AgentPublic/cnil huggingface dataset:
L'article 21 alinéa 2 de la loi du 6 janvier 1978 modifiée dispose que les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche. 
En l'espèce, il est reproché à la société de ne pas avoir répondu, ou à tout le moins de ne pas avoir fourni de réponse satisfaisante aux nombreuses demandes de la CNIL. 
En effet, la Commission a adressé à la société plus d'une trentaine de courriers, dont une vingtaine en recommandés avec avis de réception. Ces courriers informaient la société de l'existence des plaintes susmentionnées, telles qu'elles lui sont parvenues directement de personnes établies en France ou à l'étranger, ou transmises par ses homologues néerlandais et britannique, et lui demandaient ainsi de procéder à la radiation des coordonnées des personnes concernées de ses bases. 
Les courriers en question ont, selon les cas, été adressés soit à l'adresse mentionnée sur le site Internet de la société, soit à l'adresse officielle de son siège social, soit même, en certaines occasions, à l'adresse personnelle de son Président.
Par ailleurs, faute d'avoir pu réaliser un contrôle dans leurs locaux, la Commission a tenté de convoquer les représentants de la société pour audition, à deux reprises, par courriers recommandés avec avis de réception adressés les 29 novembre et 1er décembre 2011. Aucun représentant de la société ne s'est présenté à l'audition, les courriers de convocation ayant été retournés comme non réclamés. Un procès-verbal a été dressé immédiatement et notifié à la société par courrier recommandé avec avis de réception du 22 décembre 2011. 
En guise de réponse à ses courriers d'instruction et de convocation, la Commission n'a reçu qu'un courrier de la société, adressé le 12 juillet 2011, concernant la plainte d'un des plaignants (dossier n°11010242), lequel a, de fait, obtenu satisfaction à sa demande. 
En défense, la société reconnaît avoir fait preuve de négligence. Elle explique cette situation par le succès que le service offert par la société a connu auprès des internautes, si bien que celle-ci, née d'un projet mené à partir de 2007 par deux étudiants, alors âgés de 21 et 22 ans et dotés de revenus faibles, s'est retrouvée dans l'incapacité de répondre à l'ensemble de ses obligations. 
Sur ce, la formation restreinte considère ce qui suit.
Elle peut concevoir que le succès inattendu du service offert par la société ait généré pour celle-ci une charge de travail importante et que celle-ci, de ce fait, n'ait pas eu l'intention délibérée d'entraver les missions de la Commission. Elle n'en relève pas moins que la société a omis de répondre à une trentaine de courriers d'instruction de plaintes, en sus de deux courriers de convocation à audition dans le cadre des missions de contrôle de la Commission. 
La formation restreinte considère qu'il n'est pas acceptable que des courriers émanant d'une autorité publique n'aient pas mérité d'attention particulière de la part de la société, au titre des exigences s'imposant de manière prioritaire aux premiers stades du développement de la société. Une telle attitude, si elle ne relève pas de la mauvaise foi, s'apparente à tout de le moins à une forme de négligence inacceptable de la part d'une société qui, aussi jeune et inexpérimentée soit-elle, prétend développer une activité économique basée sur le traitement de données à caractère personnel, et doit à ce titre considérer leur protection comme une exigence fondamentale. Dans ces conditions, la formation restreinte constate que la société ne s'est pas conformée à l'obligation de coopération avec la Commission qui s'imposait à elle, en application de l'article 21 de la loi du 6 janvier 1978 modifiée. 
4. Sur les manquements constatés et la publicité de la décision
Dans ces conditions, et sans qu'il soit besoin de statuer sur les autres manquements, la formation restreinte considère que la société X a violé les dispositions susvisées de la loi du 6 janvier 1978 modifiée, ce qui justifie que soit prononcé à son encontre un avertissement.
La formation restreinte constate par ailleurs que la société, dans le cadre de la procédure initiée devant elle, a fait valoir des assurances quant à une mise en conformité future à la loi du 6 janvier 1978 modifiée. Les mesures annoncées devant elle, si elles sont effectivement mises en œuvre, seront de nature à faire cesser les manquements reprochés.
Cependant, compte tenu du nombre de plaintes reçues, de la nécessité dans laquelle se trouve la formation restreinte d'informer les homologues de la Commission quant au suivi des plaintes lui ayant été transférées, de la nécessité d'informer les personnes physiques des droits qu'elles détiennent en application de la loi du 6 janvier 1978 modifiée, ainsi que de celle d'informer les acteurs économiques concernés de leurs obligations, la formation restreinte décide de rendre publique sa décision. 
PAR CES MOTIFS 
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide : 
- De prononcer un avertissement à l'encontre de la société X ; 
- De rendre publique sa décision. 
