La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ;

Etant aussi présents MM. Jean-Marie COTTERET, Jean-François CARREZ, Claude DOMEIZEL et Dominique RICHARD, membres ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la Directive n°95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée, notamment ses articles 45 et 46 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 modifié, pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2011-303C du 6 décembre 2011 de la Présidente de la Commission nationale de l’informatique et des libertés ordonnant une mission de vérification auprès du Syndicat X ;

Vu le rapport de M. Philippe GOSSELIN, commissaire rapporteur, adressé par courrier recommandé au Président de X, le 02 février 2012 ;

Vu les observations écrites versées par X le 5 mars 2012, ainsi que les observations orales formulées lors de la séance de la formation restreinte du 8 mars 2012 ;

Vu les autres pièces du dossier ; Ayant entendu, lors de la réunion de la formation restreinte du 8 mars 2012: – M. Philippe GOSSELIN, commissaire, en son rapport ; – Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ; – M. XX de X et M. YY de X, en leur défense ; Les représentants du Syndicat X ayant pris la parole en dernier, À adopté la décision suivante :

I. FAITS ET PROCÉDURE Le Syndicat X (ci-après X ou le Syndicat) est une organisation professionnelle dont l’objet est la promotion des ventes aux enchères publiques volontaires et la défense des intérêts de cette profession auprès des pouvoirs publics. Le 2 juin 2010, X a entrepris une démarche auprès de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission) aux fins d’obtenir des conseils sur les modalités de diffusion des informations relatives aux mauvais payeurs au regard des exigences posées par la loi du 6 janvier 1978 modifiée. Le 6 juillet 2010, une réunion de travail a été organisée avec les services de la Commission ayant entrainé le dépôt, par X, d’une demande d’autorisation ayant pour objet la constitution d’un fichier listant les adjudicataires défaillants, soit ceux n’ayant pas réglé le montant du bordereau d’achat du bien acquis aux enchères. En avril 2011, X a décidé d’abandonner la procédure de demande d’autorisation après que la commission a sollicité la communication de compléments. Dans le même temps, le commissaire du Gouvernement auprès du Conseil des ventes volontaires informait la CNIL, le 3 janvier 2011, de l’existence de réclamations formées par des enchérisseurs dont les ordres d’achats n’avaient pas été pris en compte par les sociétés de ventes volontaires du fait d’impayés antérieurs. L’existence d’une liste noire des mauvais payeurs mise en œuvre par X était ainsi révélée à la commission. Par décision 2011-303C du 6 décembre 2011, une mission de contrôle a été diligentée dans les locaux de X après autorisation du juge des libertés et de la détention près le Tribunal de Grande Instance de Paris. Sur la foi des constats effectués lors des opérations de contrôle, la Présidente de la Commission nationale de l’informatique et des libertés a désigné M. Philippe GOSSELIN, Commissaire, membre de la CNIL, en qualité de rapporteur, afin d’engager à l’encontre du Syndicat une procédure de sanction fondée sur le I de l’article 45 de la loi du 6 janvier 1978. Le Syndicat, par courrier en date du 5 mars 2012, a adressé à la Commission ses observations sur le rapport. Il a également présenté ses observations orales lors de la séance de la formation restreinte du 8 mars 2012. II. MOTIFS DE LA DÉCISION

1. Sur la nature des traitements et le manquement à l’obligation d’accomplir les formalités préalables à la mise en œuvre du traitement Aux termes de l’article 2 de la loi n° 78-17 du 6 janvier 1978 constitue un traitement de données à caractère personnel toute opération ou tout ensemble d’opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte […] ou la communication par transmission. En outre, aux termes de l’article 25-I-4° de cette même loi, les traitements automatisés de données à caractère personnel susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire doivent faire l’objet des formalités auprès de la CNIL préalablement à leur mise en œuvre. En l’espèce, il est établi que le bureau exécutif de X, dans sa précédente composition, a invité ses adhérents à lui adresser au moyen d’un formulaire préétabli l’identité des adjudicataires défaillants et leurs coordonnées. Ces informations ont été ensuite rassemblées dans des dossiers informatisés dont X a lui-même assuré la diffusion auprès de ses adhérents, et ce depuis à tout le moins l’année 2006. Il est par ailleurs établi que X a interrompu ces envois en raison de plaintes de personnes dont les données figuraient dans ledit traitement informatisé, ce dont il avait été averti. Sur ce, la formation restreinte constate ce qui suit. La compilation, par moyens informatiques et via un logiciel tableur, des données figurant dans les formulaires de déclaration d’incidents en vue de l’établissement d’une liste d’adjudicataires défaillants, l’enregistrement sur support informatique sous forme de tableaux et la diffusion de ces tableaux aux adhérents de X constituent des traitements automatisés au sens de l’article 2 précité. La constitution de telles listes n’est pas, en-soi, prohibée par la loi. La formation restreinte, à cet égard, comprend que la profession des commissaires-priseurs se trouve confrontée de plus en plus régulièrement à l’indélicatesse de ses clients et que le développement des ventes par internet a considérablement modifié les conditions d’exercice de la profession, rendant plus complexe la tâche des commissaires-priseurs. Or, la loi interdisant toute vérification de solvabilité préalable au paiement de l’enchère, la tenue d’une liste des mauvais payeurs s’avère être une précaution destinée à protéger les vendeurs contre des remises en vente intempestives de leurs biens et à préserver la confiance dans le système de ventes aux enchères publiques.

