité aux termes de cette mise en demeure.

Sur la foi des constats établis lors de ce second contrôle, le Président de la Commission nationale de l’informatique et des libertés a décidé de désigner un rapporteur afin d’engager une procédure de sanction à l’encontre de la société, sur le fondement de la première phrase du I de l’article 45 de la loi du 6 janvier 1978 modifiée.

Aux fins de cette procédure, le rapport de M. Jean MASSOT, membre de la CNIL, rapporteur, proposant à la formation restreinte de la CNIL de prononcer à l’encontre de la société X une sanction pécuniaire et d’en ordonner la publication, a été remis par huissier au siège de la société le 11 mai 2011. Une procédure de liquidation judiciaire ayant été ouverte à son encontre, le rapport a également été notifié par huissier à Maître A, prise en sa qualité de liquidateur de la société, le 13 mai 2011.

Aucune observation écrite n’a été formulée pour le compte de la société dans le cadre de cette procédure, et celle-ci n’était pas représentée lors de la séance de la formation restreinte du 16 juin 2011.

II. MOTIFS DE LA DECISION

Au vu des constats opérés par les services de la Commission suite au contrôle sur pièces du 4 juillet 2008, à la mise en demeure en date du 9 octobre 2008 et au contrôle subséquent du 28 juillet 2010, ainsi que des éléments de réponse adressés par la société en réaction à ces actes de poursuites, la formation restreinte a retenu les manquements suivants :

– Sur le manquement à l’obligation de procéder aux formalités préalables

Tout responsable de traitement a l’obligation d’accomplir des formalités préalables auprès de la CNIL préalablement à la mise en œuvre d’un traitement automatisé de données personnelles, conformément aux dispositions du chapitre IV de la loi du 6 janvier 1978.

Aux termes de la mise en demeure n° 2008-374 du 9 octobre 2008, il était reproché à la société un manquement à son obligation d’accomplir les formalités préalables requises par la loi.

Le 4 novembre 2008, la société a procédé à un engagement de conformité à la norme simplifiée n°48 relative à la gestion des fichiers de clients et prospects, enregistrée sous le numéro 1328288.

Cependant, les données personnelles traitées par la société dans le cadre de ses activités de pige immobilière sont collectées auprès d’annonceurs ne revêtant la qualité ni de clients ni de prospects, au sens de la norme simplifiée n°48. Les traitements opérés dans le cadre de ces activités ne pouvaient donc légalement faire l’objet d’une déclaration de conformité à cette norme, au sens du dernier alinéa de l’article 24-I de la loi susvisée, dès lors qu’ils n’y correspondent pas.

La formation restreinte constate donc que la société n’a pas satisfait à l’exigence d’accomplissement des formalités préalables applicables à l’activité de pige immobilière, et qu’elle n’a pas répondu de manière satisfaisante aux exigences posées en ce sens par la mise en demeure du 9 octobre 2008.

– Sur le manquement à l’obligation de collecter des données à caractère personnel de manière loyale et licite

Aux termes du 1° de l’article 6 de la loi n°78-17 du 6 janvier 1978, « les données à caractère personnel doivent être collectées de manière loyale et licite ».

Le contrôle réalisé auprès de la société le 4 juillet 2008 a établi que les annonceurs dont les données sont aspirées par la société sur des sites internet n’étaient pas informés de l’existence de cette collecte. En effet, la société a indiqué que, de par la nature même de cette technique, elle n’était pas en mesure d’informer les personnes concernées que leurs données étaient collectées et susceptibles d’être cédées à des tiers.

Aux termes de la mise en demeure du 9 octobre 2008, la société a été enjointe de cesser toute collecte déloyale de données à caractère personnel sur les sites Internet d’annonces immobilières de particuliers, et ce dans un délai de dix jours.

Par un courrier en réponse en date du 23 décembre 2008, la société a indiqué avoir mis en place un dispositif visant à répondre à cette demande.

Toutefois, le 28 juillet 2010, une délégation de contrôle de la Commission a constaté que la société continuait à recourir au même procédé de collecte des données qu’à celui, critiqué, déjà mis en œuvre en juillet 2008, et qu’elle procédait à l’enrichissement des annonces collectées avec les adresses des biens visés grâce à un service d’annuaire inversé.

Etant établi que la collecte réalisée par la société postérieurement à la mise en demeure revêt toujours un caractère déloyal et illicite, dans la mesure où l’information des annonceurs est postérieure à la communication de leurs données à caractère personnel, rendant de ce fait impossible l’opposition des annonceurs au traitement de leurs données, la formation restreinte constate que la société ne s’est pas conformée à la mise en demeure du 9 octobre 2008 sur ce point.