La Présidente
Claire DAVAL Cette décision est susceptible de faire l'objet d'un recours devant le Conseil d'Etat dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés, Saisie par la SACEM d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion précontentieuse et contentieuse des redevances de droits d'auteur par les usagers sous contrat d'utilisation et du recouvrement des sommes dues par les usagers sans contrat ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 9-4° et 25-I°3 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Après avoir entendu M. Dominique RICHARD, commissaire en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
La Société des auteurs, compositeurs et éditeurs de musique (SACEM) a pour objet principal d'assurer la gestion des droits de représentation publique et de reproduction mécanique de ses membres.
Dans le cadre de cette mission, la SACEM souhaite mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion précontentieuse et contentieuse des redevances de droits d'auteur dues par les usagers sous contrat d'utilisation et du recouvrement des sommes dues par les usagers sans contrat, en vue d'une éventuelle procédure civile ou pénale.
Ce traitement s'inscrit dans le cadre de l'article 9-4° de la loi du 6 janvier 1978 modifié qui prévoit que les traitements de données relatives à des infractions, condamnations et mesures de sûreté peuvent être mis en œuvre par  Les personnes morales mentionnées aux articles L.321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d'atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d'assurer la défense de ces droits . 
Ainsi, la Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-I-3° de ladite loi, qui soumet à autorisation les traitements automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Sur la finalité du traitement :
Le traitement mis en œuvre par la SACEM a pour finalité la gestion précontentieuse et contentieuse des redevances de droits d'auteur dues par les personnes sous contrat d'utilisation ainsi que le recouvrement des sommes dues par les usagers utilisant les œuvres sans avoir conclu de contrat d'utilisation.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur la nature des données traitées :
Les données traitées sont les suivantes :
- Etat civil / Identité : nom, prénom, adresse, date et lieu de naissance, situation familiale ;- Vie professionnelle : situation professionnelle, n° Siren, fonctions ;- Informations d'ordre économique : montant des sommes dues au titre des redevances de droit d'auteur, éventuelle procédure collective, cession du fonds de commerce (personne morale) ou procédure de surendettement (personne physique) ;- Infractions et condamnations : renseignements issus des décisions de justice (qualification des infractions, montant des dommages-intérêts, dépens, etc.).
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Les données collectées relatives au recouvrement des créances sont supprimées dès leur régularisation.A défaut de régularisation et pour les besoins d'éventuelles procédures judiciaires, les données sont conservées en archive pendant la durée de prescription légale de l'action en recouvrement, à savoir cinq ans (article 2224 du code civil).
La Commission considère que cette durée de conservation est proportionnée à la finalité poursuivie.
Sur les destinataires des données :
Les destinataires des données sont : 
- le département juridique, les directions et délégations régionales et le service de perception de la SACEM ;
- la Société pour l'administration du Droit de Reproduction Mécanique des auteurs, compositeurs et éditeurs de musique (SDRM) : la SACEM lui a confié la gestion du droit de reproduction mécanique. Compte tenu de ce que la majorité des œuvres dont la SDRM assure la gestion appartiennent au répertoire de la SACEM ou des sociétés d'auteurs étrangères que cette dernière représente en France, et afin d'alléger les charges de gestion, le fonctionnement administratif et comptable de la SDRM est depuis 1974 assuré par les services de la SACEM, la première conservant toutefois son autonomie juridique et financière ;
- la Société pour la Perception de la Rémunération Équitable (SPRÉ) : la SPRÉ a été créée en 1985 pour collecter la rémunération équitable prévue aux articles L. 214-1 et suivants du code de propriété intellectuelle. Ne disposant pas de personnel pour en assurer la perception sur l'ensemble du territoire, c'est la SACEM qui procède à sa perception et comptabilisation dans certains secteurs d'activité (exemples : cafés, hôtels, restaurants). La Commission rappelle que, la SPRÉ ayant sous-traité la gestion de la rémunération équitable à la SACEM, elle reste responsable de traitement et doit, à ce titre, procéder aux formalités adéquates. 
Sur l'information et les droits des personnes :
Afin d'informer les personnes concernées, les formulaires papier de demande d'autorisation et de déclaration en ligne ainsi que les courriers personnalisés adressés par la SACEM aux usagers, prévoient la mention suivante :
Les informations demandées sont toutes obligatoires et sont traitées par la SACEM, notamment dans le cadre de la facturation, la comptabilisation et le recouvrement, afin de percevoir les redevances de droit d'auteur et éventuellement la rémunération équitable prévue par l'article L. 214-1 du code de la propriété intellectuelle. Elles sont destinées à la SACEM et ses partenaires.Vous disposez d'un droit d'accès, d'interrogation, de rectification et d'opposition dans les conditions prévues aux articles 38, 39 et 40 de la loi  Informatique et Libertés  du 6 janvier 1978 que vous pouvez exercer, par voie postale, auprès de la SACEM - Département des autorisations de diffusion publique - 225, avenue Charles de Gaulle, 92528 Neuilly-Sur-Seine Cedex.  
