La Commission nationale de l’informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex Türk, président ;

Etant aussi présents M. Guy Rosier, vice-président délégué, M. François Giquel, vice-président, Mlle Anne Debet, membre, M. Hubert Bouchet, membre, M. Bernard Peyrat, membre ; Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ;

Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;

Vu la délibération de la Commission nationale de l’informatique et des libertés n° 87-25 du 10 février 1987 modifiée par la délibération n°2004-098 du 9 décembre 2004 fixant le règlement intérieur de la CNIL ;

Vu la délibération n° 2005-089 du 10 mai 2005 portant mise en demeure de la Fédération X ;

Vu le rapport de M. Didier Gasse, commissaire, notifié le 3 avril 2006 à la Fédération X et les observations en réponse reçues le 4 mai 2006 ;

Après avoir entendu, lors de la réunion du 10 mai 2006, M. Didier Gasse, commissaire, en son rapport et Madame Catherine Pozzo di Borgo, commissaire adjoint du gouvernement, en ses observations. Après avoir entendu, lors de la réunion du 10 mai 2006, les observations orales de maître A, avocat, maître B, avocat et M. C, consultant, ceux-ci ayant pris la parole en dernier. Constate les faits suivants :

A la suite d’une mission de contrôle sur place diligentée auprès de la Fédération X les 23 et 24 mars 2005, la Commission, réunie en formation restreinte le 10 mai 2005, a mis en demeure la Fédération X, sous un délai de deux mois à compter de la date de réception de sa décision :

– de faire figurer sur l’ensemble des formulaires de collecte de données à caractère personnel, quel que soit leur support, les mentions prévues par l’article 32 de la loi, en indiquant de manière spécifique que les données à caractère personnel peuvent être utilisées à des fins commerciales et que les titulaires de licences sont en mesure de s’y opposer sans frais ; – de mettre en œuvre de nouvelles modalités d’élections afin de garantir le secret du vote ; – de ne diffuser des données à caractère personnel sur son site internet qu’après avoir informé individuellement les personnes concernées et leur avoir permis de s’y opposer ; – de sécuriser les modes de transmission des codes secrets permettant aux responsables des clubs et organismes équestres d’avoir des droits d’accès privilégiés au site internet de X ; – de se mettre en conformité au regard des dispositions de la loi relatives aux formalités préalables. M. D, président de X, a fait connaître à la Commission, par lettre recommandée avec accusé réception en date du 24 juin 2005, les éléments de réponse attestant que X se conforme à la mise en demeure qui [lui a été] adressée. Ces réponses ne répondant pas à toutes les demandes formulées par la CNIL dans sa mise en demeure du 10 mai 2005, une audition a été organisée conformément à l’article 74 alinéa 2 du décret n° 2005-1309 du 20 octobre 2005 avec Mme E, administrateur provisoire de X nommé par jugement rendu le 21 octobre 2005. Lors de l’audition du 28 novembre 2005, il a été convenu avec X que des informations complémentaires devaient être adressées à la CNIL avant le 31 janvier 2006.

Dans un courrier du 16 janvier 2006, l’administrateur provisoire de X a adressé à la CNIL la copie d’une lettre datée du 1er décembre 2005 émanant du prestataire informatique de X apportant certains premiers éléments de réponse aux demandes formulées par la CNIL lors de l’audition du 28 novembre 2005.

Ce courrier n’apportait néanmoins qu’une information partielle sur les éléments techniques attendus concernant la mise en œuvre du dispositif de vote électronique et aucune information sur les demandes de la Commission concernant les mentions d’informations à intégrer dans les formulaires de collecte données utilisés par X ainsi que sur les déclarations à adresser à la CNIL.

Dans un courrier daté du 9 février 2006, faisant suite à une relance adressée par les services de la Commission, l’administrateur provisoire de X a adressé un second courrier auquel était annexé l’ensemble des formulaires de collecte de données utilisés par X ainsi que des documents techniques concernant le dispositif de vote (un cd relatif au fonctionnement des logiciels utilisés comprenant un spécimen de bulletin de vote).

Les dossiers de déclaration attendus n’ayant toujours pas été adressés à la Commission, les services de la Commission ont adressé une nouvelle relance à X.

Par un courrier du 23 février 2006, deux dossiers de déclaration ont été adressés à la Commission ayant respectivement pour finalité : la gestion des membres (gestion des licenciés, des clubs, des concours, etc.) et les modalités de vote au sein des instances fédérales.

L’ensemble des éléments d’information communiqués par X à la CNIL au cours de la procédure ainsi que de ceux recueillis lors d’une seconde mission de contrôle sur place diligentée le 22 mars 2006 auprès du service X Club situé à Lamotte-Beuvron conduisait aux conclusions suivantes :

1. Sur la conformité à la loi du 6 janvier 1978 modifiée le 6 août 2004 des formulaires de collecte de données utilisés par X. L’analyse de ceux-ci ne permettait pas à la Commission, s’agissant des formulaires papier, de considérer que les prescriptions de l’article 32 de la loi du 6 janvier 1978 modifiée le 6 août 2004 avaient été respectées puisque seul un formulaire sur les treize utilisés faisait mention de façon explicite de la cession des données à des tiers et de la possibilité, pour les personnes concernées, de s’y opposer. Ce point figurait pourtant de façon explicite dans la mise en demeure du 10 mai 2005.

