La Commission nationale de l’informatique et des libertés, Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés et notamment son article 21 ; Vu le décret n° 78-774 du 17 juillet 1978, pris pour l’application de la loi susvisée ; Vu la délibération n° 95-076 du 20 juin 1995 décidant une mission de vérification sur place auprès de X ; Après avoir entendu Madame Isabelle JAULIN, Commissaire, en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ; Considérant que la Commission a été saisie d’une plainte par un adhérent de X qui a pu constater que la copie d’un écran informatique du système de réservation de cette société, comportant des informations le concernant, avait été versée aux débats d’une procédure de divorce, à laquelle il n’était pas partie, à l’appui d’une démonstration d’adultère à la charge de la personne dont le nom figurait également sur la réservation ; Considérant que le document comportait des informations relatives à la réservation par le plaignant et une personne tierce d’un séjour à X (dates, lieu, références du séjour), les noms et numéros d’adhérents des bénéficiaires de la réservation, ainsi qu’un commentaire rédigé en langage libre sur des éléments totalement étrangers à la réservation, et relevant par nature de la vie privée de l’intéressé ; Considérant que par délibération n° 95-076 du 20 juin 1995, la Commission a décidé de vérifier sur place les conditions dans lesquelles sont appliquées les dispositions de la loi du 6 janvier 1978 par X ; que cette mission de vérification s’est effectuée les 22 juin et 30 juin 1995 ; Considérant que la mission de vérification a permis d’établir que le système de réservation de X était un outil de travail interne permettant aux vendeurs de l’ensemble des points de vente français d’avoir connaissance de toutes les réservations en cours, de les compléter ou de les modifier, que cette application, distincte du traitement des adhérents dans la mesure ou les informations nominatives enregistrées ne se rapportent qu’aux personnes réservataires, qu’elles deviennent ou non adhérentes du club, n’a pas fait l’objet de formalités adaptées auprès de la CNIL ; qu’en effet, les seules déclarations effectuées auprès de la CNIL par X ne s’appliquent qu’aux traitements de clients existants – les adhérents – et non aux réservations non confirmées d’un séjour ; Considérant que ce système permet l’enregistrement des informations nécessaires à la réservation d’un séjour (nom, prénom, dates, lieu, références …) ; qu’une « zone libre » permet cependant d’enregistrer des informations complémentaires en rapport avec la réservation ; Considérant que les informations traitées sont systématiquement effacées du système de réservation, dans un délai de 8 jours, lorsque le réservataire ne confirme pas son inscription ; Considérant que si la mission de vérification n’a pas permis d’identifier l’auteur de l’inscription concernant le plaignant dans la « zone libre » du système de réservation, aucune mesure de sécurité n’étant prévue par X pour permettre d’identifier le salarié qui procède à la réservation, la complète ou la modifie, il n’est pas contesté qu’une information de nature à porter atteinte à la vie privée a été enregistrée alors même qu’elle était sans rapport avec l’objet de la réservation ; qu’en outre, cette information a été portée à la connaissance de tiers qui n’avaient pas à en connaître ; Considérant que l’insuffisance des mesures de sécurité mises en oeuvre par X n’a pu qu’être propice à un acte de malveillance et est de nature à favoriser d’autres agissements de cette nature ; Considérant que s’il ne peut être fait grief à X, en sa qualité de personne responsable du fichier, d’avoir volontairement enregistré l’inscription incriminée, il demeure qu’en ayant omis de prévoir que l’alimentation et la consultation de son système de réservation devaient être associées à un système de journalisation permettant d’identifier la personne et l’heure de la dernière connexion, X a, par imprudence ou négligence, laissé divulguer une information relevant de la vie privée à des tiers qui n’avaient pas à en connaître ; Considérant qu’il doit être mis fin à cette situation par des mesures de sécurité appropriées qui devront être portées à la connaissance de la CNIL à l’occasion des formalités, prévues par l’article 16 de la loi du 6 janvier 1978, qui n’ont pas jusqu’alors été accomplies par X, s’agissant des clients réservataires. Considérant par ailleurs que la mission de vérification a permis de constater que le fichier informatisé relatif à la gestion des adhérents de X comportait, au regard d’un certain nombre de noms, une lettre « I » ou une lettre « M » ; que ces lettres identifient, d’une part, les clients à l’origine d’incidents ou de « mauvais comportements » lors des séjours organisés par X et, d’autre part, les clients ayant eu un incident de paiement avec cette société ; que l’indication de ces lettres dans le fichier informatisé est destinée à appeler l’attention de l’employé chargé des réservations sur la nécessité de diriger l’intéressé vers le responsable « Relation Adhérents », seul compétent pour apprécier la suite à donner à la nouvelle demande de réservation présentée ; Considérant qu’il y a lieu de constater que l’enregistrement de ces informations et l’identification des personnes concernées n’avaient pas été portés à la connaissance de la CNIL à l’occasion des formalités préalables accomplies par X ; Considérant que la lettre « I » renvoie à un fichier manuel qui se compose de fiches classées par ordre alphabétique dans une boîte en métal ; que les fiches sont rédigées sous forme manuscrite, en langage libre, de sorte qu’elles comportent des informations de toute nature ; qu’ainsi sont répertoriées, à titre d’exemple, des données relatives au manque d’hygiène de clients de X, à divers comportements consécutifs à l’abus d’alcool, ou encore, des références à des condamnations pénales ; Considérant, de surcroît, qu’il résulte d’une note interne diffusée par X entre les deux dates auxquelles se sont déroulées les opérations d’investigation que ce fichier comportait également des informations concernant la « santé mentale » des intéressés ; Considérant que X devra dans les plus brefs délais informer la Commission des mesures qu’il aura prises afin de supprimer de son fichier manuel d »incidents » toutes informations qui seraient contraires aux dispositions de la loi du 6 janvier 1978, et notamment à son article 30 qui réserve aux seules personnes de droit public, dans l’exercice de leur attribution, la possibilité de traiter et enregistrer des informations nominatives concernant les infractions, condamnations ou mesures de sûreté ; Considérant en outre, et dans la mesure où ces clients sont identifiés dans le fichier informatisé, que X doit présenter à la Commission une déclaration modificative du traitement déclaré sous le n° 279.149, afin de la mettre en mesure d’apprécier notamment les critères d’inscription dans le fichier, ainsi que la durée de conservation de ces informations ; – ADRESSE à cet effet, en application de l’article 21 alinéa 4 de la loi du 6 janvier 1978, un avertissement à X ; – DEMANDE à être saisie, dans un délai de trois mois, de déclarations modificatives relatives d’une part, à la mise en oeuvre du système de réservation de X et d’autre part, à l’enregistrement dans le fichier des adhérents de cette société, au regard d’un certain nombre de noms, des lettres « I » et « M » qui identifient respectivement les clients à l’origine d’incidents lors de séjours et les clients ayant eu un incident de paiement.

Le Président,

Jacques FAUVET