La Commission considère que ces modalités d'information et d'exercice des droits sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
Les accès aux données par le personnel habilité à cet effet se font par l'utilisation d'un login et d'un mot de passe dont la complexité est conforme aux recommandations de la Commission. En outre, est utilisé un système d'authentification forte, délivrant des mots de passe à usage unique. Ces accès font l'objet d'une journalisation et les utilisateurs en sont informés dans la charte d'utilisation du système d'information.
Concernant les transferts de données, ceux-ci sont sécurisés par l'utilisation de réseaux virtuels privés, assurant ainsi la confidentialité des données.
Enfin, les données sont sauvegardées quotidiennement, assurant ainsi la pérennité des données.
La Commission considère que ces mesures sont proportionnées au regard de la finalité poursuivie.
Dans ces conditions, la Commission autorise la SACEM à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion précontentieuse et contentieuse des redevances de droits d'auteur dues par les personnes sous contrat d'utilisation ainsi que du recouvrement des sommes dues par les usagers utilisant ses œuvres sans contrat. 
La Présidente
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, 
Saisie par Volkswagen Group France d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des appels, des réclamations et des dossiers juridiques des clients,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I°3 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition M. Jean-François CARREZ, rapporteur et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Volkswagen Group France
Sur la finalité
Le traitement a pour finalité le suivi des appels, des réclamations et des dossiers juridiques des clients.
Le traitement des données à caractère personnel pourra donner lieu à l'établissement de statistiques.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données traitées sont :
• Les données d'identification des membres du réseau (nom, prénom, adresse, téléphone, numéro d'immatriculation) ;
• Les données relatives aux réclamations ;
• Des informations relatives à des infractions et des condamnations.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée. 
Sur les destinataires
Sont destinataires des données :
• Le plateau de relations clientèle ;
• Le coordinateur du plateau (service juridique droit de la consommation) ;
• Le service technique.
La Commission estime que ces destinataires n'appellent pas d'observation particulière. 
Sur l'information et le droit d'accès 
Les personnes sont informées conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, par la lecture d'un script au début de l'appel téléphonique. 
Les droits d'accès et de rectification s'exerceront auprès de la société Volkswagen Group France - 11 avenue de Boursonne BP 62 - 02601 Villers-Cotterêts Cedex.
La Commission considère que l'information est suffisante au regard de l'article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Au titre des mesures de sécurité, est mise en place une traçabilité des accès et une journalisation de certaines données.
La Commission estime que les mesures de sécurité n'appellent pas d'observation particulière.
Sur les autres caractéristiques du traitement
Les données relatives au recouvrement des créances sont supprimées lors de la régularisation des sommes dues ou à défaut dans un délai de cinq ans, durée de la prescription légale.
Autorise, conformément à la présente délibération, Volkswagen Group France à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ; 
Etant aussi présents MM. Jean-Marie COTTERET, Jean-François CARREZ et Dominique RICHARD, membres ; 
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la Directive n°95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié, pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu la délibération n°2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu la décision n°2011-319 du 28 décembre 2011 de la Présidente de la Commission nationale de l'informatique et des libertés ordonnant une mission de vérification auprès de la société X ;
Vu la décision n°2011-317C du 28 décembre 2011 de la Présidente de la Commission nationale de l'informatique et des libertés ordonnant une mission de vérification auprès de la société Z ; 
Vu la décision du 12 janvier 2012 de la Présidente de la Commission nationale de l'informatique et des libertés désignant M. Jean-Paul AMOUDRY, Commissaire, membre de la CNIL, en qualité de rapporteur ; 
Vu le rapport de M. Jean-Paul AMOUDRY, commissaire rapporteur, adressé par lettre recommandée avec accusé de réception à la société X, le 22 février 2012 ; 
Vu les observations écrites versées par la société le 23 mars 2012, ainsi que les observations présentées oralement lors de la séance de la formation restreinte du 29 mars 2012 ; Vu les autres pièces du dossier ; Ayant entendu, lors de la réunion de la formation restreinte du 29 mars 2012 : - M. Jean-Paul AMOUDRY, commissaire, en son rapport ;
- Mme Catherine POZZO DI BORGO, commissaire adjointe du Gouvernement, en ses observations ;
- MM. xxx, et xxx, pour Y, M. xxx de la société X, et M. xxx de D, assistés de Mes xxx et xxx, avocats, leurs conseils, en la défense de la société ;
Ces derniers ayant pris la parole en dernier, 
À adopté la décision suivante : 
 
I. FAITS ET PROCÉDURE
La société X (ci-après X) appartient au groupe Y, dont elle assure la maîtrise d'œuvre de l'exploitation de son système d'information. A ce titre, elle est propriétaire et gère le système d'information messagerie [...] utilisé par quinze fédérations de D et l'ensemble des banques E, ainsi que toutes les filiales, dont les organes de presse du groupe acquis en 2010. 