Il convient par ailleurs de relever qu’à l’occasion d’une réclamation qui leur a été adressée, les services de la CNIL ont pris connaissance de l’envoi d’informations issues du fichier de membres de X à un syndicat professionnel dénommé Groupement Y. La mission de contrôle diligentée le 22 mars 2006 a permis de confirmer que Y avait bien accès à une partie du fichier des membres de X (notamment identité des dirigeants de club, catégorie et état de leur cotisation) dans le cadre d’un accord aux termes duquel X prend en charge financièrement la cotisation de ses adhérents à Y.

Un contrôle réalisé dans les locaux de Y le 22 mars 2006 a en particulier permis de constater que, outre le fait que l’architecture de l’application informatique développée pour Y est identique à celle développée pour X, Y réalise des opérations de prospection à caractère syndical sur la base des informations accessibles dans le fichier de X alors qu’aucune information préalable des personnes concernées n’était effectuée.

2. Sur les modalités de mise en œuvre du dispositif de vote électronique Les services de la Commission ont relevé que les bulletins de vote comporteraient, comme cela avait été demandé, un pré-découpage destiné à les séparer en deux parties : l’une comportant l’identifiant du club votant (matérialisé sous forme de code-barres généré aléatoirement, associé à un club de façon unique), l’autre où figureraient le sens du vote exprimé ainsi qu’un code-barres correspondant au poids du vote (généré aléatoirement mais identique pour tous les clubs ayant le même poids). Le code-barres du poids du club, généré de façon aléatoire avec les lettres de l’alphabet prises par groupe de trois est destiné à prendre en compte le nombre de licences, le nombre de licences cheval, le nombre de licences poney et le nombre de licence tourisme équestre. Pour que le même code-barres soit attribué à plusieurs clubs, il faudrait que le nombre total de licences et que le détail des licences (licences cheval, licences poney et licences tourisme équestre) soient strictement identiques pour l’ensemble de ces clubs, ce qui semble peu probable en pratique. Le nouveau code-barres présenté avait donc pour caractéristique de ne plus permettre la lecture directe du poids représentatif d’un club. Seules les personnes qui disposeraient de la table de correspondance auraient la possibilité de connaître le sens du vote exprimé par le responsable d’un club lorsque la codification retenue (c’est-à-dire le poids du vote) correspondrait à un seul club (codification unique). La possibilité d’établir de façon indirecte, notamment en cas de fraude interne, un lien entre le votant et le sens de son vote demeurait néanmoins. C’est pourquoi le dispositif présenté par X ne permettait pas de garantir un niveau de confidentialité suffisant sur l’identité de l’électeur et sur le sens de son vote. S’agissant par ailleurs des mesures prises pour préserver l’intégrité des données et notamment empêcher qu’elles soient déformées, celles-ci n’apparaissaient pas suffisantes au regard des éléments techniques communiqués à la CNIL. Dans son courrier du 1er décembre 2005, X indiquait que : le logiciel d’édition des bulletins de vote (…) sera enregistré sur un support amovible (…) qui sera remis ou envoyé à l’autorité compétente (…), une fois l’impression réalisée . En conséquence, le procédé proposé pour sceller le logiciel permettant d’éditer les bulletins de vote n’interviendrait qu’après l’édition de ces documents et ne comporte aucune garantie quant à la conformité des bulletins de vote édités puis adressés aux responsables des clubs votants par rapport au logiciel sauvegardé et scellé .

3. Sur la conformité à la loi de la diffusion de données à caractère personnel sur le site internet de X Les éléments de réponse apportés par X au cours de la procédure sont satisfaisants et X s’est ainsi conformée à la mise en demeure de la CNIL sur ce point.

4. Sur la mise en demeure de sécuriser les modes de transmission des codes secrets permettant aux responsables des clubs et organismes équestres d’avoir des droits d’accès privilégiés au site internet de X X s’est également conformée à la mise en demeure de la CNIL sur ce point.

5. Sur l’accomplissement des formalités préalables X s’est là encore conformée à la mise en demeure de la CNIL sur ce point.

Constatant que X ne s’était pas conformée à la mise en demeure de la CNIL sur les questions relatives au dispositif de vote ainsi qu’aux modalités d’information des personnes, le rapporteur a adressé le 3 avril 2005 à X un rapport proposant à la formation restreinte d’adopter une sanction à son encontre, dans l’hypothèse où X n’apporterait pas, le jour de l’examen du dossier par la formation restreinte, des solutions allant dans le sens des préconisations du rapport, en particulier, pour le système de vote, le recours à des mesures complémentaires telles que l’appel à un tiers de confiance ayant seul connaissance de la table de correspondance mentionnée ci-dessus. Il ressort néanmoins des observations en réponse adressées par X le 4 mai 2006 ainsi que des observations formulées oralement par ses représentants lors de la réunion du 10 mai 2006 que X s’est engagée : – à mettre en œuvre, pour tout processus électoral à venir, le processus technique figurant en annexe à la présente délibération qui apporte des garanties de confidentialité du vote satisfaisantes au regard de l’article 34 de la loi du 6 janvier 1978 modifiée le 6 août 2004 ; – à mettre en œuvre, au surplus, pour les assemblées électives, un processus technique complémentaire figurant en annexe à la présente délibération qui apporte des garanties de confidentialité du vote satisfaisantes au regard de l’article 34 de la loi du 6 janvier 1978 modifiée le 6 août 2004 ; – à apposer sur l’ensemble de ses formulaires de collecte de données, sur support papier ou électronique, une mention d’information des personnes (licenciés ou représentants de clubs) conforme aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée le 6 août 2004.

La Commission prend acte de ces engagements et estime, dans ces conditions, qu’il n’y a pas lieu de prononcer une sanction à l’encontre de la Fédération X. Le président Alex Türk