Protection des données personnelles : sanction CNIL pour défaut d’information et de réponse

La CNIL sanctionne la société sur le fondement de l’article 45 de la loi du 6 janvier 1978, après avoir constaté une exécution seulement partielle de sa mise en demeure. La société avait régularisé plusieurs formalités, supprimé un fichier d’interpellations et des commentaires excessifs, et désigné un correspondant informatique et libertés. Ces mesures ont été prises en compte, sans neutraliser les manquements persistants.

L’article 32 imposait l’information des salariés et des clients sur les traitements et leurs droits. Les affichages produits pour la vidéosurveillance et le traitement Packauto ne suffisaient pas : aucune information du personnel concernant les espaces non ouverts au public n’était établie, et aucune documentation complète n’était fournie pour les autres traitements. La CNIL retient que cette carence empêchait l’exercice effectif des droits des personnes.

Le 5° de l’article 6 exige une conservation n’excédant pas la durée nécessaire aux finalités poursuivies. La durée active des données clients devait être distinguée de l’archivage comptable prévu par l’article L. 123-22, alinéa 2, du code de commerce. Aucun manquement n’est toutefois retenu sur ce point en l’état.

Enfin, l’article 21 oblige les responsables de traitements à faciliter l’action de la CNIL. L’absence totale de réponse dans le délai imparti, malgré la réception de la mise en demeure, caractérise un manquement autonome. Une sanction pécuniaire de 30 000 euros est prononcée, avec publication de la décision.

⬇️Télécharger la décision version officielle

La CNIL a constaté plusieurs manquements dans les traitements de données d’un centre automobile : vidéosurveillance non déclarée, commentaires excessifs, liste de clients indésirables, fichier de personnes interpellées, logiciel de gestion du temps non déclaré, information insuffisante et absence de durée de conservation. Malgré des mesures partielles, la société n’a pas respecté la mise en demeure. Une sanction de 30 000 euros et la publication de la décision ont été prononcées.

Une personne ayant confié son véhicule au centre automobile de la société X apprend qu’elle fait l’objet de commentaires inscrits dans une fiche client. Une plainte est déposée auprès de la CNIL, qui effectue un contrôle sur place.

La Commission constate notamment l’existence d’un dispositif de vidéosurveillance non déclaré pour les lieux non ouverts au public, d’un logiciel de gestion automobile contenant des commentaires excessifs et une liste de clients indésirables, d’un fichier manuel de personnes interpellées pour vol et d’un logiciel de gestion du temps de travail non déclaré. Les personnes concernées ne sont pas suffisamment informées et aucune durée de conservation n’est définie.

La CNIL met la société en demeure de régulariser ces traitements. La société désigne ensuite un correspondant informatique et libertés, supprime certains fichiers et commentaires, et produit des éléments d’affichage. Elle ne répond toutefois pas à la mise en demeure dans le délai imparti et ne justifie pas de mesures d’information complètes. La CNIL prononce une sanction pécuniaire de 30 000 euros et ordonne la publication de la décision.

• Réception régulière de la mise en demeure de la CNIL
• Absence de réponse dans le délai imparti
• Information incomplète des salariés et des clients
• Traitement de données ne respectant pas les exigences de l’article 32
• Commentaires clients excessifs au regard de la finalité du traitement
• Mesures correctives seulement partielles

• Rapport de contrôle sur place de la CNIL
• Commentaires enregistrés dans le logiciel Packauto
• Accusé de réception de la mise en demeure
• Photographies des affichages d’information
• Liste des traitements produite par la société
• Absence de correspondance avant le rapport de sanction

La société supporte une sanction pécuniaire de 30 000 euros et la publication de la décision. Elle doit compléter l’information des personnes, encadrer les commentaires clients et organiser une réponse documentée aux demandes de la CNIL.

• Sanction financière de 30 000 euros
• Publication sur le site de la CNIL et Légifrance
• Information complète des salariés et des clients
• Suppression des commentaires excessifs
• Formalisation de critères objectifs pour les incidents
• Mise en place d’une procédure de réponse à la CNIL

À faire

• Recenser tous les traitements de données personnelles
• Vérifier les formalités préalables applicables
• Informer salariés et clients selon l’article 32
• Définir des critères objectifs pour les commentaires clients
• Répondre à toute demande de la CNIL dans le délai

À éviter

• Conserver des qualificatifs subjectifs sur les clients
• Exclure un client sans critères objectifs documentés
• Utiliser une vidéosurveillance sans information du personnel
• Confondre conservation active et archivage comptable
• Rester silencieux après une mise en demeure

Les formalités préalables des traitements de données personnelles

La société devait accomplir les formalités requises avant la mise en œuvre des traitements. La désignation d’un correspondant informatique et libertés a permis de dispenser certains traitements de déclaration. Le fichier de personnes interpellées relevait toutefois de l’autorisation prévue à l’article 25 de la loi du 6 janvier 1978 et a été supprimé. La CNIL considère finalement que la mise en demeure a été respectée sur ce manquement, malgré l’absence de preuve concrète de la suppression du fichier.

Les critères de pertinence et de proportionnalité des données

Le 3° de l’article 6 de la loi du 6 janvier 1978 exige des données adéquates, pertinentes et non excessives au regard de la finalité du traitement. Les commentaires qualifiant certains clients et conduisant à leur exclusion de prestations ne répondaient pas à cette exigence. La suppression des commentaires excessifs et la mise en place d’une procédure fondée sur des critères objectifs ont permis à la société de se conformer à la mise en demeure.

L’information des personnes et la coopération avec la CNIL

L’article 32 imposait d’informer les salariés et les clients sur les traitements et leurs droits. Les seuls affichages produits ne couvraient pas l’ensemble des traitements ni le personnel exposé à la vidéosurveillance. L’article 21 imposait également de faciliter l’action de la CNIL. L’absence de réponse à la mise en demeure dans le délai imparti constitue un manquement persistant, justifiant avec les carences d’information une sanction de 30 000 euros.

Convention n° 108 du Conseil de l’Europe du 28 janvier 1981, Loi n° 78-17 du 6 janvier 1978, Article 6 de la loi n° 78-17 du 6 janvier 1978, Article 21 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 25 de la loi n° 78-17 du 6 janvier 1978, Article 32 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article L. 123-22 du Code de commerce