Protection des données personnelles : rectification, effacement et coopération avec la CNIL

La formation restreinte qualifie de données à caractère personnel les informations permettant l’identification directe de personnes physiques figurant dans un annuaire professionnel, conformément à l’article 4.1 du RGPD. Le traitement relève donc du RGPD, même lorsque les données proviennent d’une base publique.

La société a méconnu l’article 16 en refusant de rectifier des données pourtant inexactes au seul motif qu’elles correspondaient à la base SIRENE. Elle a également violé l’article 17, combiné avec les articles 21, paragraphe 1, et 6, paragraphe 1, point f), en maintenant accessibles des données malgré les demandes d’effacement et l’absence de motifs légitimes et impérieux prévalant sur les droits des personnes.

L’article 30 imposait la tenue d’un registre des activités de traitement, le traitement n’étant pas occasionnel puisqu’il constituait le cœur de l’activité de la société. L’article 31 imposait par ailleurs une coopération effective avec la CNIL, comprenant la transmission complète et justifiée des pièces demandées.

La persistance des manquements après une mise en demeure, le nombre de demandes non traitées, leur durée et la coopération insuffisante ont justifié une amende administrative de 3 000 euros. La formation restreinte a également ordonné la publication de la délibération, en application de l’article 20, III, de la loi du 6 janvier 1978 modifiée et de l’article 83 du RGPD.

⬇️Télécharger la décision version officielle

La CNIL a constaté qu’une demande de rectification était restée sans effet pendant plusieurs années et que 135 demandes d’effacement n’avaient pas été traitées. Certaines données demeuraient accessibles en ligne. La société n’avait pas transmis toutes les pièces demandées, ni établi de registre des activités de traitement, et n’avait pas exécuté efficacement la mise en demeure. Quatre manquements au RGPD ont entraîné une amende de 3 000 euros et la publication de la décision.

Une société exploitait un annuaire professionnel recensant des entreprises et reprenant notamment les noms et adresses de leurs dirigeants à partir de la base publique SIRENE de l’INSEE. Plusieurs personnes ont saisi la CNIL après avoir rencontré des difficultés pour obtenir la rectification ou l’effacement de leurs données.

Un contrôle a révélé qu’une demande de rectification n’avait pas été prise en compte pendant plusieurs années. Il a également établi que 135 demandes d’effacement étaient restées non lues ou non traitées et que certaines données demeuraient accessibles sur le site ou dans ses pages d’indexation.

La société n’a pas transmis l’ensemble des pièces demandées par la CNIL, n’a pas établi de registre des activités de traitement et n’a pas exécuté efficacement la mise en demeure. La formation restreinte a retenu quatre manquements au RGPD, prononcé une amende de 3 000 euros et ordonné la publication de la décision.

• Données permettant l’identification directe d’une personne physique
• Données inexactes signalées par la personne concernée
• Demande d’effacement accompagnée d’une opposition au traitement
• Absence de motifs légitimes et impérieux prévalant sur les droits exercés
• Traitement non occasionnel constituant le cœur de l’activité
• Communication complète et justifiée des pièces demandées par la CNIL
• Persistance des manquements après expiration de la mise en demeure

• Constatations du contrôle en ligne du 3 septembre 2019
• Procès-verbal d’audition et échanges avec les services de la CNIL
• Présence de 135 demandes d’effacement non lues dans la messagerie
• Pages et données encore accessibles sur le site et ses index
• Courriels et réponses partielles sans justificatifs suffisants

La société est sanctionnée pour quatre manquements au RGPD et doit supporter une amende ainsi que la publicité de la décision. Les personnes concernées bénéficient de la reconnaissance de leurs droits à la rectification et à l’effacement, tandis que la CNIL voit confirmer la portée de son pouvoir de contrôle et d’injonction.

• Amende administrative de 3 000 euros
• Publication de la délibération pendant la période prévue
• Rectification effective des données inexactes
• Suppression des données malgré leur présence dans les index
• Mise en place d’un registre des traitements
• Transmission complète des justificatifs à la CNIL

À faire

• Identifier les données permettant une identification directe
• Traiter rapidement chaque demande de rectification
• Supprimer les données après opposition recevable
• Contrôler les pages d’indexation après suppression
• Constituer et tenir le registre des traitements

À éviter

• Refuser une rectification parce que SIRENE concorde
• Laisser des demandes d’effacement non lues
• Se limiter à supprimer la fiche principale
• Répondre partiellement aux demandes de la CNIL
• Produire des affirmations sans justificatifs

La qualification des données à caractère personnel

Les noms, prénoms et adresses figurant sur les fiches d’entrepreneurs individuels ou de professionnels libéraux permettent l’identification directe de personnes physiques. Ils constituent donc des données à caractère personnel au sens de l’article 4.1 du RGPD, rendant le règlement applicable au traitement effectué par la société.

Les obligations de rectification et d’effacement

L’article 16 du RGPD impose la rectification, dans les meilleurs délais, des données inexactes. Selon les articles 17, 21, paragraphe 1, et 6, paragraphe 1, point f), l’effacement doit être effectué après opposition lorsque le responsable ne démontre pas de motifs légitimes et impérieux prévalant sur les droits de la personne. Le maintien de données accessibles et l’absence de procédure effective caractérisent les manquements.

La tenue du registre et la coopération avec la CNIL

L’article 30 du RGPD imposait un registre, le traitement n’étant pas occasionnel mais constituant l’activité principale de la société. L’article 31 exigeait une coopération complète et justifiée. Les réponses partielles, les pièces non transmises et l’absence de réponse satisfaisante aux injonctions ont caractérisé la violation de ces obligations.

Article 4.1 du RGPD, Article 6, paragraphe 1, point f), du RGPD, Article 12 du RGPD, Article 13 du RGPD, Article 14 du RGPD, Article 16 du RGPD, Article 17 du RGPD, Article 21, paragraphe 1, du RGPD, Article 30 du RGPD, Article 31 du RGPD, Article 83 du RGPD, Article 19-III de la loi n° 78-17 du 6 janvier 1978, Article 20, III, de la loi n° 78-17 du 6 janvier 1978, Article 39 du décret n° 2019-536 du 29 mai 2019