La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ;

Etant aussi présents MM. Jean-Marie COTTERET, Claude DOMEIZEL, Sébastien HUYGHE et Dominique RICHARD, membres ; Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;

Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2010-122C du 22 avril 2010 du Président de la Commission nationale de l’informatique et des libertés ordonnant une mission de vérification auprès de la société X ;

Vu le procès-verbal de contrôle sur place n°2010-154 du 6 mai 2010, signé contradictoirement par la société ;

Vu le rapport de M. Jean-Paul AMOUDRY, commissaire rapporteur, notifié par porteur à la société X, le 13 mai 2011, joint au courrier de convocation à la séance de la formation restreinte du 16 juin 2011 ;

Vu le courrier adressé à la Présidente de la formation restreinte par Maître A, conseil de la société X, le 15 juin 2011, indiquant que la société, n’ayant pas eu connaissance de la convocation à la séance en raison d’un dysfonctionnement interne, sollicitait la fixation d’un nouveau calendrier pour la date de communication des observations en réponse de la société ainsi que pour la date de la séance ;

Vu le courrier adressé à Maître A par la Présidente de la formation restreinte, le 16 juin 2011, lui indiquant sa décision de maintien de la séance de la formation restreinte de ce même jour ;

Vu les premières observations orales présentées par Maître A lors de la séance de la formation restreinte du 16 juin 2011, et le renouvellement de sa demande de renvoi de l’audience ;

Vu la décision de la formation restreinte d’accéder à cette demande de renvoi, après en avoir délibéré, lors de la séance du 16 juin 2011 ;

Vu le courrier adressé le 21 juin 2011 par la Présidente de la formation restreinte à Maître A, l’informant de l’inscription de l’affaire à l’ordre du jour de la séance du 5 juillet 2011 à 14h30 ;

Vu le mémoire complémentaire adressé par le conseil de la société, le 27 juin 2011, en vue de la séance de la formation restreinte du 5 juillet 2011 ;

Vu les autres pièces du dossier ;

Ayant entendu, lors des réunions de la formation restreinte du 16 juin et du 5 juillet 2011 : – M. Jean-Paul AMOUDRY, commissaire, en son rapport ; – Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ; – Maître A et Maître B, conseils de la société X, en la présence des représentants de cette dernière ; Les représentants de la société mise en cause ayant pris la parole en dernier,

A adopté la décision suivante : I. FAITS ET PROCÉDURE

La société X (ci-après la société ) est une holding spécialisée dans l’administration de biens immobiliers (syndic de copropriété, gestion locative et transactions), détenue par le groupe Y. Elle possède un réseau de 600 agences immobilières (franchises et filiales) réparties sur l’ensemble du territoire français.

En application de la décision n° 2010-122 C du 22 avril 2010 du président de la Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission ), une délégation de la CNIL a procédé à une mission de contrôle sur place, le 6 mai 2010, auprès de la société.

La délégation s’est attachée à examiner plusieurs traitements de données à caractère personnel mis en œuvre au sein de la société, notamment celui relatif à l’administration des biens et celui afférent à la gestion des transactions. Elle a relevé que la société propose aux agences filiales et franchisées des outils métiers utilisés dans le cadre de ces traitements, et qu’à ce titre elle pilote, gère, maintient et héberge l’ensemble des bases de données associées à ces outils.

Lors de ce contrôle, la délégation a notamment procédé à une extraction des zones commentaires de l’outil […] utilisé pour les opérations de vente et de location, afin de recenser les biens disponibles. Lors de l’analyse des fiches relatives à des opérations de location et de transaction, contenues dans les bases de données des filiales de la société, des commentaires de nature répréhensible ont été recensés par la délégation.

Sur la foi des constats effectués lors de ce contrôle, le Président de la Commission a désigné M. Jean-Paul AMOUDRY, Commissaire, membre de la CNIL, en qualité de rapporteur, afin d’engager à l’encontre de la société une procédure de sanction fondée sur le I de l’article 45 de la loi du 6 janvier 1978 modifiée.

A l’issue de son instruction, estimant que la société avait manqué à plusieurs obligations lui incombant en application de la loi du 6 janvier 1978 modifiée, le rapporteur détailla chacun des manquements reprochés à la société dans un rapport notifié par porteur à la société le 13 mai 2011. Aux termes de ce rapport, le rapporteur a demandé à la formation restreinte de la Commission de prononcer à l’encontre de la société un avertissement, dont il a par ailleurs sollicité qu’il soit rendu public.

La société, par courrier en date du 27 juin 2011, a adressé à la Commission ses observations sur le rapport. Elle a également présenté ses observations orales lors de la séance de la formation restreinte du 16 juin 2011, puis lors de la séance du 5 juillet 2011. II. MOTIFS DE LA DÉCISION

1. Sur la qualité de responsable de traitement de la société X

L’article 3 de la loi du 6 janvier 1978 modifiée en août 2004 dispose que le responsable d’un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l’autorité publique, le service ou l’organisme qui détermine ses finalités et ses moyens .