– Sur le manquement à l’obligation d’information des personnes

Le I de l’article 32 de la loi n° 78-17 du 6 janvier 1978 prévoit que le responsable d’un traitement doit informer la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant des informations de l’identité du responsable du traitement, de la finalité de ce traitement, du caractère obligatoire ou facultatif des réponses, des destinataires, des droits d’accès, de rectification et, le cas échéant, d’opposition aux données.

Aux termes de la mise en demeure du 9 octobre 2008, la société a été enjointe, sous un délai de trois mois, de procéder à une collecte loyale des données à caractère personnel, notamment en informant les personnes concernées dans les conditions prévues par l’article 32 de la loi.

En réponse, la société a indiqué avoir mis en place une procédure d’information des annonceurs en prévoyant que la personne fasse l’objet d’un contact téléphonique, au plus tard lors de la première communication des données à ses clients, l’informant de la collecte de ses données par la société, de la finalité de ce traitement, de l’adresse du site Internet puis des droits d’opposition, de rectification et d’accès dont elle dispose.

La formation restreinte relève, à cet égard, que toutes les annonces communiquées dans le cadre de la pige immobilière ne comportent pas de coordonnées téléphoniques, si bien que le dispositif envisagé par la société impliquait, par construction, que tous les annonceurs ne soient pas destinataires de cette information.

En outre, la facture téléphonique détaillée de la société, pour le mois de juin 2010, révèle que plus de la moitié des appels passés pour cette période (15 000 environ) étaient d’une durée inférieure à 30 secondes. Or il est matériellement impossible, en un laps de temps si court, de proposer une offre commerciale aux annonceurs tout en les informant de l’identité du responsable du traitement, de la finalité de ce traitement, des destinataires de leurs données, ainsi que des droits d’opposition, d’accès et de rectification leur étant impartis par la loi.

Enfin, ce contrôle sur place a permis d’établir qu’aucun document interne à la société, tel qu’un script d’appel, n’a été transmis aux téléopératrices chargées de transmettre cette information, ce qui permet également de douter de la diffusion de cette information.

Ainsi, la formation restreinte estime que le caractère complet de l’information communiquée aux personnes en application du I de l’article 32 de la loi du 6 janvier 1978 modifiée n’est pas établi. Elle ne peut, dès lors, que juger que la société ne s’est pas conformée à la demande formulée en ce sens dans la mise en demeure du 9 octobre 2008.

– Sur le manquement au droit d’opposition des personnes

Aux termes des alinéas 1 et 2 de l’article 38 de la loi du 6 janvier 1978 modifiée : « Toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement (…) Elle a le droit de s’opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d’un traitement ultérieur ».

L’article 97 du décret n° 2005-1309 du 20 octobre 2005 précise en outre que « Le responsable du traitement auprès duquel le droit d’opposition a été exercé informe sans délai de cette opposition tout autre responsable de traitement qu’il a rendu destinataire des données à caractère personnel qui font l’objet de l’opposition ».

Suite au contrôle sur pièces diligenté en juillet 2008, la société a fait valoir qu’elle n’avait pas été en mesure de mettre en œuvre un système de nature à garantir le droit d’opposition des annonceurs, en raison de la création récente de l’entreprise.

Compte tenu du caractère insuffisant des mesures d’information prévues par la société, celle-ci a été mise en demeure, le 9 octobre 2008, de permettre aux personnes dont les données sont collectées de (…) s’opposer à ce que leurs données soient transmises à des tiers, et ce dans un délai de trois mois.

Tant les éléments de réponse de la société à la mise en demeure que les constatations issues du contrôle sur place diligenté postérieurement par la Commission ont permis d’établir que la société transmet à ses clients les annonces de particuliers s’étant, dès l’origine, expressément opposés à être sollicités par des professionnels de l’immobilier.

En outre, il est établi que le fichier recensant les demandes d’opposition formulées par des particuliers entre le 22 avril 2009 et le 6 juin 2010 après la communication de leurs données à ses clients professionnels ne contient que huit demandes. A l’évidence, ce chiffre très faible, rapporté au volume d’annonces immobilières de particuliers collectées chaque jour par la société, est révélateur du caractère parfaitement ineffectif de ce dispositif d’opposition.

Au vu de ce qui précède, la formation restreinte constate que la société reste en infraction aux dispositions des alinéas 1 et 2 de l’article 38 de la loi du 6 janvier 1978 modifiée, et qu’elle ne s’est donc pas conformée aux termes de la mise en demeure sur ce point.