Le 28 décembre 2011, est paru dans l'hebdomadaire le Canard Enchainé un article affirmant qu'il avait été possible à des journalistes du groupe de presse contrôlé par le groupe Y d'avoir accès, à partir de leurs ordinateurs, aux données de milliers de clients d'établissements de crédit du même groupe. Les informations auxquelles ceux-ci avaient ainsi eu accès portaient par exemple sur des actions, comptes en Suisse et projets d'optimisation fiscale, des formulaires nominatifs, tamponnés par le fisc, des protestations des clients mécontents ou encore une liste nominative de 400 clients ayant acheté de l'or. Selon l'article, ces journalistes ont ainsi pu avoir libre accès à des renseignements confidentiels, de relevés d'identité bancaire, de contrats d'assurance, de courriels privés, de conseils fiscaux, de transactions ou d'achats de titres.
Le lendemain, soit le 29 décembre 2011, la Présidente de la Commission nationale de l'informatique et des libertés (ci-après la CNIL ou la Commission) a fait procéder à un contrôle sur place dans les locaux de la société X (décision n°2011-319), ainsi qu'à un contrôle dans les locaux du journal Z, membre du groupe Y (décision n°2011-317C). Ces deux contrôles ont permis d'établir les circonstances dans lesquelles l'accès litigieux a pu se produire - en l'occurrence une erreur dans la définition des habilitations d'accès à des dossiers publics de la messagerie [...] utilisée par les employés et collaborateurs du groupe.   Les échanges s'étant ensuivis entre la CNIL et la société X postérieurement à ces contrôles ont permis à la Commission d'obtenir copie de l'ensemble des dossiers publics de la messagerie [...] concernés par l'erreur susmentionnée, dans leur état préalable à la date de l'accident, préalablement expurgés des éléments couverts par le secret bancaire. Un rapport d'audit portant sur les dossiers [...] litigieux a par ailleurs été communiqué par le groupe Y à la Commission. L'ensemble de ces pièces a fait l'objet d'une exploitation par les services de la CNIL.
Au vu des faits précités, la Présidente de la Commission a, par décision en date du 12 janvier 2012, désigné M. Jean-Paul AMOUDRY, Commissaire, membre de la CNIL, en qualité de rapporteur, afin d'engager à l'encontre de la société une procédure de sanction fondée sur le I de l'article 45 de la loi du 6 janvier 1978 modifiée. 
Dans le cadre de son instruction, le rapporteur a procédé, le 9 février 2012, à l'audition des représentants et des conseils de la société X, en application de l'article 74 alinéa 2 du décret n° 2005-1309 du 20 octobre 2005 modifié. Cette audition visait, entre autres, à préciser le rôle de ladite société dans la mise en œuvre de la messagerie [...] du groupe Y. 
À l'issue de son instruction, considérant que la société avait manqué à l'obligation lui incombant d'assurer la sécurité et la confidentialité des données en application de la loi du 6 janvier 1978 modifiée, le rapporteur a fait notifier à la société par huissier, le 22 février 2012, un rapport détaillant le manquement allégué et l'informant qu'il sollicitait de la formation restreinte de la Commission qu'elle prononce un avertissement public à son encontre. 
La société, par courrier en date du 23 mars 2012, a adressé à la Commission ses observations sur le rapport. Elle a également présenté ses observations orales en défense lors de la séance de la formation restreinte du 29 mars 2012.
A l'issue de cette procédure contradictoire, après en avoir délibéré, la formation restreinte a adopté la décision dont la teneur suit. 
 
II. MOTIFS DE LA DÉCISION
1. Sur les irrégularités alléguées de procédure
Au préalable, il appartient à la formation restreinte de se prononcer sur les allégations formulées par la société quant à l'éventuelle irrégularité de la procédure de sanction. 
- La société affirme, en premier lieu, que la notification préalable, au Procureur de la République territorialement compétent, du contrôle sur place effectué par les contrôleurs de la Commission n'aurait pas été effectuée conformément aux dispositions des articles 44 de la loi du 6 janvier 1978 modifiée et 61 du décret d'application de cette même loi. En effet, elle soutient que la notification réalisée en l'espèce ne viserait pas la société X, mais des sociétés tierces.