L’article 35 de cette même loi dispose, quant à lui, que toute personne traitant des données à caractère personnel pour le compte du responsable du traitement est considérée comme un sous-traitant au sens de la présente loi .

En premier argument de défense, la société affirme qu’aucun des commentaires relevés lors du contrôle ne correspond aux activités de la société X proprement dite, ceux-ci figurant exclusivement dans les traitements réalisés au sein des filiales du groupe. Si, selon elle, la société X détient bien un contrôle capitalistique sur les filiales, elle n’exerce en revanche aucun contrôle d’activité ou de gestion sur leurs actions.

De plus, elle invoque le fait qu’elle n’exerce pas d’activité de location ou de gestion de copropriété, mais des activités de support pour les entités et de relations-investisseurs, pour lesquelles elle n’utilise pas les applications litigieuses. Elle n’aurait, à ce titre, aucune relation avec les propriétaires, les bailleurs ou encore les locataires, ces relations étant du ressort et de la responsabilité des agences.

En outre, la société indique que les données collectées par les agences ne sont pas intégrées dans une base unique centralisée utilisée par X pour des finalités propres mais dans des environnements logiques séparés logiquement où chacune des agences dispose de son propre environnement étanche, rendant impossible le fait, pour une agence, d’accéder aux données d’une autre agence. De ce fait, elle soutient qu’elle ne saurait être considérée comme déterminant les finalités et les moyens des traitements litigieux, ni donc comme responsable de traitement au sens de l’article 3 susmentionné.

De surcroît, la société invoque le contrat régissant ses relations avec les entités intégrées et franchisées du groupe pour soutenir qu’elle ne traite les données figurant dans les applications litigieuses que pour le compte de celles-ci, et conformément à leurs instructions. Les prestations qu’elle effectue à ce titre doivent donc, selon elle, être considérées comme de simple sous-traitance au sens de l’article 35 de la loi, les agences de X devant de ce fait en assumer seules la responsabilité.

Sur ce point, la formation restreinte relève ce qui suit :

– La notion de responsable de traitement doit être interprétée in concreto , afin de prendre en compte l’ensemble des éléments permettant d’attribuer cette qualité à une entité identifiée. Telle est la position constante de la CNIL sur le sujet, comme du groupe de coordination des autorités européennes de protection des données, dit Groupe de l’article 29 ou G29 .

– En l’occurrence, la formation restreinte relève que la convention de prestation de service groupe régissant les relations entre la société holding X et l’ensemble des sociétés du groupe, invoquée contradictoirement par la société, mentionne clairement la position de tête que celle-ci détient par rapport à ces dernières.

La même convention indique que, « bénéficiant de la centralisation d’informations et d’une vision globale, la société X peut fournir aux filiales les différentes prestations de gestion, de direction, de coordination et de contrôle dont elles peuvent avoir besoin dans les cadre de l’organisation et de l’exercice de leurs métiers ». En outre, cette convention prévoit que « la société X, dans le cadre de la prestation de services informatiques qu’elle fournit aux sociétés du groupe, sera seul maître de la définition des moyens [matériels et humains] et notamment du choix de ceux de ses préposés ou mandataires à faire intervenir, sans que les filiales puissent interférer de quelque manière que ce soit dans ce choix ».

– Elle constate, en tout état de cause, qu’il n’est pas contesté que les commentaires trouvés par la délégation de la CNIL établissent l’existence de défaillances en matière de modération et de contrôle des mentions enregistrées par ses filiales et son personnel, ainsi que l’absence de sensibilisation de ce personnel aux principes de la loi Informatique et Libertés. Une telle responsabilité, à l’évidence, incombe à la société ayant le contrôle de la définition des finalités et des moyens du traitement, c’est-à-dire au responsable de ce traitement.

De fait, la société a apporté diverses mesures correctives à l’application litigieuse. A cette fin, elle a inséré un avertissement dans les zones de commentaires, précisant que celles-ci ne peuvent contenir que des données factuelles et non-répréhensibles au titre de la loi du 6 janvier 1978 modifiée. Elle a également créé et déployé un outil d’analyse sémantique des zones commentaires fonctionnant sur la base d’un dictionnaire de mots interdits, mis à jour et actualisé, et effectué un rappel sur les zones commentaires dans la note de référence CNIL groupe .

Si la société soutient avoir mis en place ces mesures en sa qualité de sous-traitant de ses filiales, la formation restreinte considère au contraire qu’il est impossible de soutenir que la société X n’a agi en l’occurrence que sous l’autorité et la responsabilité de ses 137 filiales, dont elle se contenterait d’exécuter les instructions.

