AgentPublic/cnil huggingface dataset:
3. Monsieur M. G. a également reçu de nombreuses télécopies de prospection non sollicitées en 2009, l'invitant aux ventes privées de la société. En l'absence de prise en compte des demandes d'opposition effectuées par télécopie, il a saisi la CNIL d'une plainte le 20 novembre 2009 (PL n° 09027894). Ce n'est qu'après l'envoi d'une lettre recommandée avec accusé de réception, le 9 janvier 2010, que le plaignant a cessé de recevoir des télécopies de la part de la société. 
4. Monsieur M. W. a également reçu à son domicile de nombreuses télécopies de prospection non sollicitées en 2009, l'invitant aux ventes privées de la société. Il a continué à recevoir des télécopies de prospection, y compris la nuit, après avoir renvoyé une des télécopies reçues. Il a saisi la CNIL le 13 octobre 2009 (PL n° 09024698) et n'a pas reçu de nouvelles télécopies depuis. 
5. Monsieur P. a également reçu à son domicile de nombreuses télécopies de prospection non sollicitées en 2009 et en 2010, l'invitant aux ventes privées de la société. Bien qu'il ait renvoyé une des télécopies reçues, il a continué à recevoir des télécopies de prospection. Il a saisi la CNIL d'une plainte le 29 juin 2009 (PL n° 09016431). Au jour de l'audience, malgré le renvoi d'une des télécopies reçues, Monsieur P. continuait à recevoir des télécopies de prospection, y compris en pleine nuit.
6. Monsieur M. W. a également reçu à son domicile de nombreuses télécopies de prospection non sollicitées en 2009 et en 2010, l'invitant aux ventes privées de la société. Il a continué à recevoir des télécopies de prospection bien qu'il ait renvoyé à plusieurs reprises les télécopies reçues. Il a saisi la CNIL le 9 mars 2010 (PL n° 10005531). Au jour de l'audience, malgré plusieurs tentatives d'exercice de son droit d'opposition, Monsieur W. continuait à recevoir des télécopies de prospection. 
7. Monsieur P. G. a également reçu à son domicile de nombreuses télécopies de prospection non sollicitées en 2009, l'invitant aux ventes privées de la société. Bien qu'il ait renvoyé à plusieurs reprises les télécopies reçues, il a continué à recevoir des télécopies de prospection, dont une à la fin du mois de décembre 2009. Il a saisi la CNIL le 19 janvier 2010 (PL n° 10001526). La CNIL a adressé à la société un courrier en date du 10 mars 2010, demandant la suppression des données du plaignant. Ce n'est qu'après cette intervention de la CNIL que le plaignant a cessé de recevoir des télécopies de prospection commerciale. 
Le 26 mars 2010, la société a indiqué qu'elle avait bien pris en compte la demande de radiation du plaignant, en date du 19 mars 2009, et l'avait transmise à son prestataire. Elle a précisé que ce denier avait traité sa demande et supprimé les coordonnées du plaignant.
Elle a également informé la Commission que son prestataire utilisait les CD-ROM de prospection fournis par les sociétés F. P. et C. P. pour réaliser les envois de télécopies, en précisant que seules les coordonnées de professionnels étaient utilisées. Enfin, elle a indiqué que les télécopies envoyées mentionnaient les coordonnées de la société ainsi qu'un numéro non surtaxé permettant la désinscription, au [01 -- -- -- --].
· Procédure
Suite à la réception des plaintes susmentionnées, la Commission a engagé une procédure contre la société X sur le fondement du 1° du I de l'article 45 de la loi du 6 janvier 1978 modifiée, qui dispose :
I. - La Commission nationale de l'informatique et des libertés peut (...) mettre en demeure le responsable de faire cesser le manquement constaté dans un délai qu'elle fixe.
Si le responsable d'un traitement ne se conforme pas à la mise en demeure qui lui est adressée, la commission peut prononcer à son encontre, après une procédure contradictoire, les sanctions suivantes : 
1° Une sanction pécuniaire, dans les conditions prévues par l'article 47, à l'exception des cas où le traitement est mis en œuvre par l'Etat ; (...) .
