Publicité d’une mise en demeure de la CNIL pour traitement illicite de données personnelles

La publicité a été jugée justifiée par le caractère flagrant de l’illicéité, le volume considérable de personnes concernées, la surveillance systématique et la sensibilité des données collectées, notamment les données d’identité, de déplacement et de géolocalisation. Le bureau a également retenu la nécessité d’informer le public et de sensibiliser les pouvoirs publics à la collecte de données à grande échelle.

La mise en demeure ne constitue pas une sanction. La conformité complète dans le délai de six mois entraîne sa clôture, elle-même rendue publique. La mise en demeure et la délibération ne permettent plus d’identifier nommément l’organisme à l’expiration d’un délai de deux ans suivant leur publication.

⬇️Télécharger la décision version officielle

Le traitement concernait un fichier utilisé pour inscrire systématiquement des personnes contrôlées et rechercher des infractions. Il permettait l’accès à de nombreuses informations relatives à l’identité, aux déplacements, à l’état civil, à l’adresse, à la profession, à la fonction, à la propriété ou à la location et à la géolocalisation. Le fichier comprenait 45 973 personnes, dont 392 mineurs, ainsi que des copies de 9 646 passeports et 3 051 cartes nationales d’identité.

Saisie par la présidente de la CNIL, régulièrement convoquée, le bureau a décidé de rendre publique la mise en demeure. Il a précisé que cette mesure n’était pas une sanction et qu’une mise en conformité complète entraînerait une clôture également publique.

• Établir des manquements relatifs à la licéité du traitement
• Constater l’absence de distinction entre catégories de personnes concernées
• Relever un défaut d’information des personnes
• Caractériser une illicéité flagrante du fichier
• Évaluer le nombre important de personnes susceptibles d’être touchées
• Identifier la nature sensible des données et le risque pour la vie privée
• Vérifier la saisine régulière du bureau par la présidente de la CNIL

• Constat de l’inscription systématique des personnes contrôlées
• Constat de l’accès automatique à de nombreuses informations
• Recensement de 45 973 personnes, dont 392 mineurs
• Présence de 9 646 copies de passeports
• Présence de 3 051 copies de cartes nationales d’identité
• Données d’identité, de déplacement et de géolocalisation intégrées au fichier

• Faire cesser les manquements relatifs à la licéité
• Revoir la distinction entre catégories de personnes concernées
• Mettre en conformité l’information des personnes
• Documenter la conformité dans le délai imparti
• Anticiper la publicité de la clôture
• Tenir compte de l’anonymisation après deux ans

À faire

• Identifier chaque finalité et base juridique du traitement
• Séparer les catégories de personnes concernées
• Vérifier l’information fournie aux personnes
• Recenser les données d’identité et de géolocalisation
• Documenter la mise en conformité sous six mois

À éviter

• Inscrire systématiquement les personnes contrôlées
• Conserver des données sans finalité licite
• Permettre des accès automatiques non justifiés
• Collecter des copies d’identité sans nécessité démontrée
• Négliger la sensibilité des données et le risque privé

La publicité d’une mise en demeure administrative

La publicité peut être décidée par le bureau de la CNIL après saisine régulière de celui-ci par la présidente, conformément au dernier alinéa du II de l’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée. Elle vise à informer le public et à sensibiliser les pouvoirs publics sur les manquements constatés.

Les critères de publicité d’un traitement illicite

Le bureau retient notamment l’illicéité flagrante du fichier, le nombre élevé de personnes concernées, la surveillance systématique et la nature particulièrement sensible des données. La collecte de données d’identité, de déplacement et de géolocalisation, ainsi que la recherche d’infractions, caractérise un risque particulier pour la vie privée.

La portée non répressive de la mise en demeure

La mise en demeure ne constitue pas une sanction. Si l’organisme respecte intégralement les exigences dans le délai de six mois, elle est clôturée et cette clôture est rendue publique. La décision et la délibération ne permettent plus d’identifier nommément l’organisme après deux ans suivant leur publication.