– Par ailleurs, la formation restreinte constate que la société a souscrit auprès des services de la Commission, en son nom et pour son propre compte, un engagement de conformité à la norme simplifiée n°21 relative à la gestion et aux négociations de biens immobiliers. La société soutient que cette déclaration concerne d’autres traitements que l’application litigieuse, dont elle ne précise par ailleurs pas la nature, et conteste que cet engagement de conformité puisse révéler sa qualité de responsable de traitement en l’espèce. Si la formation restreinte ne saurait se fonder sur ce seul point pour entrer en voie de condamnation, elle relève toutefois que cet argument contredit celui donné par ailleurs par la société, consistant à soutenir que celle-ci n’a pas d’activité propre de gestion de copropriété, de gestion locative, de location, ni de vente.

– Enfin, la formation restreinte relève qu’il ne ressort aucunement de l’instruction que les commentaires litigieux auraient été saisis sous la responsabilité d’une entité du groupe autre que la société X.

A cet égard, elle relève que la société s’est opposée, lors de l’audience du 5 juillet 2011, à l’examen contradictoire en séance des copies informatiques effectuées par la délégation de contrôle, alors que celles-ci auraient été de nature à établir ce point de manière irréfutable.

Dans ces conditions, la formation restreinte considère qu’il ressort tant des contrôles que de l’instruction que la société X dispose d’un véritable contrôle sur la base de données […], et qu’elle détermine de manière autonome la manière dont sont traitées les informations qui sont enregistrées dans ces bases. Dès lors, la société X se verra imputer la responsabilité du traitement litigieux. 2. Sur le grief de non-respect de l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données

Aux termes du 3° de l’article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, les données à caractère personnel collectées doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs .

La formation restreinte estime qu’il est parfaitement légitime de procéder à la collecte d’informations relatives aux personnes proposant ou recherchant un bien immobilier, en vue d’adapter les prestations fournies par la société aux situations individuelles et de faciliter la relation commerciale avec la clientèle.

En revanche, elle ne saurait admettre que soient enregistrés des commentaires excessifs et inappropriés sur ces personnes, qui seraient susceptibles de porter gravement atteinte à leur vie privée.

Or, parmi les commentaires concernant les clients de la société qui ont été relevés lors du contrôle, un grand nombre d’entre eux s’avère être à tout le moins inappropriés et subjectifs, voire insultants, comme par exemple : « travaille dans la sécurité a 3 chiens dont 2 rotvellers », « la femelle n’est pas déclarée et son voisin serait un policier donc non », « gros con », « enquête du SRPJ en cours », « problèmes d’alcool et expulsion d’un logement », « la loc est pour le fils », « il est adulte handicapé et fait une formation de plombier au gretta », « locataire enceinte », « cas social », « Locataire indélicat (prison)!! », « Son mari est décédé », « son enfant un mois plus tard… Encore un peu sous le choc », « tante de mr Talpin dont il sera héritier au décès de celle ci (96 ans en maison de retraite) », « étudiante dom tom avec garant », « folle! En dépression », « semble avoir la maladie d’Alzheimer », « Etait légèrement alcoolisée… », « il sentait l’alcool lors de la visite ou encore seule dans la vie (sa fille est décédée) ».

La formation restreinte constate que ces commentaires portent une appréciation subjective sur les clients et prospects de la société et sont parfois même insultants à leur égard. De façon générale, ils portent gravement atteinte à la vie privée des personnes, qui ne sauraient tolérer que des informations aussi intimes soient retranscrites dans les fichiers de la société.

La formation restreinte considère donc que ces commentaires sont excessifs au sens du 3° de l’article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée.

La société, si elle ne conteste pas la matérialité des faits reprochés, se défend en revanche de toute violation des termes de cet article en contestant sa qualité de responsable du traitement […], et en soutenant par conséquent que ces commentaires ne lui seraient pas imputables.

La formation restreinte a déjà établi que la société X devait être tenue responsable des traitements effectués dans le cadre de cet outil métier utilisé par ses filiales, qu’elle pilote, gère, maintient et héberge dans leur ensemble. Dans ces conditions, elle considère que la société n’a pas respecté l’obligation qui lui incombait de veiller à l’adéquation, à la pertinence et au caractère non excessif des données dans la base […]. 3. Sur le grief de non-respect de l’interdiction de collecter ou de traiter des données relatives à la santé des personnes ou faisant apparaître leurs opinions religieuses

Aux termes de l’article 8 de la loi du 6 janvier 1978 modifiée, il est interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci. Toutefois, ne sont pas soumis à cette interdiction les traitements pour lesquels la personne concernée a donné son consentement exprès, sauf dans le cas où la loi prévoit que l’interdiction visée au I ne peut être levée par le consentement de la personne concernée (1°), ni les traitements portant sur des données à caractère personnel rendues publiques par la personne concernée (4°).