Aux fins de cette procédure, le rapport de M. Dominique RICHARD, membre de la CNIL, rapporteur, proposant à la formation restreinte de la CNIL de prononcer une sanction pécuniaire d'au moins 50 000 € à l'encontre de la société X, a été remis en mains propres au siège de la société le 12 mai 2010. Le courrier de notification qui accompagnait le rapport informait par ailleurs celle-ci que son dossier était inscrit à l'ordre du jour de la formation restreinte du 17 juin 2010 à 14h.
Au soutien de sa demande, le rapporteur a fait valoir que les faits relevés lors de l'instruction des plaintes précitées révélaient un certain nombre de manquements, chacun d'entre eux étant qualifié avec précision dans le rapport :
· En premier lieu, un manquement à l'obligation de respecter les dispositions de l'article L. 34-5 du code des postes et des communications électroniques, qui dispose qu' est interdite la prospection directe au moyen d'un automate d'appel, d'un télécopieur ou d'un courrier électronique utilisant, sous quelque forme que ce soit, les coordonnées d'une personne physique qui n'a pas exprimé son consentement préalable à recevoir des prospections directes par ce moyen ;
· En deuxième lieu, un manquement à l'obligation de respecter le droit d'opposition des personnes consacré par l'article 38 de la loi du 6 janvier 1978 modifiée, qui dispose que toute personne a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur ;
· En troisième lieu, un manquement à l'obligation d'accomplir les formalités préalables à la mise en œuvre du traitement, en application du Chapitre IV de la loi du 6 janvier 1978 modifiée.
Le rapporteur proposait ainsi à la formation restreinte de prononcer de nouveau une sanction pécuniaire à l'encontre de la société, sur le fondement de la mise en demeure du 14 juin 2007.
Par ailleurs, constatant que les manquements dénoncés à la CNIL en 2009 et en 2010 constituent la réitération des manquements aux dispositions de l'article 38 et du chapitre IV de la loi du 6 janvier 1978 modifiée, ainsi que des dispositions de l'article L. 34-5 du code des postes et des communications électroniques, déjà sanctionnés par la délibération n° 2007-352 du 22 novembre 2007, le rapporteur remarquait qu'il y avait dès lors lieu de faire application des dispositions relatives à la réitération de manquements figurant à l'article 47 de la loi du 6 janvier 1978 modifiée, qui dispose que :
Le montant de la sanction pécuniaire prévue au I de l'article 45 est proportionné à la gravité des manquements commis et aux avantages tirés de ce manquement. Lors du premier manquement, il ne peut excéder 150.000 €. En cas de manquement réitéré dans les cinq années à compter de la date à laquelle la sanction pécuniaire précédemment prononcée est devenue définitive, il ne peut excéder 300 000 € ou, s'agissant d'une entreprise, 5 % du chiffre d'affaires hors taxes du dernier exercice clos dans la limite de 300 000 €. 
Le rapporteur en déduisait que la société encourrait une sanction pécuniaire d'un montant de 5% du chiffre d'affaires hors taxes du dernier exercice clos dans la limite de 300 000 €. Ainsi, appréciant la gravité des manquements commis et les avantages qui en ont été retirés par la société X, ainsi que la situation financière de cette dernière, le rapporteur demandait à la formation restreinte de prononcer à son encontre une sanction d'au moins 50 000 € si elle devait être pécuniaire et qui serait rendue publique.
Par un courrier de son conseil en date du 10 mai 2010, arrivé à la Commission le 12 mai, la société a fait part de ses observations écrites sur le rapport. Lors de la séance de la formation restreinte de la CNIL du 17 juin 2010, elle a réitéré ces observations en défense oralement. La société, sans remettre en cause la matérialité des faits lui étant reprochés, a pour l'essentiel conclu à l'entière responsabilité de son prestataire en matière de prospection commerciale, la société A. M., sur les trois chefs de sanction proposés par le rapporteur.
Par télécopie en date du 17 juin 2010, la société X a également communiqué à la Commission la copie d'une mise en demeure adressée à la société A. M. le 21 mai 2010 pour obtenir des explications sur les manquements relevés par la Commission, ainsi que le courrier de résiliation du contrat liant ces deux sociétés, en date du 31 mai 2010. Elle a également communiqué deux attestations, l'une de M. J. A., ancien gérant de la société X, l'autre de M. V. M., associé et responsable de magasin, selon lesquelles la société A. M. n'aurait jamais informé la société X des dysfonctionnements rencontrés dans la gestion des désinscriptions.
