La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ; Etant aussi présents M. Jean-François CARREZ, M. Claude DOMEZEIL, Mme Marie-Hélène MITJAVILE et M. Dominique RICHARD, membres ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2013-020 du 13 juin 2013 de la Présidente de la Commission nationale de l’informatique et des libertés mettant en demeure l’Association X ;

Vu le rapport de Mme Laurence DUMONT, commissaire rapporteur, adressé par courrier au président de l’Association X, le 2 décembre 2013 ;

Vu les observations écrites versées par l’Association X le 12 décembre 2013, ainsi que les observations orales formulées lors de la séance de la formation restreinte;

Vu le constat d’huissier du 20 novembre 2013 ;

Vu la plainte n°12035214 du 21 novembre 2012 ;

Vu les autres pièces du dossier ;

Ayant entendu, lors de la séance de la formation restreinte du 16 Janvier 2013 : – Mme Laurence DUMONT, commissaire, en son rapport ; – Mme Catherine POZZO DI BORGO, commissaire du Gouvernement adjoint, en ses observations ; – M. XX en sa défense ; – Le représentant de l’Association X ayant pris la parole en dernier ;

A adopté la décision suivante :

I. FAITS ET PROCÉDURE L’Association X (ci-après l’association) est une association créée en 1911, elle compte environ 300 membres dont 200 sont cotisants. Son objet social est lié à la réflexion sur […]. Elle dispose depuis 2011 d’un site internet dédié à l’emploi des urbanistes.

Le 21 novembre 2012 la Commission nationale de l’informatique et des libertés (ci-après la Commission ou la CNIL) a été saisie d’une plainte d’une urbaniste faisant état de sa difficulté à obtenir la suppression de son curriculum vitae, publié initialement à sa demande, du site de l’association. Elle se plaignait par ailleurs du référencement de ce document dans les moteurs de recherches externes et de ce fait, de la diffusion de données à caractère personnel la concernant. Ne pouvant supprimer les données, une demande de suppression avait été formulée par la plaignante auprès de l’association sans qu’il y soit fait droit ou même répondu.

Par courrier du 4 janvier 2013, la CNIL a rappelé à l’association les dispositions de la loi du 6 janvier 1978 modifiée relative à l’informatique et aux libertés. Sans répondre à la Commission, l’association a demandé à la plaignante de retirer sa plainte et de reformuler sa demande.

Les 31 janvier et 8 mars 2013, la Commission a, par courrier recommandé, rappelé les termes de son courrier du 4 janvier. Aucune réponse n’a été faite à ces courriers.

Par décision n°2013-020 du 13 juin 2013 de la Présidente de la Commission a mis en demeure l’association de procéder, sous quinze jours, notamment à la suppression des données à caractère personnel de la plaignante et de s’assurer du déréférencement, de ne pas s’opposer à l’action de la commission et de procéder à la formalité préalable de déclaration de son site. En l’absence de réponse dans le délai, un courrier de relance a été adressé à l’association le 11 juillet 2013.

En réponse à cette relance, l’association a fait connaitre ses observations le 12 juillet 2013. Elle estime ne pas procéder à un traitement de données à caractère personnel concernant la plaignante et être confrontée à une demande abusive de la plaignante. Elle indique que le retrait des informations publiées aurait dû être réalisé par la plaignante et fait valoir la faiblesse de ses moyens humains et financiers. Elle précise avoir néanmoins donné ordre à son prestataire de faire cesser la diffusion des données litigieuses.

Par courrier avec accusé de réception en date du 18 octobre 2013, la commission informait l’association du fait que le dossier faisait encore l’objet de mesures d’instruction. Le 20 novembre 2013, un constat d’huissier diligenté à la demande de la commission constatait la présence du curriculum vitae de la plaignante sur le site de l’association.

Sur la foi de ces éléments, la présidente de la Commission a désigné comme rapporteur Mme Laurence DUMONT, Commissaire, membre de la CNIL, sur le fondement de l’article 46 de la loi du 6 janvier 1978 modifiée.

A l’issue de son instruction, considérant que l’association avait manqué à plusieurs obligations lui incombant en application de la loi du 6 janvier 1978 modifiée, le rapporteur a fait notifier à l’association par courrier du 2 décembre 2013, un rapport détaillant les manquements à la loi qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l’encontre de l’association une sanction pécuniaire, dont il sollicitait par ailleurs qu’elle soit rendue publique.

Était également jointe au rapport une convocation à la séance de la formation restreinte du 16 janvier 2014 indiquant à l’association qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites.

L’association a produit, par courrier daté du 11 décembre 2013, des observations écrites sur le rapport, réitérées oralement lors de la séance de la formation restreinte du 16 janvier 2014.

A l’issue de cette procédure, et après en avoir délibéré, la formation restreinte a adopté la décision dont la teneur suit.

II. MOTIFS DE LA DÉCISION 1. Sur le manquement à l’obligation d’accomplir les formalités préalables à la mise en œuvre du traitement

L’article 22-I de la loi du 6 janvier 1978 modifiée dispose que A l’exception de ceux qui relèvent des dispositions prévues aux articles 25, 26 et 27 ou qui sont visés au deuxième alinéa de l’article 36, les traitements automatisés de données à caractère personnel font l’objet d’une déclaration auprès de la Commission nationale de l’informatique et des libertés.

