AgentPublic/cnil huggingface dataset:
1. La société X a procédé le 9 avril 2004 à une déclaration relative à la mise en oeuvre d'un traitement ayant pour objet la constitution d'un fichier d'information sur les locataires immobiliers pour la prévention des impayés, à l'usage des professionnels, accessible sur un site Internet intitulé [...]. 
Par courrier en date du 9 juillet 2004, la Commission a adressé à la société X le récépissé de déclaration prévu par les dispositions de l'article 16 de la loi du 6 janvier 1978 dans sa rédaction antérieure à la loi n° 2004-801 du 06 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
La Commission a néanmoins attiré l'attention de la société X, dans ce même courrier, sur les difficultés posées par le traitement mis en oeuvre au regard de l'application de la loi du 6 janvier 1978. 
La CNIL a rappelé, en particulier, qu'en application des articles 25 et 27 de la loi du 6 janvier 1978 dans sa rédaction antérieure à la loi du 6 août 2004, les locataires devaient être informés au moyen d'une clause figurant dans le contrat de bail de la possibilité d'une inscription dans le fichier de mauvais payeurs.
Par décision en date du 31 mars 2005, la Commission nationale de l'informatique et des libertés a procédé à une mission d'investigation auprès de la société X, s'agissant notamment de son site Internet [...], sur lequel est accessible la liste de mauvais payeurs. 
A la suite des vérifications entreprises, la délégation de la Commission a demandé à la société X tant lors des opérations de vérification, qu'ultérieurement par courrier électronique adressé au conseil de la société X le 30 mai 2005, de justifier de l'insertion dans les contrats de bail d'une clause d'information spécifique ou de la signature d'un avenant au bail se rapportant à la possibilité pour le bailleur d'inscrire le locataire en cas d'impayés dans le fichier des mauvais payeurs locataires. 
La délégation de la Commission a par ailleurs constaté que l'article 5 des conditions générales d'utilisation du site [...] stipule la nécessité de l'existence d'une telle clause contractuelle : "L'abonné s'engage à mentionner impérativement dans les baux soumis à ses locataires la possibilité d'une inscription sur le site sécurihome.fr en cas de litige mettant en cause leur responsabilité".
Constatant que l'absence d'une telle clause était susceptible de constituer un manquement aux dispositions de la loi du 6 janvier 1978, notamment les articles 25 et 27 dans leur rédaction antérieure à la modification résultant de la loi du 6 août 2004, applicables à la date de la mise en oeuvre du traitement, ainsi que les articles 6 et 32 de la loi du 6 janvier 1978 modifiée, et constatant par ailleurs que la société X n'avait apporté aucune suite aux demandes de la Commission formulées tant le jour du contrôle, le 18 avril 2005, que par courrier électronique le 30 mai 2005, la formation restreinte a mis en demeure la société X, par délibération du 3 novembre 2005, de justifier à la Commission, dans un délai d'un mois, de l'existence de l'insertion dans les contrats de bail d'une clause d'information spécifique ou de la signature d'un avenant au bail se rapportant à la possibilité pour le bailleur d'inscrire le locataire en cas dans le fichier des mauvais payeurs locataires en cas d'impayés. 
2. En réponse à la mise en demeure précitée, la société X a adressé à la CNIL le 19 décembre 2005 un courrier aux termes duquel elle indiquait demander à l'ensemble de ses adhérents de bien vouloir utiliser un formulaire spécifique pour informer les nouveaux clients de l'existence d'un fichier d'impayés.
Constatant que cette réponse n'apportait aucune garantie sur l'information des personnes figurant d'ores et déjà dans le fichier de mauvais payeurs ainsi que sur l'utilisation effective de ce formulaire pour les nouveaux clients, les services de la CNIL ont adressé le 3 février 2006 un courrier à la société X lui demandant de compléter sa réponse notamment en adressant à la Commission la copie, pour l'ensemble des personnes figurant dans la base de mauvais payeurs, du contrat de bail ou de l'avenant permettant de justifier d'une information préalable de ces personnes. La société X n'a pas répondu à cette demande de compléments. 
Ce n'est qu'après plusieurs contacts informels (appels téléphoniques, envoi de messages électroniques) que le gérant de la société X a finalement consenti à donner un nouvel accès informatique à la base de données. Les services de la CNIL ont ainsi pu effectuer, à deux reprises (avril et mai 2006), des vérifications sur l'état exact de cette base de données. 