II. MOTIFS DE LA DECISION
Sur la responsabilité de la société X
La société X réfute toute responsabilité quant aux manquements qui lui sont reprochés par le rapporteur, qu'elle impute à son prestataire, la société A. M.. A cet effet, la société X invoque les termes du contrat de prestation conclu avec cette société suite à la sanction précédemment prononcée par la formation restreinte. Selon ce contrat, la société A. M. s'était engagée :
· à n'effectuer des comptages et extractions que sur des CD ROM disponibles sur le marché, 
· à ne sélectionner que des personnes morales aux fins de prospection, 
· à fournir un numéro de télécopie permettant aux destinataires des opérations de fax-mailing de se désinscrire de ses fichiers, 
· et à mettre à jour et à constituer de manière hebdomadaire ce fichier de destinataires qui ne souhaitent plus redevoir de télécopies publicitaires et à l'utiliser comme filtre dans le cadre des opérations de fax mailing de son client. 
En outre, la société A. M. s'est engagée contractuellement à être tenue pour responsable de toutes violations de ces dispositions. La société X indique qu'elle estime ainsi avoir pris toutes les précautions et toutes les mesures nécessaires pour assurer le respect des dispositions légales et réglementaires .
Le I de l'article 3 de la loi du 6 janvier 1978 modifiée dispose que le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens .
L'article 35 de la loi du 6 janvier 1978 modifiée dispose que toute personne traitant des données à caractère personnel pour le compte du responsable de traitement est considérée comme un sous-traitant au sens de la loi. Il dispose également que les opérations de traitement ne peuvent être réalisées par un sous-traitant que sur instruction du responsable de traitement . 
Il n'est pas contestable, en l'espèce, que la société X est le responsable des traitements mis en cause, à savoir l'exploitation de fichiers de contacts aux fins d'envoi de télécopies de prospection commerciale, et que la société A. M. est, pour sa part, le sous-traitant réalisant ces opérations pour le compte de la société X.
Si la conclusion d'accords contractuels peut permettre à la société X de se retourner contre son prestataire dans le cadre d'un recours en responsabilité civile, elle ne saurait pour autant écarter la responsabilité qui lui incombe au premier chef au regard de la loi du 6 janvier 1978 modifiée quant aux traitements mis en cause.
Il est d'autant plus tendancieux de la part de la société X de tenter d'imputer les manquements reprochés à son prestataire défaillant qu'elle-même n'a réagi qu'avec la plus grande désinvolture une fois ces manquements connus. En effet, la société n'a demandé d'explications formelles à son prestataire que le 21 mai 2010, soit neuf jours après la réception du rapport du rapporteur le 12 mai 2010, alors pourtant que la Commission lui avait adressé un courrier le 10 mars 2010 pour lui demander des explications sur la situation de M. G., et qu'au moins trois personnes physiques s'étaient déjà manifestées directement auprès d'elle pour se plaindre la réception de fax non-sollicités sur les mois précédents, et pour certains d'eux à plusieurs reprises : Mme L. en juillet 2009, M. G. et Mme B. en janvier 2010. 
La société X saurait d'autant moins se soustraire à cette responsabilité qu'elle a récemment fait l'objet d'une précédente sanction pour les mêmes faits, ce qui aurait dû l'inciter à la plus grande des vigilances quant aux agissements de son prestataire.
Sur l'absence de mise en demeure préalable
La société X indique qu'elle n'était pas au courant de la réception des nouvelles plaintes parvenues à la Commission entre 2009 et 2010. Elle reproche ainsi à celle-ci de ne pas lui avoir adressé une mise en demeure préalablement à l'envoi du rapport du rapporteur, en application de l'article 45 de la loi du 6 janvier 1978 modifiée qui prévoit que la Commission peut prononcer une sanction pécuniaire à l'encontre d'un responsable de traitement à la condition que celui-ci ne se conforme pas à la mise en demeure qui lui est adressée .
