Protection des données personnelles : avertissement public pour divulgation de coordonnées en liste rouge

L’article 34 de la loi du 6 janvier 1978 modifiée impose au responsable du traitement de prendre les précautions utiles pour assurer la sécurité des données et empêcher leur divulgation à des tiers non autorisés. La transmission de coordonnées de plus de 120 000 abonnés inscrits sur liste rouge, résultant d’une erreur de programmation et d’un décalage de fichier, caractérise un manquement sérieux à cette obligation.

La Commission a toutefois constaté la mise en conformité de l’opérateur avec la mise en demeure : séparation des fichiers sources, référencement spécifique des oppositions et contrôles de conformité. Cette régularisation a exclu une sanction au titre de la mise en demeure, sans effacer le manquement déjà commis ni ses conséquences sur la vie privée et la tranquillité des abonnés.

Sur le fondement de l’article 45 de la même loi, la Commission a donc prononcé un avertissement public. La décision distingue ainsi la conformité ultérieure aux mesures correctrices de la responsabilité attachée à la divulgation initiale de données protégées.

⬇️Télécharger la décision version officielle

Des abonnés inscrits sur liste rouge ont été transmis par erreur à des éditeurs d’annuaires et à des services de renseignements. L’opérateur a attribué cette diffusion à une erreur de programmation ayant inclus plus de 120 000 coordonnées dans le mauvais fichier. Malgré la mise en conformité et le renforcement des contrôles, la CNIL a retenu un manquement grave à la sécurité et à la vie privée.

Des abonnés d’un opérateur de communications électroniques avaient demandé leur inscription sur liste rouge afin que leurs coordonnées ne soient pas diffusées. Pourtant, leurs informations ont été transmises à des éditeurs d’annuaires et à des services de renseignements téléphoniques.

Des vérifications ont établi qu’une liste comportant les coordonnées de plus de 120 000 personnes avait été envoyée. L’opérateur a expliqué cette diffusion par une erreur de programmation : la liste rouge avait été intégrée au fichier destiné aux annuaires au lieu d’en être exclue, en raison d’un décalage de champ.

Après une mise en demeure, l’opérateur a séparé les fichiers, renforcé le référencement des oppositions et instauré des contrôles. La Commission a reconnu cette mise en conformité, mais a considéré que la divulgation constituait un manquement sérieux à la sécurité des données et une atteinte grave à la vie privée, justifiant un avertissement public.

• Responsabilité du traitement des coordonnées d’abonnés
• Obligation de prendre les précautions utiles pour sécuriser les données
• Défaut technique ayant permis une transmission erronée
• Divulgation des données à des tiers non autorisés
• Gravité de l’atteinte à la vie privée et à la tranquillité
• Prise en compte distincte de la mise en conformité ultérieure

• Plaintes concernant la publication de coordonnées en liste rouge
• Vérifications sur place auprès de l’opérateur et des diffuseurs
• Liste transmise comportant plus de 120 000 coordonnées protégées
• Constat du décalage entre les champs du fichier transmis
• Observations décrivant les nouvelles mesures techniques et organisationnelles

L’opérateur échappe à une sanction au titre de la mise en demeure grâce à sa mise en conformité, mais demeure exposé à un avertissement public pour le manquement initial. Les abonnés concernés bénéficient de la reconnaissance d’une atteinte grave à leur vie privée et à leur tranquillité.

• Avertissement public prononcé contre l’opérateur
• Absence de sanction supplémentaire au titre de la mise en demeure
• Séparation obligatoire des fichiers sources et fichiers diffusés
• Référencement renforcé des abonnés opposés à la diffusion
• Contrôles de conformité des données transmises aux annuaires

À faire

• Séparer les fichiers destinés aux annuaires et aux services d’urgence
• Contrôler le codage et le positionnement de chaque champ
• Identifier explicitement les abonnés inscrits sur liste rouge
• Vérifier les données avant toute transmission externe
• Documenter les mesures correctrices et les contrôles réalisés

À éviter

• Réutiliser un fichier source destiné à une autre finalité
• Transmettre des coordonnées sans vérifier les oppositions
• Négliger les anomalies de format ou de codage
• Confondre mise en conformité et effacement du manquement initial
• Diffuser des données avant validation organisationnelle et technique

L’obligation de sécurité des données personnelles

L’article 34 de la loi du 6 janvier 1978 modifiée impose au responsable du traitement de prendre les précautions utiles pour préserver la sécurité des données et empêcher leur divulgation à des tiers non autorisés. La transmission erronée de coordonnées protégées, causée par un défaut de programmation et de contrôle des fichiers, a été qualifiée de manquement sérieux.

La mise en conformité après une mise en demeure

La conformité aux mesures correctrices peut écarter une sanction au titre de la mise en demeure, sans neutraliser le manquement initial. La séparation des fichiers, le référencement des oppositions et les contrôles de conformité ont conduit la Commission à constater l’exécution de la mise en demeure.

L’avertissement public pour atteinte à la vie privée

Sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, la Commission a retenu la gravité de la divulgation non autorisée des coordonnées de plus de 120 000 abonnés. Cette atteinte à la vie privée et à la tranquillité justifiait un avertissement public malgré la régularisation ultérieure.

Article R. 10 du Code des postes et des communications électroniques, Article L33-1 du Code des postes et des communications électroniques, Article L34 du Code des postes et des communications électroniques, Article R10-5 du Code des postes et des communications électroniques, Article 34 de la loi du 6 janvier 1978, Article 45 de la loi du 6 janvier 1978