Il est ressorti de ces vérifications que la volumétrie de la base n'a cessé d'augmenter depuis la mise en demeure puisque, au jour des vérifications, 33 agences immobilières (situées à Paris ou en région parisienne) étaient référencées et avaient inscrits près de 200 personnes présumées mauvais payeurs.
S'agissant de la demande de communication, pour l'ensemble des personnes figurant dans la base de mauvais payeurs, du contrat de bail ou de l'avenant permettant de justifier d'une information préalable de ces personnes, la société X n'a en revanche communiqué aucune information. 
3. Constatant qu'il n'était pas possible d'obtenir directement auprès de la société X les renseignements demandés concernant l'information des personnes fichées, les services de la CNIL ont procédé le 22 juin 2006 à deux missions de contrôles auprès d'agences immobilières participant à l'alimentation du fichier de mauvais payeurs (Y et Z). 
Il est ressorti des vérifications accomplies sur place que : 
- les deux agences ont reconnu n'avoir effectué aucune information auprès des 42 personnes inscrites dans la base de données, que celles-ci aient été inscrites avant ou après l'adoption de la mise en demeure ; 
- s'agissant de l'agence Z, sur les 29 personnes référencées dans la liste de mauvais payeurs, les services de la CNIL ont constaté que, pour au moins cinq d'entre elles, la dette avait été régularisée ou effacée.
- les deux agences ont confirmé n'avoir reçu aucun courrier ou message de sensibilisation de la part de la société X concernant la question de l'information des personnes préalablement à leur inscription dans la liste de mauvais payeurs, ou, plus généralement, concernant les principes à respecter (définition d'une durée de conservation maximum, suppression des coordonnées de la personne dès que le paiement est régularisé ou que la dette est effacée). 
Suite à ces missions de contrôle, la société Z a fait savoir à la CNIL par courrier du 23 juin 2006 qu'elle résiliait le contrat qui la liait à la société X. Cette demande de résiliation aurait du conduire à l'effacement, par la société X, de l'ensemble des données relatives aux mauvais payeurs notifiés par la société Z. 
Or les services de la CNIL ont pu constater, à la suite du contrôle, que les débiteurs enregistrés par la société Z étaient toujours présents dans la base de données. 
4. Par lettre adressée le 13 mars 2007, la société X a, en réponse à la proposition de sanction, indiqué qu'elle s'engageait à : 
- mettre son activité en veille commerciale et bloquer l'accès de ses clients à la liste noire de mauvais payeurs ; 
- préalablement à la reprise de toute activité commerciale, communiquer à ses clients de nouvelles conditions générales de vente stipulant l'information obligatoire du débiteur par l'agence immobilière.
La Commission rappelle, sur le second point, qu'une telle clause existait déjà dans les conditions générales de vente avant la mise en demeure de la CNIL et qu'elle a estimé que l'existence d'une telle disposition était insuffisante à démontrer le respect, par la société X, de son obligation d'information. 
La Commission considère par ailleurs que la mise en veille commerciale n'apporte aucune réponse satisfaisante concernant les nombreux manquements relatifs à la mise en œuvre du traitement qui n'a, à ce jour, fait l'objet d'aucune mesure de correction. 
5. Au regard de l'ensemble de ce qui précède, la Commission considère que la société X n'a pas justifié de l'existence de l'insertion dans les contrats de bail d'une clause d'information spécifique. Au-delà, la société X n'a justifié d'aucune diligence particulière allant dans le sens d'une information des débiteurs. Elle n'a donc pas respecté les termes de la mise en demeure qui lui a été adressée.
En tant que responsable de traitement d'une liste noire mutualisée, nonobstant l'absence de relation directe avec les personnes fichées, la société X n'en reste pas moins tenue de respecter l'obligation d'information visée à l'article 32 de la loi informatique et libertés . Ainsi, sans même aller jusqu'à vérifier chaque contrat de bail, la société X est tenue à une obligation de moyen se traduisant, a minima, par une sensibilisation active des agences sur l'existence de l'obligation d'information, ce qu'elle n'a pas fait. Elle n'a adressé aucun message de sensibilisation aux agences immobilières et ne les a pas invitées à s'engager par écrit à informer l'ensemble de leurs débiteurs. 
