Protection des données personnelles : sécurité des réservations et interdiction des fichiers d’incidents

La CNIL retient qu’un système de réservation constitue un traitement distinct du fichier des adhérents lorsqu’il concerne également des réservataires non confirmés. Ce traitement devait faire l’objet des formalités prévues par l’article 16 de la loi du 6 janvier 1978. L’absence de déclaration adaptée a conduit la Commission à demander une déclaration modificative.

L’enregistrement, dans une zone libre, d’une information étrangère à la réservation et relevant de la vie privée révèle une insuffisance des mesures de sécurité. La société devait notamment prévoir une journalisation permettant d’identifier l’utilisateur et l’heure de la dernière connexion, afin de limiter les divulgations et de rendre les interventions traçables.

La Commission relève également que le fichier manuel d’incidents contenait des informations relatives à la vie privée, à la santé mentale et à des condamnations pénales. Elle rappelle, sur le fondement de l’article 30 de la loi du 6 janvier 1978, que les informations nominatives concernant les infractions, condamnations ou mesures de sûreté ne peuvent être traitées et enregistrées que par les personnes de droit public dans l’exercice de leurs attributions.

En application de l’article 21, alinéa 4, la CNIL adresse un avertissement et demande, dans un délai de trois mois, des déclarations modificatives concernant le système de réservation et les catégories d’informations inscrites dans le fichier des adhérents.

⬇️Télécharger la décision version officielle

Le système de réservation d’une société permettait à plusieurs salariés de modifier des données sans traçabilité et contenait des commentaires relatifs à la vie privée. Des fichiers d’incidents comportaient également des informations sur des comportements, la santé mentale et des condamnations pénales. La CNIL a relevé des formalités incomplètes, adressé un avertissement et exigé des suppressions.

Un adhérent a découvert qu’une copie d’écran du système de réservation d’une société avait été produite dans une procédure de divorce à laquelle il n’était pas partie. Le document mentionnait une réservation, l’identité et les références des bénéficiaires, ainsi qu’un commentaire sans rapport avec le séjour et relevant de la vie privée.

Une vérification de la CNIL a révélé que le système permettait à plusieurs salariés de créer, compléter ou modifier des réservations sans dispositif permettant d’identifier l’auteur ou l’heure des interventions. Le traitement concernait aussi des réservataires non adhérents et n’avait pas fait l’objet des formalités adaptées.

La vérification a également établi l’existence d’un fichier informatisé et d’un fichier manuel d’incidents contenant notamment des informations sur des comportements, des incidents de paiement, la santé mentale et des condamnations pénales. La CNIL a adressé un avertissement et exigé des déclarations modificatives ainsi que la suppression des informations illicites.

• Identifier le système de réservation comme un traitement distinct
• Déclarer le traitement concernant les réservataires non adhérents
• Prévoir une journalisation des connexions et modifications
• Limiter les informations enregistrées à celles nécessaires à la réservation
• Empêcher la divulgation d’informations relevant de la vie privée
• Supprimer les données contraires à l’article 30 de la loi
• Déposer les déclarations modificatives demandées par la CNIL

• Copie d’écran du système de réservation produite dans une procédure de divorce
• Contenu de la zone libre comportant une information étrangère à la réservation
• Constatations des vérifications sur place des 22 et 30 juin 1995
• Absence de dispositif identifiant le salarié et l’heure de connexion
• Fichier manuel d’incidents rédigé en langage libre
• Note interne mentionnant des informations relatives à la santé mentale

La société doit mettre en conformité son système de réservation et ses fichiers d’adhérents sous le contrôle de la CNIL. Elle doit supprimer les informations illicites, renforcer la traçabilité des accès et déposer les déclarations modificatives requises.

• Avertissement formel adressé à la société
• Mise en place d’une journalisation des accès et modifications
• Déclaration modificative du traitement des réservations
• Suppression des données pénales ou privées irrégulièrement conservées
• Déclaration des critères et durées de conservation du fichier
• Transmission des mesures prises dans le délai de trois mois

À faire

• Déclarer distinctement le traitement des réservations
• Installer une journalisation des connexions et modifications
• Limiter la zone libre aux informations pertinentes
• Auditer les fichiers manuel et informatisé
• Transmettre les déclarations modificatives sous trois mois

À éviter

• Conserver des commentaires étrangers à la réservation
• Enregistrer des données relatives aux condamnations pénales
• Collecter des informations sur la santé mentale
• Permettre des accès non traçables aux salariés
• Maintenir des traitements non déclarés à la CNIL

La journalisation des accès aux systèmes de réservation

L’absence de dispositif permettant d’identifier le salarié ayant créé, consulté ou modifié une réservation et l’heure de sa dernière connexion caractérise une insuffisance de sécurité. Cette carence a rendu possible la divulgation d’une information relevant de la vie privée à des tiers et justifie la mise en place de mesures de traçabilité appropriées.

Les formalités préalables des traitements de réservation

Le système de réservation constituait un traitement distinct du fichier des adhérents, car il portait aussi sur des réservataires non confirmés. Les déclarations existantes, limitées aux clients adhérents, ne couvraient donc pas ce traitement. Une déclaration modificative devait être déposée conformément à l’article 16 de la loi du 6 janvier 1978.

L’enregistrement des données relatives aux infractions

Le fichier manuel comportait notamment des références à des condamnations pénales. La CNIL rappelle que l’article 30 de la loi du 6 janvier 1978 réserve aux seules personnes de droit public, dans l’exercice de leurs attributions, le traitement et l’enregistrement de telles informations. Les données contraires à cette règle devaient être supprimées.

Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Article 16 de la loi n° 78-17 du 6 janvier 1978, Article 21 alinéa 4 de la loi n° 78-17 du 6 janvier 1978, Article 30 de la loi n° 78-17 du 6 janvier 1978