Déclarations CNIL des traitements informatisés : avertissement et régularisation imposée

La décision rappelle que les traitements informatisés d’informations nominatives doivent faire l’objet des formalités prévues par la loi n° 78-17 du 6 janvier 1978. L’article 15 impose notamment aux fédérations sportives subventionnées par l’État d’effectuer une demande d’avis. La Commission constate qu’un organisme dispose d’un traitement informatisé de la paie et d’un service télématique comportant des informations nominatives, sans avoir effectué les déclarations correspondantes.

L’article 27 impose d’informer les personnes concernées des personnes physiques ou morales destinataires des informations recueillies. L’article 29 met à la charge de toute personne ordonnant ou effectuant un traitement l’obligation de prendre les précautions utiles pour assurer la sécurité des informations, notamment afin d’empêcher leur communication à des tiers non autorisés.

L’absence de déclaration et la persistance d’une situation non régularisée justifient l’avertissement adressé par la Commission. Celle-ci demande également la transmission, dans un délai d’un mois, des trois déclarations requises. La décision illustre ainsi le pouvoir de rappel à l’ordre et de mise en conformité exercé à l’égard d’un responsable de traitements demeuré en situation irrégulière.

⬇️Télécharger la décision version officielle

La CNIL a constaté que des fichiers de licenciés avaient été utilisés pour adresser des messages commerciaux à des mineurs. Elle a également relevé l’existence de traitements informatisés et d’un service télématique non déclarés. Un avertissement a été adressé au responsable, avec demande de transmettre les trois déclarations requises dans un délai d’un mois.

La Commission nationale de l’informatique et des libertés a été saisie de plaintes concernant l’envoi de messages commerciaux à des mineurs, notamment pour proposer l’ouverture d’un compte-épargne ou un abonnement. Les organismes concernés ont indiqué que les fichiers utilisés provenaient des fichiers de licenciés de deux organismes sportifs.

Une vérification sur place a ensuite établi que le traitement de la paie du personnel d’un organisme était informatisé. Cet organisme avait également ouvert un service télématique contenant des informations nominatives. La Commission a constaté qu’aucune déclaration correspondant à ces traitements n’avait été effectuée et que la situation n’avait pas été régularisée.

Elle a adressé un avertissement au responsable des traitements et lui a demandé de transmettre, dans un délai d’un mois, les trois déclarations requises.

• Existence d’un traitement informatisé de données nominatives
• Existence d’un service télématique comportant des informations nominatives
• Absence des déclarations correspondant aux traitements mis en œuvre
• Absence de régularisation à la date de la décision
• Demande de transmission des trois déclarations requises

• Investigations effectuées sur place par la CNIL
• Constat de l’informatisation du traitement de la paie
• Constat de l’existence d’un service télématique nominatif
• Réponses indiquant l’origine des fichiers utilisés
• Absence constatée des déclarations correspondantes

Le responsable des traitements reçoit un avertissement et doit régulariser rapidement les traitements concernés. Les organismes utilisant les fichiers doivent également respecter l’information des personnes et la sécurité des données nominatives.n

• Transmettre les trois déclarations dans le délai d’un mois
• Recenser les traitements informatisés et télématiques existants
• Vérifier l’information des personnes sur les destinataires
• Contrôler les communications de données aux tiers
• Documenter les mesures de sécurité appliquées aux informations nominatives

À faire

• Recenser chaque traitement informatisé d’informations nominatives
• Préparer et transmettre les trois déclarations requises
• Respecter le délai d’un mois fixé par la Commission
• Identifier les destinataires des informations collectées
• Renforcer la sécurité contre les tiers non autorisés

À éviter

• Maintenir un traitement non déclaré
• Négliger la régularisation après un avertissement
• Utiliser un fichier sans vérifier son origine
• Omettre l’information des personnes concernées
• Communiquer des données sans précautions de sécurité

Les formalités déclaratives des traitements informatisés

nLa Commission constate l’existence d’un traitement informatisé de la paie et d’un service télématique comportant des informations nominatives. L’absence des déclarations correspondantes, non régularisée à la date de la décision, justifie l’avertissement et la demande de transmission de trois déclarations dans un délai d’un mois.n

L’obligation d’avis des fédérations sportives subventionnées

nL’article 15 de la loi n° 78-17 du 6 janvier 1978 impose aux fédérations sportives subventionnées par l’État d’effectuer une demande d’avis. La décision rappelle cette formalité parmi les obligations applicables aux traitements concernés.n

La protection des informations nominatives communiquées

nL’article 27 impose d’informer les personnes des destinataires des informations recueillies. L’article 29 exige les précautions utiles pour assurer leur sécurité et empêcher leur communication à des tiers non autorisés.

Article 15 de la loi n° 78-17 du 6 janvier 1978, Article 27 de la loi n° 78-17 du 6 janvier 1978, Article 29 de la loi n° 78-17 du 6 janvier 1978