La société X n'a, par ailleurs, pris aucune mesure allant dans le sens d'une meilleure information des personnes (information directe auprès des débiteurs sans passer par les agences immobilières, mesures d'audit pouvant être définies contractuellement avec les agences afin de vérifier le respect des obligations informatique et libertés , etc.). 
Enfin, la Commission observe que depuis 2004, sur la base des éléments recueillis lors de la réalisation des missions de contrôle sur place, la société X a retiré un avantage économique manifeste de la mise en place du traitement de mauvais payeurs (plus de 30 clients facturés au mois ou à la consultation).
En conséquence, la Commission décide de faire application des dispositions des articles 45 et suivants de la loi du 6 janvier 1978 modifiée le 6 août 2004 et de prononcer à l'encontre de la société X sise [...], compte tenu de la gravité des manquements commis ainsi que de l'avantage économique retiré, une sanction pécuniaire de 15.000 euros. 
Par ailleurs, la Commission enjoint la société X de cesser la mise en œuvre du traitement objet de la présente délibération et rappelle que toute nouvelle mise en œuvre du traitement devra faire l'objet, conformément aux dispositions de l'article 25-I-4° de la loi du 6 janvier 1978 modifiée le 6 août 2004, d'une demande d'autorisation préalable auprès de la CNIL. 
La présente décision sera rendue publique. 
 
Le président,
 
Alex TÜRK.
La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TÜRK ; 
Etant aussi présents M. Guy ROSIER, vice-président délégué, M. François GIQUEL, vice-président, Mlle Anne DEBET, membre et M. Bernard PEYRAT, membre ; 
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personne ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la délibération n°2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu la délibération n° 2006-118 adoptée par la CNIL le 27 avril 2006 ; 
Vu le rapport de M. Francis DELATTRE, commissaire, notifié à la société X le 13 février 2007 et les observations en réponse reçues le 15 mars 2007. 
Après avoir entendu, lors de la réunion du 31 mai 2007, Mme. Isabelle FALQUE-PIERROTIN, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations. 
Constate les faits suivants :
1. Dans le cadre d'une mission de vérification décidée le 14 mars 2006, une délégation de la CNIL s'est rendue le 5 avril 2006 dans les locaux de la société X sise [...]. 
A l'occasion des vérifications menées, la délégation de la Commission a constaté que la société X est mandatée par des créanciers afin de procéder à certaines diligences visant à procéder à du recouvrement de créances ou à retrouver les coordonnées de débiteurs dont les créanciers précités ont perdu la trace. 
La société X est ainsi destinataire de fiches (envoyées par voie postale ou électronique) résumant les éléments d'identification du débiteur connus par le créancier (dernière adresse connue, identité du dernier employeur, etc.) sur la base desquels celle-ci est mandatée afin de procéder à un recouvrement de créances ou à une enquête (recherche d'adresse, des coordonnées de l'employeur, du niveau de solvabilité du débiteur, etc.). 
Une fois les renseignements obtenus, ceux-ci sont intégrés dans une application informatique de gestion du recouvrement et des enquêtes, puis ils sont communiqués au créancier (au moyen d'un rapport papier ou de l'envoi de fichiers informatiques). 
Les informations recueillies et conservées sur les débiteurs dans des traitements de données à caractère personnel doivent, conformément aux dispositions de la loi du 6 janvier 1978 modifiée le 6 août 2004, faire l'objet d'une déclaration préalable auprès de la CNIL.
Pourtant, il est apparu qu'aucune déclaration n'avait été adressée à la CNIL par la société X. 
S'agissant de la durée de conservation appliquée aux données collectées et enregistrées, il est également apparu qu'aucune durée de conservation n'a été définie par la société X. 
En application de l'article 6-5° de la loi du 6 janvier 1978 modifiée le 6 août 2004, un traitement ne peut porter que sur des données à caractère personnel conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées. 
La Commission considère à cet égard que la durée de conservation la plus pertinente des données collectées et enregistrées par la société X est celle relative à la durée du mandat concernant le recouvrement d'une créance ou la recherche d'un débiteur particulier. 
