L’essentiel
L’enregistrement, dans une zone libre, d’une information étrangère à la réservation et relevant de la vie privée révèle une insuffisance des mesures de sécurité. La société devait notamment prévoir une journalisation permettant d’identifier l’utilisateur et l’heure de la dernière connexion, afin de limiter les divulgations et de rendre les interventions traçables.
La Commission relève également que le fichier manuel d’incidents contenait des informations relatives à la vie privée, à la santé mentale et à des condamnations pénales. Elle rappelle, sur le fondement de l’article 30 de la loi du 6 janvier 1978, que les informations nominatives concernant les infractions, condamnations ou mesures de sûreté ne peuvent être traitées et enregistrées que par les personnes de droit public dans l’exercice de leurs attributions.
En application de l’article 21, alinéa 4, la CNIL adresse un avertissement et demande, dans un délai de trois mois, des déclarations modificatives concernant le système de réservation et les catégories d’informations inscrites dans le fichier des adhérents.
En résumé
- Avertissement prononcé pour insuffisance de sécurité et traitements non déclarés
- Article 16 applicable au traitement distinct des réservations
- Absence de journalisation empêchant d’identifier les interventions
- Divulgation d’une information étrangère à la réservation
- Article 30 excluant l’enregistrement privé de données pénales
- Déclarations modificatives exigées dans un délai de trois mois
Contexte de l’affaire
Une vérification de la CNIL a révélé que le système permettait à plusieurs salariés de créer, compléter ou modifier des réservations sans dispositif permettant d’identifier l’auteur ou l’heure des interventions. Le traitement concernait aussi des réservataires non adhérents et n’avait pas fait l’objet des formalités adaptées.
La vérification a également établi l’existence d’un fichier informatisé et d’un fichier manuel d’incidents contenant notamment des informations sur des comportements, des incidents de paiement, la santé mentale et des condamnations pénales. La CNIL a adressé un avertissement et exigé des déclarations modificatives ainsi que la suppression des informations illicites.
Conditions / critères (ce que le juge vérifie)
- Identifier le système de réservation comme un traitement distinct
- Déclarer le traitement concernant les réservataires non adhérents
- Prévoir une journalisation des connexions et modifications
- Limiter les informations enregistrées à celles nécessaires à la réservation
- Empêcher la divulgation d’informations relevant de la vie privée
- Supprimer les données contraires à l’article 30 de la loi
- Déposer les déclarations modificatives demandées par la CNIL
Preuves retenues (ce qui a fait pencher la décision)
- Copie d’écran du système de réservation produite dans une procédure de divorce
- Contenu de la zone libre comportant une information étrangère à la réservation
- Constatations des vérifications sur place des 22 et 30 juin 1995
- Absence de dispositif identifiant le salarié et l’heure de connexion
- Fichier manuel d’incidents rédigé en langage libre
- Note interne mentionnant des informations relatives à la santé mentale
Conséquences pratiques
- Avertissement formel adressé à la société
- Mise en place d’une journalisation des accès et modifications
- Déclaration modificative du traitement des réservations
- Suppression des données pénales ou privées irrégulièrement conservées
- Déclaration des critères et durées de conservation du fichier
- Transmission des mesures prises dans le délai de trois mois
Checklist pour Avocats
À faire
- Déclarer distinctement le traitement des réservations
- Installer une journalisation des connexions et modifications
- Limiter la zone libre aux informations pertinentes
- Auditer les fichiers manuel et informatisé
- Transmettre les déclarations modificatives sous trois mois
À éviter
- Conserver des commentaires étrangers à la réservation
- Enregistrer des données relatives aux condamnations pénales
- Collecter des informations sur la santé mentale
- Permettre des accès non traçables aux salariés
- Maintenir des traitements non déclarés à la CNIL
FAQ / Q-R juridiques
La journalisation des accès aux systèmes de réservation
L’absence de dispositif permettant d’identifier le salarié ayant créé, consulté ou modifié une réservation et l’heure de sa dernière connexion caractérise une insuffisance de sécurité. Cette carence a rendu possible la divulgation d’une information relevant de la vie privée à des tiers et justifie la mise en place de mesures de traçabilité appropriées.
Les formalités préalables des traitements de réservation
Le système de réservation constituait un traitement distinct du fichier des adhérents, car il portait aussi sur des réservataires non confirmés. Les déclarations existantes, limitées aux clients adhérents, ne couvraient donc pas ce traitement. Une déclaration modificative devait être déposée conformément à l’article 16 de la loi du 6 janvier 1978.
L’enregistrement des données relatives aux infractions
Le fichier manuel comportait notamment des références à des condamnations pénales. La CNIL rappelle que l’article 30 de la loi du 6 janvier 1978 réserve aux seules personnes de droit public, dans l’exercice de leurs attributions, le traitement et l’enregistrement de telles informations. Les données contraires à cette règle devaient être supprimées.
Textes cités
RGPD & protection des données
Approfondir ce sujet :