La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Madame Christine MAUGÜÉ, Monsieur Bertrand du MARAIS et Monsieur Alain DRU, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la délibération n° SAN-2022-022 du 30 novembre 2022 adoptée par la formation restreinte à l’encontre de la société […] ;

Vu les éléments transmis par la société […] le 15 décembre 2022 ;

Après en avoir délibéré lors de la séance du 16 mars 2023, a adopté la décision suivante :

FAITS ET PROCÉDURE

La société […] (ci-après la société ) est une filiale du groupe […] qui est un opérateur de télécommunication fixe.

Entre le mois d’octobre 2018 et le mois de novembre 2019, la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été saisie de plaintes à l’encontre de la société. Les plaignants faisaient notamment état de difficultés rencontrées dans l’exercice de leurs droits d’accès ou d’effacement.

Par décision du 30 novembre 2022, notifiée le 7 décembre 2022, la formation restreinte a, entre autres dispositions, prononcé à l’égard de la société une injonction d’apporter une réponse aux plaignants, assortie d’une astreinte de cinq cent euros (500) euros par jour de retard à l’issue d’un délai d’un mois suivant la notification de la délibération de la formation restreinte.

L’injonction était précisément formulée en ces termes :

prononcer à l’encontre de la société […] une injonction d’apporter une réponse exhaustive aux demandes de Messieurs […] (plainte n° 19014037), […] (plainte n° 19015831), […] (plainte n° 19016618) et […] (plainte n° 19005208) qui précise l’identité du courtier en données à partir duquel elle a obtenu les données des personnes concernées .

Le 15 décembre 2022, la société a adressé un courrier au président de la formation restreinte, répondant à l’injonction.

MOTIFS DE LA DECISION

La formation restreinte relève qu’il ressort de la réponse de la société que, pour les demandes de Messieurs […] et […], l’identité du courtier qui lui avait fourni les données a été communiquée aux plaignants en réponse à leurs demandes.

S’agissant des demandes de Messieurs […] et […], la société […] leur a indiqué ne plus disposer de l’identité du courtier auprès duquel elle avait acquis les données les concernant, faute d’avoir conservé les fichiers de livraison des données en question. La société a ainsi précisé aux plaignants que leurs données avaient été transmises par un courtier en données, une société dont l’activité est de collecter des données à caractère personnel à partir de différentes sources avant de les revendre à des clients, comme […] . , sans mentionner l’identité du courtier concerné.

Bien que la formation restreinte estime que la seule communication aux plaignants d’une information générale sur le type d’entité ayant fourni les données ne constitue pas une réponse satisfaisante à leur demande de droit d’accès, elle constate que la destruction des fichiers de livraison relatifs aux données à caractère personnel des plaignants rend matériellement impossible la fourniture de l’identité des courtiers, ce dont elle prend acte. Elle relève que la société n’avait pas fait part de cette impossibilité matérielle au cours de la procédure de sanction.

Il résulte de ce qui précède que la société justifie ne plus être en mesure de se conformer totalement à l’injonction.

En conséquence, il n’y a pas lieu à liquidation de l’astreinte.

PAR CES MOTIFS

La formation restreinte de la CNIL, après en avoir délibéré, décide :

de dire n’y avoir lieu à liquidation de l’astreinte ;

de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2022-022 du 30 novembre 2022.

Le président

Alexandre LINDEN