Par conséquent, l'outil informatique de gestion des enquêtes ne devrait plus contenir d'informations sur un débiteur une fois le résultat de l'enquête communiqué au créancier et le mandat venu à expiration. La copie du rapport écrit adressé au créancier par la société X peut uniquement être conservée dans le cadre d'un archivage intermédiaire et ne doit pouvoir être consultée que dans des cas strictement limités (litige entre le mandant et le mandataire par exemple).
Il apparaît en effet que la conservation, dans une base informatisée, de l'intégralité des informations relatives aux débiteurs pour, par exemple, faciliter ou orienter le recouvrement d'une créance ultérieure est susceptible de présenter un risque important de détournement de finalité dans la mesure où une telle conservation pourrait permettre d'effectuer des rapprochements entre plusieurs débiteurs présentant une donnée commune (même adresse, même nom de famille, etc.). 
2. En conséquence, par délibération adoptée le 27 avril 2006, la CNIL a mis en demeure la société X sise [...] : 
- de procéder à la déclaration de son traitement de recouvrement de créances et de gestion des enquêtes ; 
- de limiter la durée de conservation des données sur les débiteurs à la durée du mandat concernant le recouvrement d'une créance ou la recherche d'un débiteur particulier et de procéder, par voie de conséquence, à la purge de l'ensemble des informations relatives à des recouvrements ou des enquêtes clôturés. 
3. L'avis de réception adressé avec la mise en demeure atteste que celle-ci a été remise le 23 mai 2006. Pourtant, la société X n'a adressé aucune réponse à la CNIL. 
C'est dans ce contexte qu'une proposition de sanction pécuniaire a été notifiée à la société X le 13 février 2007.
4. Par courrier du 15 mars 2007, la société a fait parvenir des observations en réponse.
Dans son courrier, la société X indique avoir procédé à la déclaration à la CNIL de son traitement de recouvrement de créances et de gestion des enquêtes dès mars 2004 et estime par conséquent s'être conformée à la mise en demeure de la CNIL sur ce point. 
En réalité, et après vérification par les services de la CNIL, si la société X a bien effectué une déclaration en mars 2004 (déclaration simplifiée n° 11 ayant pour finalité la gestion des fichiers de clients et de prospects, dossier n° 1003353), il s'agissait de son fichier clients, c'est-à-dire le fichier dans lequel la société X enregistre, notamment, la facturation des diligences accomplies pour le compte de ses clients (établissements de crédit notamment). Cette déclaration ne couvre en aucune manière les opérations de recouvrement de créances et de gestion des enquêtes et n'apporte ainsi aucune information pertinente sur les modalités de gestion des informations relatives à des débiteurs. 
La Commission considère par conséquent que la société X ne s'est pas conformée à la mise en demeure de la CNIL sur ce premier point. 
S'agissant par ailleurs de la limitation des durées de conservation des données et de la mise en place d'opérations de purge, la société X indique procéder à la destruction informatique des données et à la restitution des dossiers physiques à ses mandants lorsque : (1) la créance est recouvrée ; (2) le mandat est révoqué ou (3) lorsque la prescription est acquise.
La Commission considère que cette réponse ne permet pas d'assurer avec certitude que la demande formulée par la CNIL dans sa mise en demeure du 27 avril 2006 a bien été respectée. 
En effet, la société X précise dans sa réponse que la durée de conservation de certains dossiers peut s'assimiler à la durée de prescription trentenaire. La Commission estime qu'une telle durée de conservation est excessive alors même que la CNIL, dans sa mise en demeure, rappelait qu'une durée de conservation proportionnée ne saurait dépasser, s'agissant des enquêtes, la durée du mandat (c'est-à-dire quelques mois). 
Enfin, la société X n'a apporté aucune précision sur la politique d'archivage qui est mise en œuvre. 
La Commission considère par conséquent que la société X ne s'est pas non plus conformée à la mise en demeure de la CNIL sur ce second point. 
En conséquence, la Commission décide de faire application des dispositions des articles 45 et suivants de la loi du 6 janvier 1978 modifiée le 6 août 2004 et de prononcer à l'encontre de la société X sise [...], compte tenu de la gravité des manquements commis, une sanction pécuniaire de 5.000 euros. 
La présente décision sera rendue publique. 
Le président,
Alex TÜRK.