C'est pourtant à bon droit que la Commission n'a pas adopté une nouvelle mise en demeure après avoir reçu des plaintes pour des manquements identiques à ceux ayant mené à l'imposition d'une sanction en 2007, après une période de mise en conformité, dès lors qu'elle s'appuyait pour ce faire sur une jurisprudence établie du Conseil d'Etat (v. notamment Conseil d'Etat, 7 février 2003, n° 232840, Association Radio deux couleurs , et 24 novembre 2004, n° 258076, Association Radio SUN FM). 
En outre, la société X a pu présenter sa défense après la réception du rapport du rapporteur, à défaut d'avoir reçu une mise en demeure préalable. Ainsi, la société X :
· a reçu communication du rapport de présentation de la sanction ainsi que du dossier de la procédure engagée pour lui infliger une nouvelle sanction ; 
· a produit des observations écrites sur ce rapport ;
· a été entendue en sa défense lors de la séance de la formation restreinte de la Commission le 17 juin 2010.
La Commission pouvait dès lors se dispenser d'adopter une mise en demeure préalable à la notification du rapport en sanction, dès lors qu'elle a satisfait aux exigences posées par la jurisprudence du Conseil d'Etat dans les arrêts précités.
Sur le manquement à l'obligation de recueillir le consentement préalable des personnes physiques à la réception de télécopies commerciales
L'article L. 34-5 du code des postes et des communications électroniques dispose qu' est interdite la prospection directe au moyen d'un automate d'appel, d'un télécopieur ou d'un courrier électronique utilisant, sous quelque forme que ce soit, les coordonnées d'une personne physique qui n'a pas exprimé son consentement préalable à recevoir des prospections directes par ce moyen .
La société précise également n'avoir jamais eu l'intention de démarcher des personnes physiques. Ses prospects ne seraient, selon elle, que des personnes morales dont les coordonnées ont été collectées via les CD ROM F. P. et C. P. . Ainsi, selon elle, si des personnes physiques ont été destinataires de publicités adressées par la société X, ces envois ne peuvent être que la conséquence d'une défaillance du prestataire ; il se pourrait également que certains des envois aient été la conséquence d'une réattribution d'un numéro de télécopie d'une personne morale figurant sur le logiciel à une personne physique . En imposant à son prestataire l'obligation de ne sélectionner que des personnes morales et à n'utiliser que les CD-ROM disponibles sur le marché, la société X aurait donc entendu se conformer strictement aux dispositions de l'article L. 34-5 du Code des postes et communications électroniques.
La Commission rappelle cependant que la société a été mise en demeure en juin 2007 de cesser toute prospection commerciale par télécopie auprès des personnes qui n'auront pas préalablement donné leur accord pour être démarchées, et qu'elle a été sanctionnée pécuniairement en novembre 2007 pour non-respect de l'interdiction de prospection directe au moyen d'un télécopieur sans le consentement préalable de la personne physique destinataire.
Pour autant, de nouvelles personnes physiques ont reçu des télécopies les invitant aux ventes privées de la société, alors qu'elles n'avaient pas préalablement consenti à recevoir de télécopies publicitaires. 
Ces faits, au demeurant non contestés par la société X, qualifient bien la réitération d'un manquement déjà sanctionné au regard de l'article L. 34-5 du code des postes et des communications électroniques.
Sur le manquement à l'obligation de respecter le droit d'opposition des personnes 
L'article 38 de la loi du 6 janvier 1978 modifiée dispose que toute personne a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur .
La société X estime avoir pris toutes les mesures à sa portée pour que les demandes d'opposition soient prises en compte de manière effective et pérenne , dès lors que le contrat passé avec le prestataire mentionnait que celui-ci serait tenu pour responsable des violations aux articles susvisés . De même, elle considère avoir traité efficacement les demandes des personnes ayant fait valoir directement leur droit d'opposition auprès d'elle, en demandant et en s'assurant auprès du prestataire de la suppression immédiate des coordonnées de ces personnes.
Compte tenu de la sanction dont elle a fait l'objet en 2007 pour non-respect du droit d'opposition des personnes, la société ne pouvait pourtant ignorer que les pratiques dénoncées dans les plaintes susvisées étaient contraires aux dispositions de la loi. Il lui appartenait au contraire de garantir la prise en compte effective et pérenne des demandes d'opposition à la prospection commerciale, comme elle s'y était déjà engagée en 2007. 
