Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 30 novembre 2017 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;

Etaient aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PÉRÈS, Vice-président ;

Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° MED-2017-073 du 20 novembre 2017 de la Présidente de la Commission mettant en demeure la société X.

A adopté la délibération suivante :

Par décision du 20 novembre 2017, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, décidé de mettre en demeure la société X sise […], de faire cesser sous un délai de deux mois à compter de la notification de ladite décision, les manquements constatés à cette même loi, notamment ceux relatifs à la mise en œuvre d’un dispositif portant atteinte à la vie privée des personnes concernées, à l’obligation d’information et à la sécurité et la confidentialité des données à caractère personnel.

En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.

Le bureau a été réuni à cette fin le 30 novembre 2017.

Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie par la gravité du manquement constaté en ce que le défaut de sécurité des jouets fabriqués par la société, porte atteinte à la vie privée des utilisateurs et de toute personne se trouvant à proximité. En faisant un usage normal de ces jouets connectés dans un cercle amical ou familial, les utilisateurs peuvent légitimement s’attendre à ce que les propos échangés dans le cadre de leur intimité ne soient pas entendus ou enregistrés par des tiers.

Le bureau estime en outre que la mesure de publicité se justifie au vu du public ciblé par les jouets dès lors qu’ils sont destinés à être utilisés par de très jeunes enfants.

Le bureau considère également que la publicité de la mise en demeure a vocation à informer les personnes concernées de l’existence du défaut de sécurité des jouets et du risque d’atteinte à la vie privée auquel notamment les parents et enfants s’exposent lors de leur utilisation, alors que les jouets […] et […], déjà vendus à […] et […] exemplaires en France, sont toujours distribués.

Enfin, d’une manière générale, le bureau entend, par sa décision, souligner la nécessité d’éclairer les parents dans le choix des jouets connectés qu’ils seront susceptibles d’offrir dans un contexte où l’offre pour ces produits est considérable.

En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° MED-2017-073 de la Présidente de la CNIL mettant en demeure la société X.

Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. À ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.

La Présidente

Isabelle FALQUE-PIERROTIN