Protection des données : la CNIL sanctionne un fichier de mauvais payeurs non déclaré et opaque

La constitution et la diffusion informatisées d’une liste d’adjudicataires défaillants constituent un traitement de données à caractère personnel au sens de l’article 2 de la loi n° 78-17 du 6 janvier 1978. Lorsqu’un tel traitement est susceptible d’exclure des personnes du bénéfice d’un contrat ou d’un droit, l’article 25-I-4° impose une autorisation préalable de la CNIL. L’absence de formalité constitue un manquement, indépendamment d’un changement de dirigeants.

La collecte et la diffusion dissimulées méconnaissent l’article 6-1°, qui impose un traitement loyal, ainsi que l’article 32-I relatif à l’information des personnes concernées. Cette obligation pèse également sur le responsable d’une liste mutualisée, même sans contact direct avec les personnes fichées.

L’article 6-5° impose une conservation n’excédant pas la durée nécessaire à la finalité poursuivie. Une conservation de plusieurs années a été jugée manifestement excessive au regard d’une finalité nécessitant seulement une information récente. La destruction ultérieure du fichier n’efface pas les manquements antérieurs.

Compte tenu de l’absence de formalités, de la dissimulation du traitement et de la durée excessive de conservation, la CNIL a prononcé un avertissement et décidé de le rendre public, conformément aux articles 45 et suivants de la loi du 6 janvier 1978.

⬇️Télécharger la décision version officielle

Une organisation professionnelle diffusait à ses adhérents une liste informatisée d’adjudicataires ayant des impayés, sans autorisation préalable ni information des personnes concernées. Les données pouvaient entraîner leur exclusion de ventes et étaient conservées plusieurs années. Malgré la destruction des fichiers après contrôle, la CNIL a retenu plusieurs manquements et prononcé un avertissement public.

Une organisation professionnelle a constitué, à partir de formulaires transmis par ses adhérents, une liste informatisée d’adjudicataires n’ayant pas réglé leurs achats aux enchères. Les informations étaient regroupées puis diffusées aux adhérents afin de prévenir les impayés et de limiter les risques liés aux ventes.

Le traitement avait été mis en œuvre depuis plusieurs années sans autorisation préalable de la CNIL, alors qu’il pouvait conduire à exclure des personnes de ventes aux enchères. Les personnes fichées n’étaient pas informées de la collecte, de la diffusion ni de leur inscription. Les données étaient conservées pendant plusieurs années, malgré les échanges avec la CNIL évoquant une durée de six mois.

Après un contrôle, l’organisation a reconnu certains manquements et détruit les fichiers, tout en conservant des copies. La CNIL a néanmoins retenu la responsabilité de la personne morale et prononcé un avertissement public.

• Traitement automatisé de données personnelles caractérisé
• Risque d’exclusion du bénéfice d’un droit ou d’un contrat
• Absence d’autorisation préalable de la CNIL
• Collecte et diffusion réalisées sans information des personnes
• Durée de conservation excédant la finalité poursuivie
• Responsabilité maintenue malgré le changement de dirigeants

• Formulaires de déclaration d’incidents de paiement transmis aux adhérents
• Dossiers informatisés et tableaux diffusés aux adhérents
• Mention demandant de ne pas informer les personnes fichées
• Échanges avec la CNIL évoquant une conservation de six mois
• Tableaux et fichiers anciens datés de 2006
• Preuve de destruction produite par l’organisation

L’organisation demeure responsable des traitements mis en œuvre par ses précédentes instances dirigeantes. La destruction du fichier n’efface pas les manquements et la sanction peut être rendue publique.

• Avertissement prononcé contre la personne morale
• Publicité de la sanction auprès des tiers
• Obligation de soumettre tout nouveau fichier à la CNIL
• Information complète des personnes avant ou lors de la collecte
• Limitation de la conservation à la durée nécessaire

À faire

• Qualifier le fichier comme traitement de données personnelles
• Obtenir l’autorisation préalable de la CNIL si nécessaire
• Informer les personnes des finalités et destinataires
• Fixer une durée de conservation justifiée
• Documenter les contrôles et destructions de données

À éviter

• Diffuser une liste sans formalité préalable
• Collecter des données à l’insu des personnes
• Demander aux adhérents de dissimuler le traitement
• Conserver des informations pendant plusieurs années
• Invoquer un changement de dirigeants pour écarter la responsabilité

Les formalités préalables des fichiers d’exclusion

La compilation informatisée et la diffusion d’informations sur des adjudicataires défaillants constituent un traitement au sens de l’article 2 de la loi n° 78-17 du 6 janvier 1978. Comme la liste pouvait exclure des personnes de ventes aux enchères, elle devait faire l’objet d’une autorisation préalable de la CNIL conformément à l’article 25-I-4°. L’abandon ultérieur des démarches ne régularise pas la mise en œuvre passée.

La loyauté et l’information des personnes fichées

Les données ont été collectées et diffusées à l’insu des personnes concernées, en méconnaissance de l’article 6-1°. L’article 32-I imposait notamment d’indiquer le responsable, la finalité, les destinataires et les droits des personnes. Cette obligation pesait sur le responsable de la liste mutualisée, même sans contact direct avec les personnes fichées.

La durée nécessaire de conservation des données

L’article 6-5° exige une conservation n’excédant pas la durée nécessaire à la finalité poursuivie. La CNIL a considéré qu’une information récente pouvait être utile aux ventes volontaires, mais que la conservation pendant plusieurs années était manifestement excessive au regard d’une durée de six mois envisagée avec ses services.

Article 2 de la loi n° 78-17 du 6 janvier 1978, Article 25-I-4° de la loi n° 78-17 du 6 janvier 1978, Article 6-1° de la loi n° 78-17 du 6 janvier 1978, Article 32-I de la loi n° 78-17 du 6 janvier 1978, Article 6-5° de la loi n° 78-17 du 6 janvier 1978, Articles 45 et suivants de la loi n° 78-17 du 6 janvier 1978