La Commission nationale de l’informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex Türk, président ;

Etant aussi présents M. Guy Rosier, vice-président délégué, M. François Giquel, vice- président, M. Hubert Bouchet, membre, Mlle Anne Debet, membre et M. Bernard Peyrat, membre ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;

Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la délibération n° 2006-177 du 28 juin 2006 portant mise en demeure à la société X ;

Vu les saisines n° 06007845, 06007846, 06007847, 06007849, 06007960 et 06007984 ;

Vu le rapport de M. Didier Gasse, commissaire, notifié à la société X le 17 juillet 2006 et les observations en réponse reçues le 11 août 2006.

Après avoir entendu, M. Didier Gasse, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.

Constate les faits suivants :

1. Entre le 3 mai et le 2 juin 2006, la Commission nationale de l’informatique et des libertés a été saisie de nombreuses plaintes concernant la publication, dans les annuaires téléphoniques sur internet et par les fournisseurs de services de renseignements téléphoniques, des coordonnées des abonnés de l’opérateur de communications électroniques X. En particulier, ont été publiées les coordonnées de personnes qui avaient préalablement demandé leur inscription sur la « liste rouge ».

Les coordonnées de certains abonnés de l’opérateur X étant toujours publiées dans les annuaires, alors qu’ils indiquaient avoir demandé leur inscription sur la « liste rouge » conformément à l’article R. 10 du code des postes et des communications électroniques, le président de la CNIL, par des décisions n° 2006-061 C, n° 2006-63C du 24 mai 2006 et n° 2006-62C du 18 mai 2006, a engagé des missions de vérification sur place auprès de l’opérateur X, de l’éditeur d’annuaires Y et du fournisseur de services de renseignements Z.

En tant qu’opérateur de services de communications électroniques, au sens de l’article L33-1 du code des postes et des communications électroniques, la société X a l’obligation de mettre à la disposition des éditeurs d’annuaires des abonnés, et des services de renseignements téléphoniques, les coordonnées de ses abonnés qui ne se sont pas opposés à leur diffusion (article L34 du code des postes et des communications électroniques).

A cet égard, l’Autorité de Régulation des Communications Electroniques et des Postes (ARCEP) a édicté des lignes directrices le 16 décembre 2004 relatives aux conditions de cession des listes d’abonnés ou d’utilisateurs à des fins d’édition d’annuaires universels ou de fourniture de services universels de renseignements. Ces lignes directrices imposent aux opérateurs de communications électroniques « un format des listes fixant les informations à transmettre afin de garantir une compilation consistante et pertinente des informations et leur complétude ». L’ARCEP détermine en particulier les différents champs devant figurer dans le fichier mis à disposition ou transmis par les opérateurs, ainsi que les catégories de données qui doivent figurer dans chacun de ces champs et le codage ou le commentaire qui doit être associé à chacune des données.

Les missions de vérification sur place opérées auprès de la société X le 19 mai 2006, auprès de Y le 30 mai 2006 et auprès de Z le 31 mai 2006, ont permis d’établir que la société X a transmis, au cours du mois d’avril 2006, aux éditeurs d’annuaires et aux services de renseignements une liste comportant les coordonnées de plus de 120.000 personnes qui avaient demandé à ce que leurs coordonnées ne paraissent pas dans les annuaires.

Cette transmission a fait suite, selon les explications fournies par la société X, à une erreur de programmation informatique qui a intégré, au lieu de l’exclure, la « liste rouge » dans l’annuaire mis à disposition des éditeurs d’annuaires et des services de renseignements (du fait d’un décalage dans un des champs du fichier mis à disposition qui s’est avéré être celui destiné aux services d’urgence).

2. La Commission constate que ces faits constituent un manquement aux dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée en août 2004, qui dispose que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. Elle a, par délibération n° 2006-177 du 28 juin 2006, mis en demeure la société X

– d’apporter toute garantie de nature organisationnelle et technique permettant de considérer que le manquement à la sécurité constaté en mai 2006 ne se reproduira pas ;

– d’apporter toute garantie de nature organisationnelle et technique permettant de considérer que les données figurant dans l’annuaire de la société X, mis à disposition des éditeurs d’annuaires et des services de renseignements, sont conformes aux lignes directrices de l’ARCEP s’agissant notamment des champs, formats et normes à respecter. Ceci afin de permettre qu’une mise à jour des données par les éditeurs d’annuaires et les services de renseignements soit réalisée dans le délai fixé par l’article R10-5 du code des postes et des communications électroniques.

Concomitamment, compte tenu de la gravité des manquements constatés, un rapport proposant à la formation restreinte de la CNIL de prononcer un avertissement public a été adressé à la société.

3. Dans ses observations en réponse, la société X a fait état d’une évolution de ses procédures afin que le manquement constaté ne se reproduise pas.

Elle a notamment indiqué que les fichiers « images » mis à disposition des éditeurs d’annuaires et fournisseurs de services de renseignements ne pourront désormais être générés qu’à partir d’un fichier source « annuaire » évitant ainsi toute transmission erronée du fichier destiné aux services d’urgence.

La société X a également fait état de nouvelles mesures techniques concernant le référencement spécifique, dans les fichiers accessibles aux éditeurs d’annuaires et fournisseurs de services de renseignements, des abonnés ayant exercé leur droit d’opposition à figurer dans les annuaires.

Enfin, la société X a fait état des mesures prises afin de contrôler la conformité des données mises à disposition des éditeurs d’annuaires et fournisseurs de services de renseignements, et détecter d’éventuelles anomalies.

Au regard de l’ensemble de ce qui précède, la Commission considère que la société X s’est conformée à la mise en demeure du 28 juin 2006 et qu’il n’y a donc pas lieu d’envisager de sanction à cet égard.

Toutefois, la Commission estime que ces faits constatés révèlent un manquement sérieux à l’article 34 de la loi et que la divulgation non autorisée des coordonnées téléphoniques de plus de 120 000 abonnés a constitué une atteinte grave à la vie privée et à la tranquillité des personnes concernées.

En conséquence, la Commission décide de faire application des dispositions de l’article 45 de la loi du 6 janvier 1978 modifiée le 6 août 2004 et d’adresser un avertissement public à la société X sise […].

Le président, Alex TURK.