Protection des données : avertissement pour divulgation d’adresses associées aux numéros de téléphone

La Commission nationale de l’informatique et des libertés sanctionne par un avertissement, sur le fondement de l’article 21, 4° de la loi n° 78-17 du 6 janvier 1978, un procédé de gestion des demandes de taxis permettant de retrouver automatiquement l’adresse d’un client à partir de son numéro de téléphone, sans vérifier son identité.

La divulgation de cette adresse à tout appelant est susceptible de constituer une cession d’information à un tiers non autorisé. Le risque est accru lorsque la personne a demandé à figurer sur liste rouge.

La Commission relève également que la collecte du numéro de téléphone peut présenter un caractère déloyal, au sens de l’article 25. Elle constate que l’information des personnes ne respecte pas l’article 27 et que l’absence de possibilité d’opposition met en échec l’article 26. Ces manquements justifient l’avertissement adressé aux responsables de la société.

⬇️Télécharger la décision version officielle

Une société de taxis retrouvait automatiquement l’adresse d’un client à partir de son numéro de téléphone, sans vérifier l’identité de l’appelant. Ce procédé permettait à des tiers d’obtenir une adresse, y compris celle d’une personne sur liste rouge. La CNIL a aussi relevé un défaut d’information, l’absence de droit d’opposition et une collecte potentiellement déloyale.

Une société de taxis enregistrait et conservait informatiquement l’adresse de prise en charge ainsi que le numéro de téléphone des clients sollicitant pour la première fois son service.

Lors d’un appel ultérieur, les standardistes retrouvaient automatiquement l’adresse correspondant au numéro communiqué, sans vérifier l’identité de l’appelant. Toute personne appelant la société pouvait ainsi obtenir l’adresse d’un client déjà enregistré.

Six plaintes ont dénoncé ce procédé. La Commission nationale de l’informatique et des libertés a relevé qu’il pouvait divulguer l’adresse d’une personne à un tiers non autorisé, notamment lorsque celle-ci figurait sur liste rouge. Elle a également constaté l’absence d’information conforme, de possibilité d’opposition et le caractère potentiellement déloyal de la collecte du numéro de téléphone.

• Enregistrer et conserver informatiquement le numéro de téléphone et l’adresse associée
• Permettre la restitution de l’adresse sans vérifier l’identité de l’appelant
• Caractériser un risque de divulgation à un tiers non autorisé
• Apprécier le caractère potentiellement déloyal de la collecte
• Vérifier l’information des personnes conformément à l’article 27
• Vérifier l’existence d’une possibilité effective d’opposition

• Compte rendu des missions d’investigation auprès de sociétés de taxis
• Six plaintes relatives à l’enregistrement et la conservation des demandes
• Description du rapprochement informatique entre numéro et adresse
• Absence de vérification de l’identité lors du second appel
• Possibilité de révéler l’adresse d’une personne inscrite sur liste rouge

La société de taxis s’expose à un avertissement lorsque son traitement permet de révéler une adresse à un tiers sans contrôle et sans garanties suffisantes. Les personnes concernées sont privées d’une information conforme et d’une possibilité effective d’opposition.

• Avertissement adressé aux responsables de la société
• Risque de cession d’informations à des tiers non autorisés
• Atteinte accrue aux personnes inscrites sur liste rouge
• Remise en cause de la loyauté de la collecte
• Constat de manquements aux articles 26 et 27

À faire

• Informer les personnes sur la collecte et l’enregistrement
• Prévoir une procédure effective d’opposition
• Vérifier l’identité de l’appelant avant toute restitution
• Limiter l’accès aux adresses enregistrées
• Évaluer la loyauté de la collecte du numéro

À éviter

• Révéler automatiquement une adresse à tout appelant
• Associer publiquement un numéro à une adresse
• Ignorer les demandes d’inscription sur liste rouge
• Collecter des données sans information préalable
• Supprimer toute possibilité d’opposition au traitement

La divulgation d’adresses à partir d’un numéro de téléphone

La restitution automatique d’une adresse à toute personne communiquant le numéro de téléphone permet une cession d’information à un tiers non autorisé. La Commission souligne le caractère particulièrement préjudiciable de cette divulgation lorsque la personne concernée a demandé à figurer sur liste rouge.

Le caractère déloyal de la collecte des données

Le procédé de collecte et d’enregistrement du numéro de téléphone est susceptible d’être déloyal. À ce titre, il peut être interdit par l’article 25 de la loi n° 78-17 du 6 janvier 1978.

Les obligations d’information et d’opposition

La collecte et l’informatisation des informations ne respectent pas l’article 27. L’absence de procédure permettant aux personnes de s’opposer au traitement met également en échec l’article 26. Ces manquements fondent l’avertissement prononcé sur le fondement de l’article 21, 4°.

Article 5 de la loi n° 78-17 du 6 janvier 1978, Article 16 de la loi n° 78-17 du 6 janvier 1978, Article 21 de la loi n° 78-17 du 6 janvier 1978, Article 25 de la loi n° 78-17 du 6 janvier 1978, Article 26 de la loi n° 78-17 du 6 janvier 1978, Article 27 de la loi n° 78-17 du 6 janvier 1978, Article 29 de la loi n° 78-17 du 6 janvier 1978, Article 42 de la loi n° 78-17 du 6 janvier 1978