Responsabilité du responsable de traitement et interdiction des données sensibles dans les fichiers immobiliers

La CNIL retient la qualité de responsable de traitement au regard d’une appréciation concrète des finalités et des moyens. Le fait de piloter, gérer, maintenir et héberger les outils et bases de données, ainsi que de contrôler les moyens matériels et humains, suffit à imputer les traitements à la société, malgré l’existence de filiales et de contrats de prestation. Les articles 3 et 35 de la loi du 6 janvier 1978 sont ainsi appliqués au regard de la réalité du fonctionnement du dispositif.

L’article 6, 3°, impose que les données soient adéquates, pertinentes et non excessives au regard des finalités poursuivies. Des commentaires subjectifs, insultants ou portant sur la vie privée des clients et prospects excèdent cette exigence.

L’article 8 interdit notamment le traitement des données relatives à la santé et aux opinions religieuses, sauf exceptions strictement établies. La communication orale d’une information à un commercial ne constitue pas un consentement exprès, lequel doit être écrit, libre et éclairé. Elle ne caractérise pas davantage une donnée rendue publique. La société ne justifiait d’aucun consentement écrit et ne pouvait invoquer les exceptions prévues par l’article 8-II, 1° et 4°.

Malgré les mesures correctives déployées, la formation restreinte prononce un avertissement et ordonne la publicité de la décision sur le fondement des articles 45 et suivants de la loi du 6 janvier 1978, en tenant compte de la sensibilité des données et de la réaction tardive de la société.

⬇️Télécharger la décision version officielle

Une société holding administrait les outils et bases de données d’un réseau d’agences immobilières. La CNIL y a découvert des commentaires insultants ou intrusifs, ainsi que des informations relatives à la santé, à la famille et aux convictions religieuses. Elle a reconnu la responsabilité de la holding, écarté sa qualité de simple sous-traitant et prononcé un avertissement public.

Une société holding administrant un réseau d’agences immobilières pilotait, gérait, maintenait et hébergeait les outils métiers et les bases de données utilisés pour les activités de location et de transaction.

Lors d’un contrôle sur place, la CNIL a relevé dans les zones de commentaires des appréciations subjectives, insultantes ou intrusives concernant des clients et prospects. Elle a également découvert des informations relatives à la santé, à la situation familiale et aux convictions religieuses des personnes concernées.

La société contestait sa qualité de responsable de traitement, soutenant que les données relevaient de ses filiales et qu’elle intervenait comme sous-traitant. Elle invoquait aussi le consentement des personnes ou le caractère public des informations sensibles.

La formation restreinte a retenu la responsabilité de la société, constaté des manquements aux articles 6 et 8 de la loi du 6 janvier 1978, puis prononcé un avertissement et ordonné la publicité de la décision.

• Contrôle effectif des finalités et des moyens du traitement
• Détermination autonome des moyens matériels et humains
• Commentaires adéquats, pertinents et non excessifs au regard des finalités
• Absence d’appréciations subjectives, insultantes ou intrusives
• Consentement exprès écrit, libre et éclairé pour les données sensibles
• Justification objective de toute donnée de santé ou religieuse

• Procès-verbal de contrôle sur place signé contradictoirement
• Extraction des zones commentaires des bases de données
• Convention de prestation de service groupe
• Constatations de commentaires subjectifs, insultants et sensibles
• Engagement de conformité souscrit auprès de la CNIL

La société est tenue responsable des traitements opérés au moyen des outils qu’elle contrôle, même lorsque les données sont saisies par ses filiales. Les mesures correctives n’ont pas supprimé les manquements antérieurs, qui ont justifié un avertissement et la publicité de la décision.n

• Imputation des traitements à la société holding
• Exclusion de la qualification de simple sous-traitant
• Interdiction des commentaires subjectifs ou attentatoires à la vie privée
• Suppression ou prévention des données de santé et religieuses
• Exposition à une sanction et à la publicité de la décision

À faire

• Définir les finalités et moyens de chaque traitement
• Encadrer les zones commentaires par des consignes précises
• Déployer un filtrage sémantique régulièrement actualisé
• Recueillir un consentement écrit pour les données sensibles
• Sensibiliser les utilisateurs aux règles Informatique et Libertés

À éviter

• Enregistrer des appréciations subjectives ou insultantes
• Conserver des informations intimes sans nécessité objective
• Traiter une pathologie sans consentement exprès écrit
• Assimiler une information orale à une donnée rendue publique
• Attendre tardivement avant de répondre au rapport de contrôle

La qualité de responsable de traitement

nLa qualité de responsable s’apprécie concrètement au regard du contrôle exercé sur les finalités et les moyens. La société pilotait, gérait, maintenait et hébergeait les outils et bases de données, et déterminait les moyens matériels et humains. La formation restreinte a donc écarté la qualification de simple sous-traitant au sens des articles 3 et 35 de la loi du 6 janvier 1978.n

Le caractère excessif des données collectées

nL’article 6, 3°, de la loi du 6 janvier 1978 exige des données adéquates, pertinentes et non excessives au regard des finalités. Les commentaires subjectifs, insultants ou révélant des éléments intimes relatifs aux clients et prospects ont été considérés comme excessifs et attentatoires à la vie privée.n

L’interdiction des données sensibles

nL’article 8 interdit notamment les données relatives à la santé et aux opinions religieuses. Le consentement exprès suppose une manifestation écrite, libre et éclairée ; une information oralement communiquée à un commercial ne suffit pas. La société ne démontrait ni consentement écrit ni publication par les personnes concernées, de sorte que les exceptions de l’article 8-II, 1° et 4°, étaient inapplicables.

Article 3 de la loi n° 78-17 du 6 janvier 1978, Article 35 de la loi n° 78-17 du 6 janvier 1978, Article 6, 3° de la loi n° 78-17 du 6 janvier 1978, Article 8 de la loi n° 78-17 du 6 janvier 1978, Article 8-II, 1° et 4° de la loi n° 78-17 du 6 janvier 1978, Articles 45 et suivants de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978