Déclarations CNIL et droits des personnes lors de la collecte de données nominatives

La Commission rappelle que tout détenteur d’un traitement d’informations nominatives doit déclarer les traitements mis en œuvre, conformément à l’article 16 de la loi n° 78-17 du 6 janvier 1978. Cette obligation concernait notamment la constitution d’un fichier à partir de demandes d’abonnement, d’achats, de coupons-réponses et la mise en œuvre d’un service télématique.

Le recueil devait également respecter les articles 26 et 27 de la même loi. Le premier reconnaît aux personnes un droit d’opposition pour motifs légitimes ; le second impose une information sur le caractère obligatoire ou facultatif des réponses, les destinataires des données ainsi que les droits d’accès et de rectification.

La Commission relève l’absence de déclarations correspondant aux traitements et le non-respect des obligations d’information et d’opposition. Elle adresse un avertissement à l’organisme et demande la transmission, dans un délai d’un mois, des déclarations relatives au service télématique et à la gestion des abonnés. Les articles 41 et 42 de la loi prévoient en outre des peines en cas de traitement non déclaré ou de conservation contraire à l’article 26 ; l’article 1er du décret du 23 décembre 1981 institue des contraventions en cas de manquement à l’article 27.

⬇️Télécharger la décision version officielle

Une société avait constitué des fichiers à partir de demandes d’abonnement, d’achats et de coupons-réponses, ainsi qu’un service télématique nominatif. Aucun de ces traitements n’avait été déclaré, et les personnes concernées n’avaient pas été correctement informées de leurs droits. La CNIL a adressé un avertissement et demandé les déclarations nécessaires.

La société avait constitué un fichier d’informations nominatives à partir de demandes d’abonnement, d’achats d’articles et de coupons-réponses. Elle avait également ouvert un service télématique collectant des données nominatives et envisageait la location d’un fichier d’élèves.

Les investigations ont établi que les traitements mis en œuvre n’avaient pas fait l’objet des déclarations requises auprès de la Commission nationale de l’informatique et des libertés. Les personnes concernées n’avaient pas non plus été informées conformément aux exigences légales et leur droit d’opposition n’avait pas été respecté.

La Commission a adressé un avertissement à la société et lui a demandé de transmettre, sous un mois, les déclarations relatives au service télématique et à la gestion des abonnés du mensuel.

• Existence d’un traitement d’informations nominatives
• Absence de déclaration correspondant à chaque traitement
• Collecte de données auprès de personnes physiques
• Non-respect du droit d’opposition prévu par l’article 26
• Défaut d’information exigée par l’article 27
• Demande de régularisation des traitements identifiés

• Proposition de location d’un fichier d’élèves
• Demandes d’abonnement utilisées pour constituer le fichier
• Achats d’articles et coupons-réponses collectant des données
• Ouverture d’un service télématique nominatif
• Résultats des investigations effectuées par la Commission

L’organisme reçoit un avertissement pour l’absence de déclarations et le non-respect des droits des personnes lors de la collecte. Il doit transmettre les déclarations relatives aux traitements désignés dans un délai d’un mois, sous réserve des conséquences pénales prévues par les textes cités.

• Déclarer chaque traitement nominatif mis en œuvre
• Régulariser le service télématique concerné
• Régulariser la gestion des abonnés
• Informer sur le caractère obligatoire ou facultatif des réponses
• Respecter les droits d’opposition, d’accès et de rectification

À faire

• Identifier chaque traitement d’informations nominatives
• Déposer les déclarations requises auprès de la Commission
• Respecter le délai de régularisation d’un mois
• Informer les personnes des destinataires des données
• Prévoir les modalités d’opposition, d’accès et de rectification

À éviter

• Mettre en œuvre un traitement sans déclaration
• Conserver des données malgré une opposition légitime
• Omettre le caractère obligatoire des réponses
• Oublier d’indiquer les destinataires des informations
• Collecter des données sans information préalable conforme

Les obligations déclaratives des traitements nominatifs

La Commission applique l’article 16 de la loi n° 78-17 du 6 janvier 1978 à la constitution d’un fichier à partir de demandes d’abonnement, d’achats, de coupons-réponses et au service télématique. L’absence de déclarations correspondant aux traitements justifie l’avertissement et la demande de régularisation sous un mois. L’article 41 prévoit des peines lorsque les traitements sont mis en œuvre sans les déclarations requises.

Les droits d’opposition et d’information des personnes

L’article 26 reconnaît à toute personne physique un droit d’opposition, pour raisons légitimes, au traitement des informations la concernant. L’article 27 impose l’information sur le caractère obligatoire ou facultatif des réponses, les destinataires des données et les droits d’accès et de rectification. La Commission constate le non-respect de ces prescriptions lors de la collecte.

Les conséquences répressives des manquements

L’article 42 de la loi institue des peines lorsque des informations nominatives sont enregistrées ou conservées en violation de l’article 26. L’article 1er du décret du 23 décembre 1981 prévoit des contraventions en cas de non-respect de l’article 27. Ces textes complètent l’avertissement prononcé par la Commission.

Article 15 de la loi n° 78-17 du 6 janvier 1978, Article 16 de la loi n° 78-17 du 6 janvier 1978, Article 26 de la loi n° 78-17 du 6 janvier 1978, Article 27 de la loi n° 78-17 du 6 janvier 1978, Article 41 de la loi n° 78-17 du 6 janvier 1978, Article 42 de la loi n° 78-17 du 6 janvier 1978, Article 1er du décret du 23 décembre 1981