Droit d’accès aux données personnelles : sanction CNIL pour communication incomplète

L’article 39 de la loi n° 78-17 du 6 janvier 1978 impose au responsable du traitement de communiquer à la personne concernée l’intégralité des données à caractère personnel la concernant, et non une sélection d’informations d’identification ou de contacts. La transmission doit notamment couvrir les données relatives à la facturation et aux paiements lorsqu’elles figurent dans les traitements concernés.

La CNIL a considéré que la transmission tardive d’un courrier complet ne supprimait pas le manquement, dès lors que la société n’avait pas respecté la mise en demeure dans le délai imparti et n’avait pas expliqué les raisons de ses carences. Les difficultés organisationnelles liées à une absorption et à l’harmonisation des procédures ne justifient pas l’absence de réponse complète.

La société n’a pas davantage démontré l’existence d’un système effectivement opérationnel de gestion du droit d’accès. La réitération de mesures déjà annoncées antérieurement, sans preuve suffisante de leur mise en œuvre, a constitué un élément défavorable. En application de l’article 45 de la loi n° 78-17, la CNIL a prononcé une sanction pécuniaire de 7 000 euros et décidé la publication de la décision.

⬇️Télécharger la décision version officielle

Une abonnée n’a obtenu qu’une communication partielle de ses données personnelles, malgré plusieurs demandes portant notamment sur la facturation, les paiements, les communications et les échanges avec le service clientèle. Après une mise en demeure, la société absorbante a transmis les éléments complets hors délai, en invoquant des difficultés organisationnelles et techniques. La CNIL a également relevé l’absence de garanties suffisantes concernant les procédures internes.

Une abonnée d’un fournisseur d’accès à internet a demandé à plusieurs reprises la communication de l’ensemble de ses données personnelles. Après une première réponse invoquant la confidentialité et une proposition de transmission par numéro surtaxé, la société lui a adressé seulement certaines informations d’identification et d’abonnement.

La demanderesse a signalé que les données relatives à la facturation, aux paiements, aux communications et à ses échanges avec le service clientèle n’avaient pas été communiquées. Elle a saisi la CNIL, qui a demandé la transmission de l’intégralité des documents concernés.

Après plusieurs relances restées sans réponse complète, la CNIL a mis en demeure le fournisseur. La société absorbante a transmis une réponse partielle, puis a invoqué des difficultés organisationnelles et techniques liées à l’absorption. Un courrier complet n’a finalement été adressé qu’après l’expiration du délai de mise en demeure. La CNIL a également relevé l’absence de garanties suffisantes sur l’effectivité des procédures internes.

• Identifier l’ensemble des documents contenant les données personnelles concernées
• Transmettre l’intégralité des informations, notamment les données de facturation et de paiement
• Respecter le délai fixé par la mise en demeure de la CNIL
• Répondre aux demandes d’explication et de justification de la CNIL
• Établir la mise en œuvre effective d’une procédure de gestion du droit d’accès
• Ne pas se limiter à invoquer des difficultés organisationnelles ou techniques

• Courriels successifs de demande d’accès adressés par l’abonnée
• Courrier transmettant seulement les données d’identification et d’abonnement
• Échanges révélant l’absence de données de facturation et de paiements
• Courriers de relance et mise en demeure de la CNIL
• Courrier tardif adressé après l’expiration du délai imparti
• Mesures et projets de chartes déjà annoncés antérieurement

La société doit répondre intégralement aux demandes d’accès et démontrer concrètement l’effectivité de ses procédures internes. Une transmission tardive ou des explications générales ne neutralisent pas le manquement et peuvent conduire à une sanction ainsi qu’à la publication de la décision.

• Exclusion d’une réponse limitée aux données d’identification
• Prise en compte des données de facturation et de paiement
• Traçabilité des demandes et réponses adressées à la personne concernée
• Justification documentée de l’exécution d’une mise en demeure
• Preuve de l’application effective des procédures internes

À faire

• Recenser tous les traitements contenant des données personnelles
• Transmettre l’intégralité des documents concernés
• Inclure facturations, paiements, communications et échanges clientèle
• Répondre dans le délai fixé par la CNIL
• Conserver les preuves de mise en œuvre des procédures

À éviter

• Limiter la réponse aux données d’identification
• Imposer un numéro surtaxé pour exercer le droit d’accès
• Ignorer les relances de la CNIL
• Invoquer une réorganisation sans réponse complète
• Présenter des projets sans démontrer leur application effective

Le droit d’accès à l’intégralité des données personnelles

L’article 39 de la loi n° 78-17 du 6 janvier 1978 impose la communication de l’intégralité des documents contenant les données personnelles concernées. La transmission limitée aux informations d’identification et aux contacts ne satisfait pas cette obligation lorsque les traitements comprennent aussi des données de facturation et de paiement.

Le respect d’une mise en demeure de la CNIL

La société devait transmettre les documents demandés, expliquer ses carences et justifier l’exécution des mesures dans le délai fixé par la mise en demeure. Une réponse complète adressée après l’expiration de ce délai ne supprime pas le manquement constaté.

La preuve de l’effectivité des procédures internes

La présentation de mesures, de contrôles et de projets de chartes ne suffit pas à établir leur mise en œuvre réelle. La CNIL a retenu les faibles garanties résultant de la répétition de mesures déjà annoncées antérieurement et a maintenu le manquement à l’article 39.

Article 32 de la loi n° 78-17 du 6 janvier 1978, Article 38 de la loi n° 78-17 du 6 janvier 1978, Article 39 de la loi n° 78-17 du 6 janvier 1978, Article 40 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978