– Sur le manquement aux droits d’accès et de rectification

Le I du 4° de l’article 39 de la loi du 6 janvier 1978 dispose que « Toute personne physique justifiant de son identité a le droit d’interroger le responsable d’un traitement de données à caractère personnel en vue d’obtenir la communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l’origine de celles-ci ». L’article 40 de cette même loi dispose que « Toute personne physique justifiant de son identité peut exiger du responsable d’un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées ou dont la collecte, l’utilisation, la communication ou la conservation est interdite ».

Dans sa délibération du 9 octobre 2008, la Commission a mis la société en demeure, sous un délai de trois mois, de permettre aux personnes dont les données sont collectées d’accéder à celles-ci, et de les rectifier (…).

La formation restreinte relève à cet égard que si la société met à disposition des annonceurs sur son site internet un formulaire de demandes d’accès et de rectification, la mission de contrôle réalisée auprès de la société postérieurement à la mise en demeure a permis d’établir qu’aucun fichier de la société ne recensait de telles demandes, et qu’en outre aucune information sur les droits d’accès et de rectification n’était effectuée au profit des annonceurs.

Dès lors, il est établi que la société ne s’est pas conformée à la mise en demeure du 9 octobre 2008 sur ce point, dans la mesure où elle ne permet pas aux annonceurs d’exercer leurs droits d’accès et de rectification de manière effective, conformément aux prescriptions des articles 39 et 40 de la loi informatique et libertés .

– Sur la mauvaise foi de la société X

En continuant de n’informer les annonceurs de la collecte de leurs données que postérieurement à leur transmission à des tiers, la société a souhaité, en toute connaissance de cause, contourner la mise en demeure préalablement prononcée lui enjoignant de procéder à une collecte loyale des données à caractère personnel, notamment en informant les personnes concernées dans les conditions prévues par l’article 32 de la loi .

De plus, la formation restreinte relève que la société ne lui a jamais communiqué d’observations en réponse à ses diverses demandes, tant aux termes du courrier du 22 juillet 2009 que lors du contrôle du 28 juillet 2010, durant lequel ledit courrier a pourtant été remis en mains propres au gérant de la société.

Enfin, il ressort des faits ci-dessus exposés que la société a volontairement choisi de ne pas se conformer à la demande de la Commission visant à permettre aux personnes dont les données sont collectées (…) de s’opposer à ce que leurs données soient transmises à des tiers , en continuant de transmettre à ses clients les données d’annonceurs s’étant opposés à cette communication dès la publication de leur annonce, en prenant le soin d’y faire apparaître une mention telle que « Agence s’abstenir ».

La formation restreinte considère dès lors que la mauvaise foi de la société est établie.

– Sur les manquements constatés

Il est acquis que la société a retiré un avantage organisationnel des manquements constatés, en l’absence de mesures appropriées prises pour assurer en amont l’information appropriée des personnes concernées, et en aval le respect de leurs droits d’accès et d’opposition. Elle s’est en outre délibérément abstenue de déférer à la mise en demeure.

En conséquence, eu égard à la persistance des manquements constatés dans la mise en demeure préalablement prononcée le 9 octobre 2008, notamment les manquements aux articles 6, 32, 38, 39 et 40 et au chapitre IV de la loi du 6 janvier 1978 modifiée, la société X verra prononcer à son encontre une sanction pécuniaire d’un montant de 10.000 euros (dix mille euros).

– Sur la publicité

Eu égard à la nature des manquements commis ainsi qu’à la nécessité, d’une part, pour les personnes physiques de connaître les règles relatives à la protection de leurs données à caractère personnel et, d’autre part, pour les responsables de traitement de mieux appréhender les règles qui s’imposent à eux, la délibération de la Commission sera rendue publique sur le site internet de la CNIL et sur le site internet Légifrance.

En outre, eu égard à la mauvaise foi établie de la société, cette décision fera l’objet d’une mesure d’insertion dans la presse, conformément à l’article 46 de la loi du 6 janvier 1978 modifiée en août 2004.

PAR CES MOTIFS Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide de :

– prononcer une sanction pécuniaire de 10 000 euros (dix mille euros) à l’encontre de la société X,

– rendre publique sa décision, sur son site Internet et sur le site Légifrance.fr,

– ordonner la publication de la présente décision aux frais de la société X dans les quotidiens Le Figaro et Le Monde,

– notifier cette décision à Maître X, en sa qualité de liquidateur de la société ainsi condamnée.

La Présidente,

Claire DAVAL