Aux termes de la mise en demeure du 13 juin 2013, l’association disposait d’un délai de 15 jours pour procéder aux formalités et en justifier auprès de la Commission.

Il est établi que l’association n’a procédé à aucune déclaration pour son site internet et ne revendique pas le bénéfice des dispositions du II de l’article 22.

En sa défense, l’association fait valoir qu’à son sens elle ne procédait à aucun traitement de données à caractère personnel par l’intermédiaire de son site. Elle indique n’avoir compris que tardivement que la diffusion de curriculum vitae sur un site internet pouvait être qualifiée de traitement et que c’est en toute bonne foi qu’elle estimait que les dispositions de la loi du 6 janvier 1978 modifiée ne lui étaient pas applicables. Elle précise par ailleurs que l’association dispose des ressources matérielles et humaines très limitées.

La formation restreinte rappelle qu’il ne saurait être contesté sérieusement que la diffusion de données à caractère personnel sur un site internet constitue un traitement au sens de l’article 2 de la loi du 6 janvier 1978 modifiée. Elle constate que l’association ne s’est pas conformée dans les délais indiqués à la mise en demeure en ne procédant pas aux formalités attendues et qu’elle n’a pas justifié auprès de la commission de ses diligences ou de circonstances propres à écarter l’application de la loi susvisée.

Dans ces conditions, la formation restreinte constate le manquement à l’obligation d’accomplir les formalités préalables à la mise en œuvre du traitement et que l’association ne respecte pas les termes de la mise en demeure du 13 juin 2013.

2. Sur le manquement à l’obligation de respecter le droit d’opposition

L’article 38 de la loi du 6 janvier 1978 modifiée dispose en ses alinéas 1 et 2 que toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement.

Elle a le droit de s’opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d’un traitement ultérieur.

Il est établi que malgré les demandes répétées, tant de la plaignante que de la commission, y compris dans le cadre de la mise en demeure du 13 juin 2013, les données à caractère personnel de la plaignante présentes sur le site de l’association sont restées accessibles jusqu’à la date du 20 novembre 2013, à tout le moins.

En sa défense l’association entend faire valoir que la plaignante aurait pu retirer lesdites données par ses propres moyens et que si elle n’a pu le faire ou si un tel retrait n’a pas été opéré par son prestataire informatique, malgré des ordres donnés en ce sens, c’est en raison de circonstances techniques inexpliquées. Elle avance à ce sujet sa bonne foi et atteste, par courrier du 11 décembre 2013, avoir ordonné la mise hors ligne de son site.

La formation restreinte constate, outre le refus initial opposé à la plaignante que l’association, alors seule en capacité de procéder au retrait, n’a pas pris que tardivement les dispositions nécessaires pour faire cesser la publication des données à caractère personnel de la plaignante sur son site internet.

Dans ces conditions, la formation restreinte constate le manquement à l’obligation de faire droit à une demande de droit d’opposition fondée sur un motif légitime et que l’association n’a pas respecté les termes de la mise en demeure sur ce point.

3. Sur le manquement à l’obligation de répondre aux demandes de la CNIL La Présidente de la Commission a mis en demeure le 13 juin 2013 l’association de respecter les dispositions de l’article 21 alinéa 2 de la loi du 6 janvier 1978 modifiée qui dispose que les ministres, autorités publiques, dirigeants d’entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s’opposer à l’action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche .

Il est établi que l’association s’est abstenue de répondre aux courriers des 4 janvier, 28 janvier, 8 mars 2013 alors que les preuves de remise de deux de ces courriers ont été retournées à la commission ; le courrier adressé le 18 octobre 2013, a été retourné avec la mention non réclamé. Ce n’est que tardivement et en tout état de cause hors délai, qu’elle a répondu à la mise en demeure.

Enfin, il est également avéré que malgré les affirmations de l’association, formulées dans son courrier du 12 juillet 2013, le site internet restait actif le 20 novembre 2013 comme cela a été établi par constat d’huissier.

L’association entend faire valoir en défense que les membres du bureau de l’association sont tous des bénévoles, que le budget de l’association ne lui permet pas d’employer du personnel administratif et que son siège étant fixé à Paris ce n’est que très épisodiquement que le courrier est relevé. Par ailleurs, l’absence de retrait des données à caractère personnel résulterait d’un dysfonctionnement que n’explique pas l’association et ceci malgré des ordres donnés clairement en ce sens.

La formation restreinte constate, dès lors, que l’association n’a pas respecté les termes de la mise en demeure sur ce point.

4. Sur le manquement constaté et la publicité de la décision

Dans ces conditions, la formation restreinte constate que l’association n’a pas respecté les termes de la mise en demeure de la Présidente de la Commission en date du 13 juin 2013 et ne s’est pas mise en mesure de respecter les dispositions de la loi n°78-17 du 6 janvier 1978 modifiée.

La formation restreinte décide par conséquent de prononcer à son encontre une sanction pécuniaire dont elle limite le montant à 1 € (un euro) au regard de la faiblesse des moyens propres de l’association

En raison du refus de coopération de l’association avec la Commission, la formation restreinte décide de rendre cette décision publique.

PAR CES MOTIFS

Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide :

– De prononcer une sanction pécuniaire de 1 euro (1 euro) à l’encontre de l’Association X – De rendre publique sa décision.

La Présidente

Claire DAVAL

Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.