La Commission Nationale de l’Informatique et des Libertés,

Vu la Convention du Conseil de l’Europe sur la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et notamment ses articles 1, 4, 14, 16, 19, 21, 29, 30, 31, 41, 42 et 43 ;

Vu le décret n° 78-774 du 17 juillet 1978 pris pour l’application de la loi du 6 janvier 1978 ;

Après avoir entendu Madame Yvette CHASSAGNE, Commissaire en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ; Considérant que le Syndicat X a mis en oeuvre un traitement automatisé d’informations nominatives ([…]) dont la finalité est la diffusion d’une liste de personnes n’ayant pas réglé leur note dans les hôtels affiliés au syndicat ;

Considérant que ce traitement automatisé d’informations nominatives a été mis en oeuvre sans qu’ait été effectuée la déclaration prévue à l’article 16 de la loi du 6 janvier 1978 ;

Considérant que la déclaration, effectuée postérieurement à la mise en oeuvre du traitement, n’est pas conforme aux prescriptions de l’article 19 de la loi ;

Considérant que le récépissé de déclaration prévu à l’article 16 de la loi n’a à ce jour pas été délivré par la Commission en application de l’article 22 du décret du 17 juillet 1978 ;

Considérant que l’article 41 de la même loi institue certaines peines à l’encontre de ceux qui auront procédé ou fait procéder à des traitements automatisés d’informations nominatives sans qu’aient été faites les déclarations prévues à l’article 16 précité ;

Considérant que l’article 29 de la loi du 6 janvier 1978 prescrit à toute personne ordonnant ou effectuant un traitement d’informations nominatives de prendre toutes précautions utiles afin de préserver la sécurité des informations et notamment d’empêcher qu’elles ne soient communiquées à des tiers non autorisés ;

Considérant que les mesures initialement prises par les responsables du traitement ne permettaient pas de réserver l’accès du fichier aux seuls hôteliers affiliés au syndicat ; qu’en effet, d’une part la base de données était accessible grâce à un mot de passe de quatre caractères seulement et, d’autre part aucune interruption du service n’était prévue en cas de saisies successives de mots de passe erronés ce qui permettait d’effectuer un nombre indéfini d’essais pour tenter d’accéder aux informations contenues dans le fichier ;

Considérant que les nouvelles mesures adoptées par les responsables du traitement demeurent insuffisantes ;

Considérant que l’article 30 de la loi n’autorise pas un syndicat professionnel à procéder au traitement automatisé d’informations nominatives concernant des infractions ou des mesures de sûreté ;

Considérant que l’article 31 interdit de mettre ou conserver en mémoire informatisée, sauf accord exprès de l’intéressé, des données nominatives qui, directement ou indirectement, font apparaître les origines raciales des personnes ;

Considérant qu’il résulte des informations que détient la Commission que le traitement mis en oeuvre par le Syndicat X enregistre et diffuse des informations relatives à l’origine raciale des personnes recensées, à des infractions ou mesures de sûreté ainsi que des données de nature à constituer une atteinte à l’intimité de la vie privée des personnes fichées ;

Considérant que l’article 42 de la loi du 6 janvier 1978 institue certaines peines à l’encontre de ceux qui auront enregistré ou fait enregistrer, conservé ou fait conserver des informations nominatives en violation des dispositions des articles 29, 30 et 31 ; En conséquence : – adresse un avertissement au Syndicat X en application de l’article 21-4° de la loi ; – prescrit l’arrêt immédiat du traitement jusqu’à sa mise en conformité avec la loi ; – rappelle que ce traitement ne pourra être mis en oeuvre qu’après délivrance d’un récépissé de déclaration par la Commission ; – subordonne la délivrance de ce récépissé :  à l’adoption de mesures destinées à garantir la confidentialité des informations recensées ;  à la suppression de toutes les mentions dont l’enregistrement est interdit par la loi du 6 janvier 1978 ;  à un contrôle qui devra permettre à la Commission de s’assurer que toutes les modifications demandées ont été effectuées.

Le Président,

Jacques FAUVET