La Commission Nationale de l’Informatique et des Libertés,

Vu la Convention du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés et notamment son article 21 ;

Vu le décret n° 78-774 du 17 juillet 1978, pris pour l’application de la loi susvisée ;

Vu la plainte n° 93000472 et les correspondances y afférentes ;

Vu la délibération n° 93-007 du 2 février 1993 portant sur une mission d’investigation auprès de la société X ;

Vu le compte rendu de la mission de contrôle effectuée auprès de la société X et les observations en réponse de ladite société ;

Après avoir entendu Monsieur Michel BENOIST, Commissaire en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;

Considérant que la Commission Nationale de l’Informatique et des Libertés a été saisie le 15 janvier 1993 d’une réclamation relative à l’enregistrement par la société d’assurance X de la mention « homosexuel » dans son fichier de gestion de la clientèle ;

Considérant que lors de la vérification effectuée sur place, il a été constaté que l’inscription litigieuse insérée dans la zone adresse du fichier clientèle résultait de l’initiative d’un agent du courtier d’assurances Y avec lequel X est en relation d’affaire ; considérant en effet que les terminaux de X sont accessibles par le personnel de Y, qui alimente également un fichier spécifique de clients ;

Considérant que cette inscription a été effectuée à l’occasion d’un renouvellement d’adresse sur une police d’assurance relative à un contrat habitation ;

Considérant, par ailleurs, que les informations sur la vie sexuelle ne sont pas enregistrées, et que les informations médicales ne sont pas traitées par voie informatique, dans le cadre de la gestion des contrats d’assurance ; que l’inscription de la mention incriminée relève donc de la malveillance d’un agent et non d’une volonté délibérée de l’entreprise ;

Considérant que la mission de contrôle de la CNIL n’a pas permis d’identifier avec certitude l’auteur de l’inscription de la mention incriminée sur le fichier de X, même si Y a fait part de soupçons à l’encontre de l’un de ses agents dont elle s’était séparée avant la révélation de ces faits ;

Considérant que ladite mission a révélé que le contrôle de l’accès aux données du fichier des polices d’assurance de X est pratiquement inexistant dans la mesure où les salariés de Y, qui alimentent et consultent ce fichier, ne sont pas dotés d’un mot de passe individuel, à l’exception des comptables ;

Considérant par ailleurs qu’il est apparu que si Y avait supprimé la mention en cause de son fichier spécifique de clients, celle-ci avait été maintenue dans le fichier de X jusqu’à ce que le requérant se manifeste ; que la mention a dès lors été effacée du fichier de gestion ainsi que, par la suite, de la bande archive ;

Considérant que le défaut de mise à jour systématique du fichier de X par le fichier de Y révèle un manque de cohérence entre ces applications, la suppression de la mention incriminée par Y dans son fichier clients n’ayant généré aucune mise à jour dans la base des polices d’assurance de X ;

Considérant dès lors que la mission de contrôle a mis en évidence des carences graves en matière de sécurité du système informatique de la société X ; que l’insuffisance des mesures de sécurité n’a pu qu’être propice à l’agent malveillant et est de nature à favoriser d’autres agissements de même nature ;

Considérant que s’il ne peut être fait grief à la société X d’avoir volontairement enregistré la mention incriminée, il demeure qu’en ayant omis de prévoir que l’alimentation et la consultation du fichier de X devaient être subordonnées à l’attribution aux agents de Y d’un mot de passe individuel, et en n’ayant pas mis en place un procédé de mise à jour systématique des fichiers de X et de Y, la société X a, par imprudence ou négligence, laissé divulguer une information préjudiciable à la réputation ou à la considération de la personne ;

Considérant qu’il doit être mis fin à cette situation par des mesures appropriées dont il conviendra que la Commission soit tenue informée ;

Adresse un avertissement, à cet effet, à la société X en application de l’article 21, alinéa 4 de la loi du 6 janvier 1978.

Le Président,

Jacques FAUVET