Or le seul moyen mis à la disposition des prospects pour exercer leur droit d'opposition, sous la forme d'un numéro de télécopie, s'est avéré parfaitement inefficace puisqu'au moins sept plaignants ont continué à recevoir de la prospection commerciale de la part de la société X, bien qu'ils s'y soient expressément opposés en renvoyant les télécopies au numéro indiqué à cet effet. Si certains plaignants ont finalement cessé de recevoir des télécopies, ce n'est d'ailleurs qu'après être intervenus par téléphone et par courrier auprès de la société. 
En outre, la liste des personnes s'étant opposée à l'utilisation de leurs coordonnées par la société X n'a, à l'évidence, pas été recoupée avec le fichier de prospection puisqu'un plaignant a reçu une nouvelle télécopie à la fin du mois de décembre 2009, l'invitant à des ventes prévues en janvier 2010, alors que la société avait assuré à la Commission avoir obtenu la garantie de sa radiation.
Enfin, la Commission constate que certaines des télécopies lui ayant été communiquées par les plaignants comportaient un numéro surtaxé pour exercer leur droit d'opposition. Outre qu'il était inefficace, le moyen proposé par la société pour s'opposer à la réception de télécopies a donc pu présenter un coût pour certaines personnes ayant tenté de faire respecter leurs droits.
Dès lors, il apparaît à l'évidence que la société X doit être tenue responsable de ces manquements persistants à l'obligation de respecter le droit d'opposition des personnes. 
Sur le manquement à l'obligation d'accomplir les formalités préalables à la mise en œuvre du traitement
Tout responsable de traitement a l'obligation d'accomplir des formalités préalables auprès de la CNIL avant la mise en œuvre d'un traitement automatisé de données personnelles, conformément aux dispositions du chapitre IV de la loi du 6 janvier 1978. 
La Commission constate que la société X n'a procédé pour son compte à aucune formalité préalable à la mise en œuvre des traitements ayant pour finalité la gestion de prospection par télécopies pour ses ventes privées, contrairement à ses obligations légales. Elle relève que la société a pourtant été sanctionnée en novembre 2007 sur le fondement de l'absence de toute formalité préalable, et qu'elle ne saurait tenter de s'abriter une fois encore derrière la supposée défaillance de son prestataire pour échapper à ses obligations légales.
Ici encore, l'abstention de la société X constitue la réitération d'un manquement déjà sanctionné au chapitre IV de la loi n° 78-17 du 6 janvier 1978 modifiée. 
Sur les manquements constatés
En conséquence, eu égard aux manquements constatés relatifs à l'obligation de recueillir le consentement préalable des personnes physiques à la réception de télécopies commerciales, à l'obligation de respecter le droit d'opposition des personnes, à l'obligation d'accomplir les formalités préalables à la mise en œuvre du traitement, la société X verra prononcer à son encontre une sanction pécuniaire d'un montant de 15 000 €.
Sur la publicité de la délibération
Eu égard à la nature et à la gravité des manquements commis ainsi qu'à la nécessité, d'une part, pour les personnes physiques de connaître les règles relatives à la protection de leurs données à caractère personnel et, d'autre part, pour les responsables de traitement de mieux appréhender les règles qui s'imposent à eux, la délibération de la Commission sera rendue publique sur le site internet de la CNIL et sur le site internet Légifrance.
PAR CES MOTIFS
Conformément au I de l'article 45 de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide : 
- de prononcer à l'encontre de la société X une sanction pécuniaire de 15 000 €, - de publier cette décision sur le site internet de la CNIL et sur le site internet Légifrance.
La société X dispose d'un délai de deux mois pour exercer un recours devant le Conseil d'Etat à l'encontre de la présente délibération.
Le Président Alex TURK
(saisine n°1376128)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de l’intérieur, le 16 juillet 2009, d’un projet d'arrêté relatif à la mise en œuvre par la direction centrale de la police judiciaire d’un fichier des courses et jeux, modifié le 25 février 2010 ; 
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 26 ;
Vu la loi n°95-73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité, notamment son article 17-1 ;
Vu le décret n°85-1057 du 2 octobre 1985 modifié relatif à l’organisation de l’administration centrale du ministère de l’intérieur et de la décentralisation, notamment son article 13 ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;