Cependant, une telle liste noire étant susceptible d’exclure des personnes de la faculté de participer à des ventes aux enchères, sa mise en œuvre doit faire l’objet d’une autorisation par la CNIL sur le fondement de l’article 25-I-4°, précité. L’objet de l’examen préalable de la CNIL sur ces dossiers vise à permettre, entre autres, une vérification des garanties encadrant le fonctionnement du fichier litigieux en vue de prévenir le fichage abusif d’adjudicataires. Or, il est établi qu’aucune formalité préalable n’a été effectuée en ce sens auprès de la CNIL, les démarches finalement entreprises par X pour mettre fin à sa propre carence ayant été abandonnées en avril 2011. Dans ses observations écrites comme lors de l’audience, X a reconnu que l’obtention d’une autorisation de la CNIL était nécessaire préalablement à la mise en œuvre de cette liste noire. Cependant, il a également fait valoir que le traitement litigieux a été mis en œuvre sur décision des instances décisionnelles du Syndicat, dans leur précédente composition. Le bureau exécutif actuellement en place n’a, de ce fait, pris connaissance de l’existence dudit traitement qu’à l’occasion de la venue de la délégation de contrôle de la CNIL. À cet égard, il fait valoir que les fichiers et traitement mis en cause, outre qu’ils sont inexploitables en pratique, ont été détruits, ce dont il a par ailleurs apporté la preuve à l’audience. La formation restreinte prend acte de la volonté du bureau exécutif de X nouvellement composé de coopérer avec la CNIL aux fins de mettre en œuvre un traitement conforme à la loi.

Toutefois, il est rappelé que les obligations issues de la loi du 6 janvier 1978 modifiée incombent au responsable de traitement, qu’en l’espèce la procédure a été engagée à l’encontre de la personne morale X indépendamment des changements de personnes physiques dirigeantes. Dans ces conditions, la formation restreinte considère que X a manqué à son obligation de respecter les dispositions du chapitre IV de la loi du 6 janvier 1978 précitée, et que le manquement reproché est ainsi constitué.