(saisine AV08014411)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de la justice, conformément aux dispositions de l’article 26 de la loi du 6 janvier 1978 modifié, d’un projet de décret modifiant l’article R.61-12 du code de procédure pénale relatif au placement sous surveillance électronique mobile dans le cadre d’une surveillance de sûreté.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel ; 
Vu le code de procédure pénale, notamment ses articles 706-53-19, 723-27, 763-8, 763-10 à 763-14 et R.61-12 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. François GIQUEL, commissaire, et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Emet l’avis suivant
Le ministère de la justice a saisi la Commission nationale de l’informatique et des libertés (CNIL) le 23 mai 2008 d’un dossier de demande d’avis sur un projet de décret modifiant l’article R.61-12 du code de procédure pénale relatif au placement sous surveillance électronique mobile dans le cadre d’une surveillance de sûreté.
La loi n° 2005-1549 du 12 décembre 2005 relative au traitement de la récidive des infractions pénales a instauré le recours au placement sous surveillance électronique mobile (PSEM) dans le cadre de diverses mesures d’exécution de peines : libération conditionnelle, suivi socio-judiciaire, et surveillance judiciaire (articles 131-36-9 et suivants du code pénal).
Aux termes de ces dispositions, « le placement sous surveillance électronique mobile ne peut être ordonné qu’à l’encontre d’une personne majeure condamnée à une peine privative de liberté d’une durée égale ou supérieure à sept ans et dont une expertise médicale a constaté la dangerosité, lorsque cette mesure apparaît indispensable pour prévenir la récidive à compter du jour où la privation de liberté prend fin. »
Les articles 763-10 et suivants du code de procédure pénale déterminent les modalités d’exécution du PSEM.
L’arrêté du 24 juillet 2006 a porté création à titre expérimental d’un traitement automatisé de données à caractère personnel relatif aux personnes condamnées placées sous surveillance électronique mobile. Le PSEM, dans le cadre de l’expérimentation, ne pouvait être ordonné que dans le cadre d’une libération conditionnelle.
Le décret n° 2007-1169 en Conseil d’Etat du 1er août 2007 portant généralisation du placement sous surveillance électronique mobile pris en application des articles 763-13 et 763-14 du code de procédure pénale, a inséré dans le code de procédure pénale les articles R. 61-7 à R. 61-42, ordonnés dans un titre VII intitulé « Du placement sous surveillance électronique mobile ».
Quatre arrêtés du 23 août 2007 ont complété le dispositif juridique fixant les modalités d’application, le PSEM pouvant être prononcé non seulement dans le cadre de la libération conditionnelle mais aussi dans celui de la surveillance judicaire et du suivi socio judiciaire.
La récente loi du 25 février 2008 sur la rétention et la surveillance de sûreté a institué une nouvelle mesure de contrôle des condamnés libérés pour prévenir la récidive et applicable aux condamnations supérieures ou égales à 15 ans de réclusion : la surveillance de sûreté.
Les modifications envisagées
Le projet de modification de décret a pour objet de compléter l’article R.61-12 du code de procédure pénale qui précise la finalité du traitement, afin de l’adapter à la nouvelle loi sur la rétention de sûreté. Actuellement cet article est rédigé de la façon suivante :
« Ce traitement a pour finalité d’assurer le contrôle à distance, par un centre de surveillance, de la localisation et le suivi des personnes majeures condamnées placées sous surveillance électronique mobile dans le cadre d’un suivi socio-judiciaire, d’une surveillance judiciaire ou d’une libération conditionnelle. »
Il est proposé de rajouter après « de surveillance judiciaire » « de surveillance de sûreté » et à la fin de l’alinéa « ainsi que dans la cadre d’une permission de sortie accordée au cours d’une rétention de sûreté ».
Il convient de souligner que seules des personnes qui sont actuellement placées sous surveillance électronique mobile dans le cadre d’une surveillance socio-judiciaire sont susceptibles de voir leur placement sous surveillance électronique mobile se poursuivre dans le cadre d’une surveillance de sûreté. Dès lors, aucune nouvelle catégorie de condamnés libérés ne serait visée par le présent ajout. 
La durée de conservation des données est identique : elles sont conservées pendant le temps de la mesure, puis à l’issue de celle-ci pendant une durée de dix ans.
De même, les informations contenues dans le fichier restent inchangées.