Protection des données personnelles : mise à jour, droit d’opposition et coopération avec la CNIL

La décision retient trois manquements à la loi n° 78-17 du 6 janvier 1978. D’une part, l’article 6, 4°, impose que les données soient exactes, complètes et, si nécessaire, mises à jour. L’indexation de données initialement publiques, devenues privées, sans actualisation régulière, prive les personnes de l’effectivité de leurs droits et favorise la diffusion de données périmées.

D’autre part, l’article 38 garantit le droit de s’opposer, pour un motif légitime, au traitement de données personnelles. Une procédure imposant la création d’un compte sur le site concerné, la fourniture d’informations complémentaires ou excluant les données publiées sur des sites tiers ne permet pas un exercice effectif, rapide et durable de ce droit.

Enfin, l’article 21, alinéa 2, impose aux responsables de traitements de faciliter l’action de la CNIL. L’absence de réponse à de nombreux courriers d’instruction et le défaut de présentation aux auditions caractérisent un manquement, même sans intention délibérée d’entraver le contrôle.

Les engagements de mise en conformité futurs ne font pas disparaître les manquements déjà constatés, notamment lorsqu’ils persistent à la date de l’audience. La formation restreinte prononce donc un avertissement et rend la décision publique sur le fondement des articles 45 et suivants, en considération du nombre de plaintes et de la nécessité d’informer les personnes, les homologues européens et les acteurs économiques.

⬇️Télécharger la décision version officielle

Un site agrégeait des profils, photographies, curriculum vitae et informations provenant de réseaux sociaux et d’autres sites. Plus de trente plaintes ont dénoncé la persistance de données privées et l’inefficacité des suppressions demandées. La société a peu coopéré à l’instruction et ne s’est pas présentée aux auditions. La CNIL a retenu des manquements à l’actualisation des données, au droit d’opposition et à la coopération.

La société X exploite un site agrégeant des informations concernant des personnes physiques à partir de réseaux sociaux et d’autres sites. Les données sont présentées sous forme de profils, de curriculum vitae, de photographies, de relations supposées et de liens vers des résultats externes.

Plus d’une trentaine de plaintes ont été adressées à la CNIL, notamment au sujet de la diffusion d’informations devenues privées et de l’absence de procédure efficace de suppression. La société a également peu répondu aux demandes d’instruction et ne s’est pas présentée aux auditions convoquées.

Des constats d’huissier ont établi la persistance de données dont la suppression ou la privatisation avait été demandée. La société a invoqué ses ressources limitées et annoncé des recrutements ainsi qu’une mise à jour de ses bases. La CNIL a néanmoins retenu des manquements relatifs à l’actualisation des données, au droit d’opposition et à la coopération avec l’autorité.

• Données devenues inexactes ou privées après leur indexation
• Absence de mise à jour régulière des bases diffusées
• Existence d’un motif légitime d’opposition au traitement
• Procédure d’opposition accessible sans contrainte disproportionnée
• Traitement diligent et effectif des demandes de suppression
• Réponse aux demandes et convocations de la CNIL
• Persistance des manquements au jour de l’audience

• Plus d’une trentaine de plaintes adressées à la CNIL
• Constats d’huissier des 26 et 30 décembre 2011
• Constat d’huissier du 19 mars 2012
• Données encore diffusées malgré leur privatisation
• Courriers de la CNIL restés sans réponse
• Absence des représentants aux auditions convoquées

La société fait l’objet d’un avertissement et d’une publicité de la décision. Les personnes concernées disposent d’une reconnaissance du caractère légitime de leur opposition et de l’ineffectivité des procédures mises en place.n

• Suppression des profils faisant l’objet d’une opposition
• Mise à jour régulière de toutes les bases de données
• Simplification de la procédure d’opposition
• Réduction des délais de traitement des demandes
• Organisation d’une réponse systématique à la CNIL
• Prise en charge des auditions et contrôles ordonnés

À faire

• Actualiser régulièrement les bases de données
• Permettre une opposition simple et gratuite
• Traiter rapidement chaque demande de suppression
• Conserver la preuve des mises à jour effectuées
• Répondre aux courriers et convocations de la CNIL

À éviter

• Diffuser des données devenues privées
• Imposer la création d’un compte pour s’opposer
• Agréger sans contrôle des données de sites tiers
• Ignorer les demandes adressées par l’autorité
• Compter sur des mesures futures pour régulariser le passé

La mise à jour des données personnelles

nL’article 6, 4° de la loi n° 78-17 du 6 janvier 1978 impose des données exactes, complètes et, si nécessaire, mises à jour. La société a diffusé des informations devenues privées faute d’actualisation régulière. Les engagements futurs et les contraintes financières invoquées ne suppriment pas les manquements déjà constitués, persistants au jour de l’audience.n

Le droit d’opposition au traitement

nL’article 38 de la loi n° 78-17 garantit l’opposition, pour motif légitime, au traitement des données personnelles. La procédure était jugée inadéquate lorsqu’elle imposait de créer un compte sur le site concerné ou ne permettait pas de s’opposer à l’agrégation de données publiées sur d’autres sites.n

La coopération avec la CNIL

nL’article 21, alinéa 2, de la loi n° 78-17 impose aux responsables de traitements de faciliter l’action de la Commission. L’absence de réponse à de nombreux courriers et la non-présentation aux auditions caractérisent un défaut de coopération, indépendamment d’une intention délibérée d’entraver le contrôle.

Article 6, 4° de la loi n° 78-17 du 6 janvier 1978, Article 38 de la loi n° 78-17 du 6 janvier 1978, Article 21, alinéa 2 de la loi n° 78-17 du 6 janvier 1978, Article 44-III de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978