2. Sur les manquements aux obligations de procéder à un traitement loyal des données et d’informer les personnes conformément à l’article 32 de la loi du 6 janvier 1978 modifiée La formation restreinte rappelle veiller avec attention, en matière de fichiers d’exclusion, au respect du principe de transparence, en exigeant la délivrance d’une information complète aux personnes concernées à tous les stades du traitement ; de la collecte des données litigieuses à l’inscription effective sur la liste noire. Aux termes de l’article 6-1° de la loi n° 78-17 du 6 janvier 1978 un traitement ne peut porter que sur des données à caractère personnel qui sont collectées et traitées de manière loyale (…). En l’espèce, il est établi et non contesté que […] ont procédé à une collecte des informations relatives aux mauvais payeurs directement auprès de ces derniers et sans les en informer. En effet, comme le reconnaît la direction actuelle du Syndicat X, celui-ci a diffusé à ses adhérents un formulaire vierge intitulé déclaration d’incidents de paiement invitant les destinataires à ne pas informer les adjudicataires défaillants à propos desquels des données à caractère personnel étaient collectées. À cet effet, ce formulaire portait la mention X rappelle que les informations sur les incidents de paiement sont communiquées par mail à l’ensemble de ses adhérents, sous la responsabilité de la SVV qui les lui a transmises. Il est instamment demandé de ne pas informer les personnes visées de la diffusion du message, afin d’éviter tout risque de poursuite pour diffamation. Il est également établi que […] adhérentes de X complétaient et renvoyaient à ce dernier les informations concernant les adjudicataires défaillants, sans que cette compilation ultérieure soit davantage connue des personnes. De ce fait, tant les opérations de collecte des données que leur traitement ultérieur par le Syndicat ont été réalisées à l’insu des personnes concernées. Cette opacité sur le traitement mis en œuvre est d’autant moins compréhensible qu’il résulte des échanges intervenus entre la Commission et le Syndicat que ce dernier a eu connaissance de son obligation d’informer les personnes concernées au moment de la collecte des données, de la réalisation de l’incident susceptible de donner lieu à inscription dans le fichier et de l’inscription effective dans le fichier. La formation restreinte juge donc que X a intentionnellement manqué à son obligation de respecter les dispositions de l’article 6-1° de la loi du 6 janvier 1978 précitée. Par ailleurs, l’article 32-I de cette même loi prévoit que la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l’a été au préalable, par le responsable du traitement ou son représentant : 1° De l’identité du responsable du traitement et, le cas échéant, de celle de son représentant ; 2° De la finalité poursuivie par le traitement auquel les données sont destinées ; 3° Du caractère obligatoire ou facultatif des réponses ; 4° Des conséquences éventuelles, à son égard, d’un défaut de réponse ; 5° Des destinataires ou catégories de destinataires des données ; 6° Des droits qu’elle tient des dispositions de la section 2 du présent chapitre ; 7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d’un Etat non membre de la Communauté européenne. . À fortiori si la collecte et le traitement des informations relatives aux mauvais payeurs ont été effectuées à l’insu de ces derniers, il n’a pas non plus été procédé à leur information complète au regard de l’article 32-I précité. Les personnes concernées n’ont donc pas été mesure d’exercer les droits qu’elles détiennent en application de l’article susvisé. Une fois de plus, la formation restreinte relève que cette obligation légale a été formellement rappelée par courrier au Syndicat. En l’espèce, X ne conteste pas avoir manqué à son obligation d’information. À cet égard, la formation restreinte rappelle conformément à sa position constante, que l’obligation d’information des personnes repose également sur le responsable de traitement d’une liste noire mutualisée quand bien même il n’aurait pas de contact direct avec les personnes fichées. 3. Sur le manquement à l’obligation de définir une durée de conservation des données non excessive Aux termes de l’ article 6-5° de la loi n° 78-17 du 6 janvier 1978 Un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : […]5° Elles sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées. En l’espèce, il est établi que X a conservé dans ses systèmes d’information et sur papier des tableaux informatisés des mauvais payeurs et fichiers dont les plus anciens sont datés de l’année 2006 Sur ce point, la formation restreinte considère ce qui suit. Il ressort des échanges entretenus entre X et la CNIL, que ce dernier envisageait de conserver les données relatives aux mauvais payeurs pendant six mois, durée jugée pertinente par les services de la Commission. La formation restreinte rappelle, en effet, que dans le cas des ventes volontaires il peut être légitime de disposer d’une information récente sur les adjudicataires défaillants. Or, il est établi que la durée de conservation effectivement mise en œuvre était de plusieurs années. Elle excède manifestement la durée pour laquelle la finalité du traitement est légitime. X bien qu’informé des préconisations de la Commission, a poursuivi la conservation des données litigieuses pour une durée qu’il savait excessive. X a fait valoir, tant dans ses observations écrites qu’orales, que le traitement de données à caractère personnel objet de la présente décision de sanction a été décidé et mis en œuvre par les précédentes instances décisionnelles du Syndicat et qu’informé de la situation, l’équipe actuelle a fait procéder à la destruction des traitements litigieux, tout en prenant le soin d’en faire établir une copie sous format numérique et papier déposée chez notaire et tenue à la disposition de la formation restreinte. Toutefois et comme rappelé précédemment, le changement d’équipe dirigeante ne permet pas à l’organisme poursuivi d’échapper aux responsabilités qui sont les siennes en application de la loi du 6 janvier 1978 modifiée. Dans ces conditions, la formation restreinte estime que X a méconnu les dispositions de l’article ° 6-5° de la loi du 6 janvier 1978 précitée.

Sur les manquements constatés Dès lors la formation restreinte considère que X a violé les dispositions susvisées de la loi du 6 janvier 1978 modifiée, et verra de ce fait prononcer à son encontre un avertissement. En outre, au regard de la gravité des manquements constatés, de la volonté manifeste de dissimuler aux personnes dont les données figurent dans les traitements mis en œuvre l’existence du traitement, de la volonté de se soustraire aux formalités imposées par la loi, la formation restreinte décide de rendre public cet avertissement.

PAR CES MOTIFS Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide : – De prononcer un avertissement à l’encontre du Syndicat X ; – De rendre public cet avertissement.

La Présidente

Claire DAVAL Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.