Protection des données personnelles : publicité d’une mise en demeure pour détournement de finalité

La publicité est justifiée par la gravité d’un traitement incompatible avec sa finalité initiale, le volume très important de personnes concernées et la nécessité de les informer d’un risque de prospection commerciale. Elle vise également à prévenir les professionnels du secteur, alors que cette pratique avait déjà fait l’objet de rappels par les fédérations compétentes.

La mise en demeure ne constitue pas une sanction. Si l’organisme respecte intégralement les exigences dans le délai imparti, la procédure est clôturée et cette clôture est elle-même rendue publique.

⬇️Télécharger la décision version officielle

La présidente de la CNIL l’a mis en demeure de faire cesser cette pratique dans un délai d’un mois, sur le fondement de l’article 45 de la loi n° 78-17 du 6 janvier 1978.

Le bureau de la CNIL, convoqué pour statuer sur la publicité de cette mise en demeure, a relevé l’incompatibilité entre la finalité initiale des traitements et l’utilisation commerciale, le nombre très important de personnes concernées ainsi que la nécessité de les informer. Il a décidé de rendre la mise en demeure publique, en rappelant qu’elle ne constituait pas une sanction et qu’une conformité complète entraînerait la clôture de la procédure.

• Établir une utilisation des données incompatible avec leur finalité initiale
• Caractériser la gravité particulière du manquement constaté
• Prendre en compte le nombre très important de personnes concernées
• Informer les personnes exposées à une prospection commerciale
• Prévenir les professionnels du secteur concerné
• Respecter la procédure de convocation du bureau prévue par l’article 45

• Décision de mise en demeure fondée sur l’article 45
• Constat de l’utilisation commerciale de données de retraite complémentaire
• Finalité initiale limitée à la gestion de la retraite complémentaire
• Nombre très important de personnes concernées
• Rappels antérieurs des fédérations AGIRC et ARRCO

• Cesser la prospection fondée sur les données concernées
• Respecter toutes les exigences dans le délai d’un mois
• Informer les personnes exposées au démarchage commercial
• Anticiper la publicité de la mise en demeure
• Documenter la conformité pour obtenir la clôture

À faire

• Identifier les traitements utilisés à des fins commerciales
• Comparer chaque usage avec la finalité initiale
• Cesser la prospection fondée sur les données concernées
• Respecter le délai d’un mois fixé
• Documenter la conformité aux exigences de la mise en demeure

À éviter

• Réutiliser les données de retraite à des fins commerciales
• Confondre mission d’intérêt général et prospection commerciale
• Négliger le nombre de personnes concernées
• Ignorer les rappels professionnels antérieurs
• Présenter la mise en demeure comme une sanction

La compatibilité des traitements avec leur finalité initiale

Le bureau qualifie de particulièrement grave l’utilisation, à des fins de prospection commerciale, de données détenues pour la seule gestion de la retraite complémentaire. Cette utilisation est considérée comme incompatible avec la finalité initiale du traitement.

Les critères de publicité d’une mise en demeure

La publicité est justifiée par la gravité du manquement, le nombre très important de personnes concernées et la nécessité de les informer d’un risque de démarchage commercial. Elle répond également à un objectif de prévention des professionnels du secteur.

La nature non répressive de la mise en demeure

La mise en demeure fondée sur l’article 45 de la loi n° 78-17 ne constitue pas une sanction. Aucune suite n’est donnée si l’organisme respecte intégralement les exigences dans le délai imparti ; la clôture est alors rendue publique.