En l’espèce, il n’est pas contesté que de nombreux commentaires pouvant être qualifiés de données sensibles au sens de cette disposition ont été relevés dans la base […], notamment : « locataire enceinte », « semble avoir la maladie d’Alzheimer », « Monsieur a la maladie de parkinson et des problèmes pour parler », « maladie génétique », « mme est depressive », « mari malade amiante », « elle a attrapé une maladie au Sénégal », « Mme prothèse hanche et Mr a eu cancer gorge », « depuis difficultés respiratoires », « Sa maman est décédée en juillet 2009 (Maladie de Charcot) », « recherche un T3 proche Magalas pour se rapprocher de leur fille (atteinte d’un cancer) », « Famille de juifs très pratiquant », ou encore « propriétaire est prêtre à la retraite ».

La société soutient que l’enregistrement de ces données dans la base ne saurait lui être reproché. Selon elle, il ne serait pas démontré que ces commentaires n’ont pas été donnés directement par les personnes concernées dans le but de faciliter l’exécution de la prestation ou d’expliquer à l’agence le contexte de leur demande et de leurs attentes. De ce fait, les personnes auraient consenti à ce que les données litigieuses fassent l’objet d’un traitement, qu’elles auraient également elles-mêmes rendues publiques, au sens des 1° et 4° du II de l’article 8 de la loi du 6 janvier 1978 modifiée.

Sur ce point, la formation restreinte relève ce qui suit.

Elle rappelle, au préalable, que l’article 8 susvisé, qui vise à accorder une protection renforcée à des données considérées comme « sensibles », ne fait aucunement obstacle au fait d’enregistrer dans la base des informations relatives à des exigences spécifiques, liées à un impératif d’ordre médical – tel que par exemple un handicap nécessitant un rez-de-chaussée, un ascenseur ou une douche.

En revanche, elle ne saurait admettre que la société enregistre la pathologie affectant précisément la personne concernée, en l’absence du consentement exprès de celle-ci.

A cet égard, la société ne saurait sérieusement soutenir que les personnes ayant donné oralement des informations aux commerciaux de la société auraient, de ce fait, consenti à l’enregistrement de leurs données dans l’outil […]. La formation restreinte rappelle, à cet égard, que la notion de consentement exprès , dans un tel contexte, doit s’entendre comme la manifestation d’un consentement écrit, libre et éclairé. Elle constate en l’espèce que la société n’a aucunement justifié de l’existence de tels documents.

De même, elle estime qu’il est impossible de considérer que des informations communiquées dans un tel contexte puissent être interprétées comme ayant été rendues publiques au sens de l’article 8-II-4°. En effet, la circonstance que les personnes fournissent des informations relevant de leur vie privée à des commerciaux de la société ne révèle pas pour autant la conscience qu’elles auraient que des données sensibles les concernant soient enregistrées de manière pérenne dans un outil informatique.

Dans ces conditions, la société ne peut valablement invoquer les exceptions des 1° et 4° du II de l’article 8 de la loi du 6 janvier 1978 modifiée.

En outre, et en tout état de cause, l’enregistrement de données de santé relatives à l’entourage familial des personnes concernées dans un tel outil-métier n’a aucune justification objective, pas davantage que celui de données relatives à la religion des personnes.

Dès lors, la formation restreinte considère que l’enregistrement des données litigieuses est contraire à l’article 8 de la loi n° 78-17 du 6 janvier 1978 modifiée. – Sur les manquements constatés et la publicité de la décision

Sans qu’il soit besoin de statuer sur les autres manquements, la formation restreinte considère que la société X a violé les dispositions susvisées de la loi du 6 janvier 1978 modifiée.

Elle prend acte du fait que la société a mis en œuvre diverses mesures visant à prévenir tout nouvel enregistrement de commentaires litigieux dans la base […] à l’avenir. Toutefois, compte tenu de la sensibilité des données traitées et de l’importance de prévenir le renouvellement de tels manquements en l’espèce, la formation restreinte décide d’adresser un avertissement à l’encontre de la société.

En outre, considérant que la société n’a jugé bon de ne réagir au rapport adressé par la CNIL que très tardivement, en se contentant d’invoquer un dysfonctionnement interne pour expliquer son silence et de missionner un avocat la veille de l’audience pour assurer sa défense, la formation restreinte considère que la société a agi avec une particulière légèreté. Dans ces conditions, elle décide également d’ordonner la publicité de sa décision. PAR CES MOTIFS

Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide : – De prononcer un avertissement à l’encontre de la société X ; – De rendre publique sa décision.

La Présidente Claire DAVAL