Collecte déloyale de données nominatives et avertissement de la CNIL

La collecte de données nominatives à des fins de prospection commerciale doit respecter l’article 25 de la loi n° 78-17 du 6 janvier 1978, qui interdit toute collecte déloyale ou illicite. La société exploitant des annuaires d’anciens élèves devait s’assurer que les personnes concernées ne s’étaient pas opposées au transfert de leurs informations.

L’article 21 de la même loi impose à la Commission d’obtenir les renseignements utiles à l’exécution de sa mission. Le défaut de réponse aux courriers adressés pendant l’instruction constitue un manquement à cette obligation de coopération.

Sur ce fondement, la Commission demande la mise en conformité, sollicite d’être informée des mesures prises et prononce un avertissement en application de l’article 21-4 de la loi n° 78-17.

⬇️Télécharger la décision version officielle

Une société exploitait commercialement des données d’anciens élèves de grandes écoles sans disposer de l’accord de toutes les associations concernées ni vérifier l’absence d’opposition des personnes. Elle n’a pas répondu aux sollicitations de la CNIL. La Commission a demandé une mise en conformité et adressé un avertissement.

La Commission nationale de l’informatique et des libertés a été saisie d’une plainte portant sur l’utilisation commerciale, par la société X, d’un fichier regroupant des données concernant d’anciens élèves de grandes écoles.

L’instruction a établi que la société X ne disposait pas d’un accord avec l’ensemble des associations d’anciens élèves dont les annuaires étaient exploités. Elle ne s’était pas assurée que les personnes concernées ne s’étaient pas opposées au transfert de leurs informations. Malgré plusieurs courriers, la société X n’a pas répondu aux demandes de la Commission.

La Commission a demandé une mise en conformité et a adressé un avertissement.

• Données présentant un caractère nominatif
• Collecte destinée à la prospection commerciale
• Absence de vérification de l’opposition des personnes concernées
• Absence d’accord avec l’ensemble des associations concernées
• Défaut de réponse aux demandes de renseignements de la Commission
• Non-respect de l’article 25 de la loi n° 78-17

• Constat de l’exploitation d’annuaires d’anciens élèves
• Absence d’accord avec l’ensemble des associations concernées
• Absence de vérification de l’opposition des personnes concernées
• Courriers de la Commission restés sans réponse

La société X doit cesser ou régulariser la collecte irrégulière et démontrer sa conformité à la loi n° 78-17. La Commission doit être informée des mesures prises et peut utiliser les pouvoirs prévus par l’article 21-4 en cas de manquement persistant.

• Mise en conformité avec l’article 25
• Vérification de l’absence d’opposition des personnes concernées
• Régularisation des relations avec les associations concernées
• Réponse aux demandes de renseignements de la Commission
• Transmission des mesures correctrices adoptées

À faire

• Identifier l’origine de chaque annuaire exploité
• Vérifier l’accord des associations concernées
• Contrôler l’absence d’opposition des personnes concernées
• Répondre aux courriers de la Commission
• Documenter les mesures de mise en conformité

À éviter

• Collecter des données nominatives sans vérification préalable
• Utiliser un fichier malgré une opposition connue
• Présumer l’accord des associations non consultées
• Négliger les demandes de renseignements de la Commission
• Poursuivre la prospection sans régularisation documentée

La collecte déloyale de données nominatives

L’article 25 de la loi n° 78-17 du 6 janvier 1978 interdit toute collecte déloyale ou illicite. La Commission a retenu que l’exploitation d’annuaires à des fins de prospection, sans vérification de l’absence d’opposition des personnes concernées, relevait de cette interdiction. L’absence d’accord avec l’ensemble des associations concernées renforçait le constat d’une collecte irrégulière.

L’obligation de coopération avec la Commission

Selon l’article 21 de la loi n° 78-17 du 6 janvier 1978, la Commission doit obtenir, dans les meilleurs délais, les renseignements utiles à l’exécution de sa mission. La société n’ayant pas répondu aux différents courriers adressés pendant l’instruction, la Commission a relevé ce défaut de coopération pour demander sa mise en conformité.

L’avertissement comme mesure de mise en conformité

En application de l’article 21-4 de la loi n° 78-17 du 6 janvier 1978, la Commission a adressé un avertissement. Cette mesure accompagne une demande de mise en conformité avec la loi, notamment son article 25, ainsi qu’une demande d’information sur les dispositions prises.

Article 21 de la loi n° 78-17 du 6 janvier 1978, Article 25 de la loi n° 78-17 du 6 janvier 1978, Article 21-4 de la loi n° 78-17 du 6 janvier 1978