Protection de la finalité des fichiers clients et responsabilité du détenteur

La CNIL rappelle que l’article 27 de la loi n° 78-17 du 6 janvier 1978 impose d’informer les personnes concernées des destinataires des informations nominatives recueillies. Une déclaration mentionnant la location ou l’échange de données « pour des prospections » ne suffit pas lorsque les intéressés n’ont pas été informés d’une cession à des tiers.

L’article 29 impose au responsable du traitement de prendre toutes précautions utiles pour préserver la sécurité des informations et empêcher leur communication à des tiers non autorisés. L’article 44 sanctionne le détournement des informations de leur finalité et s’applique aux détenteurs successifs en cas de cession ou de location de fichiers.

La finalité déclarée s’apprécie au regard de l’activité du déclarant : la prospection d’une société de vente de vêtements correspondait à une prospection commerciale, excluant l’utilisation du fichier à des fins politiques. Le détenteur demeure responsable, même lorsque le détournement est imputé à des prestataires. Les sociétés chargées de la gestion ou de l’exploitation du fichier doivent également limiter son usage à la finalité autorisée. En revanche, la bonne foi du bénéficiaire de l’utilisation a été retenue lorsqu’il s’était adressé à des professionnels susceptibles de respecter la loi. La CNIL a prononcé un avertissement sur le fondement de l’article 21, alinéa 4.

⬇️Télécharger la décision version officielle

Un fichier de prospection et de clients, déclaré pour des opérations commerciales, a été utilisé pour adresser des courriers sollicitant le financement d’un parti politique. La CNIL a relevé l’absence d’information des clients sur une cession à des tiers et l’insuffisance des précautions prises par les prestataires. Elle a adressé un avertissement aux trois sociétés concernées, sans retenir la mauvaise foi du bénéficiaire.

Une société de vente de vêtements avait constitué et déclaré un fichier de prospection et de clients. Dans sa déclaration, elle indiquait que les noms et adresses pourraient être loués ou échangés pour des prospections.

Le fichier a été confié à une société chargée de sa gestion, laquelle a recouru à un prestataire. Une partie du fichier a ensuite été utilisée pour l’envoi, pour le compte d’un bénéficiaire, de courriers sollicitant le financement des activités d’un parti politique.

La CNIL a considéré que la société détentrice n’avait pas informé ses clients d’une cession à des tiers et que la finalité déclarée ne couvrait que la prospection commerciale. Elle a également retenu l’insuffisance des précautions prises par les sociétés prestataires, tout en écartant la mauvaise foi du bénéficiaire des courriers. Un avertissement a été adressé aux trois sociétés concernées.

• Information des personnes concernées sur les destinataires des données
• Finalité déclarée limitée à la prospection commerciale
• Précautions suffisantes lors de la cession du fichier
• Prévention des communications à des tiers non autorisés
• Contrôle de l’utilisation du fichier par les prestataires
• Appréciation de la bonne foi du bénéficiaire de l’utilisation

• Investigations établissant l’utilisation d’une partie du fichier clients
• Déclaration CNIL déposée le 28 juin 1980
• Annexe 16 autorisant location ou échange pour des prospections
• Courriers sollicitant le financement d’un parti politique
• Intervention successive des sociétés gestionnaire et prestataire

La société détentrice et les sociétés prestataires peuvent être sanctionnées lorsque l’utilisation du fichier excède la finalité commerciale déclarée. Le bénéficiaire de l’utilisation conserve le bénéfice de sa bonne foi lorsqu’il s’est adressé à des professionnels qu’il pouvait croire conformes à la loi.

• Avertissement de la CNIL pour le détenteur
• Avertissement de la CNIL pour les prestataires
• Maintien de la responsabilité malgré un détournement allégué
• Limitation des usages à la prospection commerciale
• Vérification des destinataires et des finalités autorisées

À faire

• Informer les clients des destinataires possibles des données
• Définir précisément la finalité commerciale du fichier
• Encadrer contractuellement les interventions des prestataires
• Contrôler les usages réalisés par les détenteurs successifs
• Conserver la déclaration et ses annexes

À éviter

• Céder le fichier sans information préalable des clients
• Interpréter largement une finalité de prospection commerciale
• Autoriser une utilisation politique ou non commerciale
• Négliger les précautions de sécurité des informations
• Se fier uniquement à la bonne foi des prestataires

La responsabilité du détenteur d’un fichier cédé

nLe détenteur reste responsable du respect de la loi du 6 janvier 1978, même lorsqu’il soutient que le fichier a été détourné à son insu par des prestataires. Il doit prendre les précautions nécessaires lors de la cession pour maintenir l’utilisation dans la finalité déclarée.n

La finalité commerciale d’un fichier de prospection

nLa mention d’une location ou d’un échange « pour des prospections » s’interprète selon l’objet social du déclarant. Pour une société de vente de vêtements, elle couvre la prospection commerciale, mais non l’utilisation par un parti politique pour sa propagande ou la collecte de subsides.n

Les précautions de sécurité des informations nominatives

nL’article 29 impose d’empêcher la communication des informations à des tiers non autorisés. Cette obligation s’applique également aux sociétés prestataires intervenant dans la gestion ou l’exploitation du fichier, dont l’utilisation doit rester limitée à la finalité autorisée.

Article 21, alinéa 4, de la loi n° 78-17 du 6 janvier 1978, Article 27 de la loi n° 78-17 du 6 janvier 1978, Article 29 de la loi n° 78-17 du 6 janvier 1978, Article 44 de la loi n° 78-17 du 6 janvier 1978