La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, Mme Marie-Hélène MITJAVILE, Mme Dominique CASTERA, M. Sébastien HUYGUE et M. Maurice RONAI, membres ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et suivants ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la saisine n° 13016955 reçue par la Commission le 3 juin 2013 ;

Vu la décision n° 2014-019 du 13 mai 2014 de la Présidente de la Commission mettant en demeure la société X (nom commercial société Y) ;

Vu la décision de la Présidente de la Commission portant désignation d’un rapporteur, en date du 1er juillet 2014 ;

Vu le rapport de M. Eric PERES, commissaire rapporteur, adressé à la société X (nom commercial Y) le 18 juillet 2014 par courrier avec avis de réception présenté le 23 juillet 2014 et non réclamé dans le délai d’instance ;

Vu les autres pièces du dossier.

Ayant entendu, lors de la séance de la formation restreinte du 9 octobre 2014 : – M. Eric PERES, commissaire, en son rapport ; – Mme Catherine POZZO DI BORGO, Commissaire du Gouvernement adjoint, en ses observations ; La société n’a présenté aucune observation écrite et n’était pas représentée à l’audience de la formation restreinte ; A adopté la décision suivante : I. FAITS ET PROCEDURE

La société X, dont le nom commercial est Y (ci-après la société), sise […], intervient dans le secteur de l’énergie et des travaux d’installation électrique dans tous locaux.

La Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission) a été saisie le 3 juin 2013 par un plaignant et son épouse ayant exercé leur droit d’opposition auprès de la société qui ne leur a pas répondu.

La Commission a ainsi demandé à la société, par plusieurs courriers en date des 25 juillet, 22 août et 28 novembre 2013, de bien vouloir prendre en compte le droit d’opposition du couple. Une ultime relance, notifiée par lettre recommandée avec avis de réception le 2 décembre 2013, précisait qu’en l’absence de réponse dans un délai de dix jours, la Commission était susceptible d’engager une procédure de sanction à son encontre.

Ces courriers étant demeurés infructueux, la Présidente de la CNIL a mis en demeure la société X de se conformer à la loi Informatique et Libertés par décision n° 2014-019 du 13 mai 2014. Le pli, avisé le 16 mai 2014, a été retourné avec la mention non réclamé.

En l’absence de conformité à la mise en demeure et aux fins d’instruction de ces éléments, la Présidente de la Commission a désigné M. Eric PERES en qualité de rapporteur, le 12 août 2014, sur le fondement de l’article 46 de la loi du 6 janvier 1978 modifiée. A l’issue de son instruction, le rapporteur a notifié à la société, par lettre recommandée avec avis de réception, un rapport détaillant les manquements à la loi qu’il estimait constitués en l’espèce. Ce pli, avisé le 23 juillet 2014 et non réclamé dans le délai d’instance, a été retourné à la Commission. Le rapport proposait à la formation restreinte de la Commission de prononcer une sanction pécuniaire d’un montant de 5.000 €, dont il sollicitait par ailleurs qu’elle soit rendue publique. Était également jointe au rapport une convocation à la séance de la formation restreinte du 25 septembre 2014 indiquant à la société qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites.

La Commission a par ailleurs adressé un courrier recommandé avec avis de réception par lequel elle informait la société d’un report d’audience au 9 octobre 2014. Ce pli, avisé le 29 août 2014, a été retiré par la société le 5 septembre 2014.

La société n’a pas produit d’observations écrites sur le rapport et ne s’est pas présentée à la séance de la formation restreinte du 9 octobre 2014. II. MOTIFS DE LA DECISION 1. Sur le manquement à l’obligation de respecter le droit d’opposition

La Présidente de la Commission a mis en demeure la société de respecter l’article 38 de la loi du 6 janvier 1978 modifiée qui dispose que Toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement. / Elle a le droit de s’opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d’un traitement ultérieur. / Les dispositions du premier alinéa ne s’appliquent pas lorsque le traitement répond à une obligation légale ou lorsque l’application de ces dispositions a été écartée par une disposition expresse de l’acte autorisant le traitement.

La formation restreinte constate, sans que cela ne soit contesté, que la société ne justifie pas avoir pris en compte la demande des plaignants d’opposition au traitement de leurs données à caractère personnel. En outre, les plaignants ont confirmé à la Commission par courriel du 5 janvier 2014 que la société n’avait toujours pas répondu à leur demande. Il en résulte que la société a donc manqué aux exigences de la mise en demeure sur ce point.

Sur la base de ces éléments, la formation restreinte considère que le manquement à l’article 38 de la loi du 6 janvier 1978 modifié est constitué. 2. Sur le manquement à l’obligation de répondre aux demandes de la CNIL

La Présidente de la Commission a mis en demeure la société de respecter les dispositions de l’article 21 alinéa 2 de la loi du 6 janvier 1978 modifiée qui mentionnent que les ministres, autorités publiques, dirigeants d’entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s’opposer à l’action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche.

En effet, la société a manqué à son obligation de coopération à plusieurs titres, notamment en ne répondant pas aux nombreux courriers que la Commission lui a adressés, en particulier ceux adressés par voie de lettres recommandées avec demande d’avis de réception. La formation restreinte relève toutefois que le courrier informant la société du report de l’audience, a été adressé le 29 août 2014 avec demande d’avis de réception, et a été retiré auprès de la poste par la société le 5 septembre 2014.

La formation restreinte constate, dès lors, que la société n’a pas respecté les termes de la mise en demeure sur ce point et considère que le manquement à l’article 21 de la loi du 6 janvier 1978 modifié est constitué. 3. Sur la sanction et la publicité

La société X n’a pas respecté les termes de la mise en demeure de la Présidente de la Commission en date du 13 mai 2014 et ne s’est pas mise en mesure de respecter les dispositions de la loi n°78-17 du 6 janvier 1978 modifiée.

La formation restreinte décide par conséquent de prononcer à son encontre une sanction pécuniaire de 3.000 € (trois mille euros).

En outre, la formation restreinte décide de rendre cette décision publique afin d’informer le public des conséquences d’un refus manifeste de coopération avec la Commission. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide :

– De prononcer une sanction pécuniaire d’un montant de trois mille euros (3.000 €) à l’encontre de la société X (nom commercial Y) ; – De rendre publique sa décision sur le site Internet de la CNIL et sur le site Légifrance. Le Président Jean-François CARREZ