Protection des données personnelles : opposition, déclaration du traitement et coopération avec la CNIL

La diffusion de curriculum vitae sur un site internet constitue un traitement de données à caractère personnel au sens de l’article 2 de la loi n° 78-17 du 6 janvier 1978. Sauf exception, ce traitement doit faire l’objet d’une déclaration préalable auprès de la CNIL, conformément à l’article 22-I. L’absence de déclaration dans le délai fixé par une mise en demeure caractérise un manquement, même lorsque le responsable invoque sa bonne foi ou des moyens limités.

L’article 38 reconnaît à toute personne physique le droit de s’opposer, pour un motif légitime, au traitement de données la concernant. Le responsable du traitement, seul en mesure de retirer les données publiées, doit donner suite à cette demande dans un délai approprié. La persistance de la publication malgré des demandes répétées constitue un manquement.

En application de l’article 21, alinéa 2, les responsables de traitements doivent faciliter l’action de la CNIL et ne peuvent s’y opposer. L’absence de réponse aux courriers, la réponse tardive à la mise en demeure et le maintien en ligne des données ont caractérisé un défaut de coopération. Sur le fondement des articles 45 et suivants, la CNIL a prononcé une sanction pécuniaire limitée à un euro en considération des faibles moyens de l’association et a rendu la décision publique en raison du refus de coopération.

⬇️Télécharger la décision version officielle

Une association a maintenu en ligne le curriculum vitae d’une urbaniste malgré ses demandes de retrait et de déréférencement. La CNIL a également constaté l’absence de déclaration préalable et une coopération insuffisante avec elle. Un constat d’huissier a confirmé l’accessibilité persistante du document plusieurs mois après la mise en demeure. Trois manquements ont été retenus, entraînant une sanction pécuniaire d’un euro et la publicité de la décision.

Une association exploitait depuis 2011 un site internet consacré à l’emploi des urbanistes. Le curriculum vitae d’une urbaniste y avait été publié à sa demande, puis celle-ci a sollicité son retrait ainsi que la cessation de son référencement par les moteurs de recherche. L’association n’a pas donné suite immédiatement à ces demandes.

La CNIL a adressé plusieurs courriers, puis a mis l’association en demeure de supprimer les données, d’assurer leur déréférencement, de déclarer le traitement et de coopérer avec elle. L’association a invoqué l’absence de traitement, une demande abusive, des difficultés techniques et la faiblesse de ses moyens.

Un constat d’huissier a cependant établi que le curriculum vitae demeurait accessible plusieurs mois après la mise en demeure. La formation restreinte a retenu trois manquements : défaut de déclaration préalable, non-respect du droit d’opposition et absence de réponse effective aux demandes de la CNIL. Elle a prononcé une sanction pécuniaire d’un euro et décidé la publicité de la décision.

• Diffusion de données personnelles constituant un traitement au sens de l’article 2
• Absence de déclaration préalable auprès de la CNIL
• Demande d’opposition fondée sur un motif légitime
• Maintien des données accessibles malgré les demandes de retrait
• Absence de réponse effective aux courriers de la CNIL
• Non-respect du délai fixé par la mise en demeure
• Refus ou retard de coopération établi par les pièces du dossier

• Plainte de l’urbaniste relative au maintien de son curriculum vitae
• Courriers de la CNIL et preuves de remise de plusieurs courriers
• Mise en demeure du 13 juin 2013
• Observations écrites de l’association
• Constat d’huissier du 20 novembre 2013 établissant le maintien en ligne

L’association est sanctionnée pour ne pas avoir déclaré le traitement, retiré les données après opposition et répondu utilement à la CNIL. La faiblesse de ses moyens a limité le montant de la sanction, mais le défaut de coopération a entraîné la publicité de la décision.n

• Sanction pécuniaire limitée à un euro
• Publicité de la décision de la CNIL
• Constat de trois manquements à la loi Informatique et Libertés
• Obligation de retirer les données personnelles publiées
• Impact défavorable du défaut de coopération avec la CNIL

À faire

• Déclarer le traitement auprès de la CNIL
• Traiter rapidement toute demande d’opposition légitime
• Retirer les données personnelles du site
• Répondre à chaque courrier de la CNIL
• Conserver les justificatifs des diligences accomplies

À éviter

• Maintenir un curriculum vitae après une demande de retrait
• Prétendre qu’un site internet ne constitue pas un traitement
• Laisser sans réponse les courriers recommandés
• Répondre hors délai à une mise en demeure
• Invoquer des difficultés internes sans les documenter

La déclaration préalable des traitements de données personnelles

nLa diffusion de données à caractère personnel sur un site internet constitue un traitement au sens de l’article 2 de la loi n° 78-17 du 6 janvier 1978. En application de l’article 22-I, ce traitement devait faire l’objet d’une déclaration auprès de la CNIL. L’absence de déclaration et de justification dans le délai de la mise en demeure caractérise le manquement.n

Le droit d’opposition au traitement des données personnelles

nL’article 38 de la loi n° 78-17 reconnaît à toute personne physique le droit de s’opposer, pour des motifs légitimes, au traitement de ses données. Le responsable du traitement, seul en capacité de retirer les données, doit prendre les mesures nécessaires. Le maintien en ligne malgré les demandes répétées a caractérisé le manquement.n

La coopération avec la Commission nationale de l’informatique et des libertés

nL’article 21, alinéa 2, impose aux responsables de traitements de faciliter l’action de la CNIL. L’absence de réponse à plusieurs courriers, la réponse tardive à la mise en demeure et le maintien du site établi par constat d’huissier ont justifié le constat d’un défaut de coopération et la publicité de la décision.

Article 2 de la loi n° 78-17 du 6 janvier 1978, Article 21 alinéa 2 de la loi n° 78-17 du 6 janvier 1978, Article 22-I de la loi n° 78-17 du 6 janvier 1978, Article 38 de la loi n° 78-17 du 6 janvier 1978, Articles 45 et suivants de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978