La Commission Nationale de l’informatique et des Libertés, Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée, et notamment ses articles 16, 21, 34 et suivants ; Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l’application de la loi susvisée ; Vu le décret n° 81-1142 du 23 décembre 1981 instituant des contraventions de police en cas de violation de certaines dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu la délibération n° 87-25 du 10 février 1987 fixant le règlement intérieur de la CNIL ; Vu la délibération n° 97-086 du 4 novembre 1997 décidant une vérification sur place auprès de la société X et de la société Y ; Vu les comptes rendus des vérifications sur place notifiés le 16 février 1998 au gérant de la société X et au directeur général de la société Y et leurs observations en réponse ; Vu le courrier de saisine de la Commission en date du 20 décembre 1994 (saisine n° 94017948) ; Après avoir entendu Monsieur Jean-Pierre MICHEL, en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du gouvernement, en ses observations ; Considérant que la Commission Nationale de l’informatique et des Libertés a été saisie par un visiteur médical d’une plainte portant sur les difficultés rencontrées pour avoir accès aux informations le concernant, détenues par la société X ainsi que par la société Y, chargée d’exploiter pour le compte de la société X les comptes rendus de visite établis par les visiteurs médicaux ; Considérant que ce visiteur médical souhaite en particulier pouvoir produire, dans le cadre d’une action en justice qui l’oppose à la société X qui l’employait, le nombre de visites quotidiennes qu’il effectuait auprès des médecins, pour la période du 1er septembre 1992 au 30 juillet 1994 ; Considérant qu’en réponse à la demande du requérant la société Y lui a tout d’abord indiqué, par lettre du 14 octobre 1994, qu’elle avait techniquement besoin d’un délai pour sa réalisation, puis par lettre du 16 novembre 1994, qu’il ne lui paraissait pas possible, au regard des dispositions de la loi du 6 janvier 1978, de répondre favorablement à sa demande et enfin, par lettre du 13 décembre 1994, qu’elle ne gérait pas d’historique supérieur à trois mois pour les données sollicitées par le requérant ; Considérant qu’à la suite des démarches entreprises par la CNIL auprès de la société Y, celle-ci a fait valoir, par lettre du 16 novembre 1995, qu’elle n’était pas responsable du traitement au sens de la loi informatique et libertés, et que, dans cette mesure, il ne lui paraissait toujours pas possible de prendre l’initiative de répondre à la demande du requérant sans l’autorisation du client propriétaire des informations concernées, en l’espèce la société X ; Considérant que, malgré les démarches engagées par la Commission auprès de la société X, aucune réponse n’avait été apportée par cette dernière ; qu’en conséquence, par délibération du 4 novembre 1997, la Commission a, en application de l’article 21-2°) de la loi du 6 janvier 1978, décidé de procéder à une mission de vérification sur place auprès des sociétés X et Y ; Considérant que la délégation désignée par la Commission pour procéder à cette vérification s’est rendue, le 4 février 1998, dans les locaux de ces deux sociétés où elle a recueilli les observations des personnes présentes ; Considérant que la société X fait valoir qu’elle ne détient plus les informations sollicitées par le requérant ; qu’il ressort des éléments recueillis au cours de la vérification que celles-ci, au moins pour l’année 1994, sont conservées par la société Y sur des supports de sauvegarde ; qu’en effet il résulte du compte rendu de la vérification sur place que les informations relatives à l’activité des visiteurs médicaux sont conservées 24 mois en ligne et font l’objet de sauvegardes régulières effectuées chaque semaine ; Considérant dès lors que, si les sociétés X et Y avaient répondu en 1994 à la demande de droit d’accès présentée par le requérant, ce dernier aurait pu obtenir l’intégralité des informations le concernant ; Considérant que conformément à l’article 34 de la loi du 6 janvier 1978, toute personne justifiant de son identité a le droit d’interroger les services ou organismes chargés de mettre en oeuvre les traitements automatisés d’informations nominatives en vue d’obtenir communication des informations la concernant ; Considérant qu’il résulte de l’article 35 de la loi précitée que la communication des informations concernant le titulaire du droit d’accès doit être complète, c’est-à-dire comporter l’ensemble des informations conservées dans un traitement automatisé ou non automatisé au jour où la demande de droit d’accès est présentée et doit être conforme au contenu des enregistrements, quel que soit le procédé technique de conservation auquel il est recouru ou le lieu de conservation des informations ; Considérant que, dans la mesure où Y a déclaré auprès de la Commission un traitement ayant pour objet la gestion de l’information transmise par les délégués médicaux et la gestion des fichiers médicaux, les sociétés X et Y sont tenues, ensemble, de prendre toutes dispositions pour satisfaire à la demande de droit d’accès présentée par le requérant ; Considérant, en outre, que, dès lors que la société X est responsable au regard des dispositions de la loi du 6 janvier 1978 du traitement mis en oeuvre pour la gestion des comptes rendus de visite assurés par les visiteurs médicaux qu’elle salarie, elle doit accomplir auprès de la CNIL les formalités requises au titre de l’article 16 de la loi du 6 janvier 1978 ; qu’il en est de même pour le traitement qu’elle met en oeuvre pour la gestion d’un fichier des médecins ; Prenant acte de ce que la société X a adressé à la Commission, le 21 avril 1998, une déclaration ordinaire relative à un traitement automatisé d’informations nominatives dont la finalité principale est la gestion des médecins ; Considérant toutefois que cette déclaration ne concerne que le fichier des médecins et ne fait pas mention du traitement, par la société Y, de la gestion de la visite médicale ; qu’au surplus, la déclaration ne précise pas la durée de conservation des informations ni les mesures prises pour faciliter l’exercice du droit d’accès ; RAPPELLE que, conformément aux dispositions des articles 34 et suivants de la loi du 6 janvier 1978, toute personne peut obtenir communication des informations la concernant, enregistrées dans un traitement ; DEMANDE aux sociétés X et Y de prendre toutes dispositions nécessaires afin que le requérant obtienne, dans un délai maximum d’un mois à compter de la notification de la présente délibération, les informations le concernant détenues par la société Y, y compris celles qui sont conservées dans les fichiers de sauvegarde ; RAPPELLE que toute mise en oeuvre de traitement automatisé d’informations nominatives est subordonnée à l’accomplissement de formalités préalables auprès de la CNIL et que, conformément à l’article 19 de la loi du 6 janvier 1978, la déclaration doit notamment mentionner les dispositions prises pour faciliter l’exercice du droit d’accès et la durée de conservation des informations ; DEMANDE à la société X de lui adresser dans un délai de 15 jours, un dossier de déclaration du traitement de visite médicale mis en oeuvre par la société Y et de compléter la déclaration relative au fichier des médecins, par la mention des dispositions prises pour faciliter l’exercice du droit d’accès et de la durée de conservation des informations ; DECIDE, faisant application des dispositions de l’article 21-4°) de la loi du 6 janvier 1978, d’adresser à cet effet un avertissement à la société X et à la société Y.

Le Président,

Jacques FAUVET