AgentPublic/cnil huggingface dataset:
L'association entend faire valoir en défense que les membres du bureau de l'association sont tous des bénévoles, que le budget de l'association ne lui permet pas d'employer du personnel administratif et que son siège étant fixé à Paris ce n'est que très épisodiquement que le courrier est relevé. Par ailleurs, l'absence de retrait des données à caractère personnel résulterait d'un dysfonctionnement que n'explique pas l'association et ceci malgré des ordres donnés clairement en ce sens. 
La formation restreinte constate, dès lors, que l'association n'a pas respecté les termes de la mise en demeure sur ce point. 
4. Sur le manquement constaté et la publicité de la décision
Dans ces conditions, la formation restreinte constate que l'association n'a pas respecté les termes de la mise en demeure de la Présidente de la Commission en date du 13 juin 2013 et ne s'est pas mise en mesure de respecter les dispositions de la loi n°78-17 du 6 janvier 1978 modifiée.
La formation restreinte décide par conséquent de prononcer à son encontre une sanction pécuniaire dont elle limite le montant à 1 € (un euro) au regard de la faiblesse des moyens propres de l'association 
En raison du refus de coopération de l'association avec la Commission, la formation restreinte décide de rendre cette décision publique.
PAR CES MOTIFS 
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide :
- De prononcer une sanction pécuniaire de 1 euro (1 euro) à l'encontre de l'Association X - De rendre publique sa décision. 
La Présidente 
Claire DAVAL 
Cette décision est susceptible de faire l'objet d'un recours devant le Conseil d'Etat dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ; 
Etant aussi présents M. Jean-François CARREZ, M. Claude DOMEIZEL, Mme Marie-Hélène MITJAVILE et M. Dominique RICHARD, membres ; 
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2010-234C du 26 novembre 2010 de la Présidente de la Commission nationale de l'informatique et des libertés ordonnant une mission de vérification auprès de l'association X, sise 134, avenue de Versailles, à PARIS ;
Vu la délibération n° 2011-013 du 18 janvier 2011 de la formation restreinte de la Commission nationale de l'informatique et des libertés adressant une mise en demeure à l'encontre de l'association X ;
Vu la décision n°2012-035 du 16 octobre 2012 de la Présidente de la Commission clôturant la délibération n°2011-013 et adressant une mise en demeure à l'association Y ;
Vu la décision n° 2013-052 du 27 novembre 2013 de la Présidente de la Commission mettant en demeure l'association X ;
Vu la décision 13 décembre 2013 de la Présidente de la Commission décidant de désigner M. Bernard PEYRAT en qualité de rapporteur sur le fondement de l'article 45 de la loi n°78-17 du 6 janvier 1978 modifiée ; 
Vu le rapport de M. Bernard PEYRAT, commissaire rapporteur, notifié par huissier à l'association, le 17 décembre 2013 ; 
Vu les autres pièces du dossier ; 
Ayant entendu, lors de la séance de la formation restreinte du 23 janvier 2014 : - M. Bernard PEYRAT, commissaire, en son rapport ; - Mme Catherine POZZO DI BORGO, commissaire du Gouvernement adjoint, en ses observations ; - Les représentants de l'association X; 
A adopté la décision dont la teneur suit : 
I. FAITS ET PROCEDURE
La Commission nationale de l'informatique et des libertés (ci-après la CNIL ou la Commission) a été saisie de plusieurs plaintes concernant la diffusion des coordonnées professionnelles des plaignants sur le site Internet [...]. Ce site appartient à l'association X, qui propose divers services de conseil juridique et permet, entre autres, d'accéder à des annuaires de professionnels du droit (avocats, huissiers de justice, notaires, ect.).
Les plaintes parvenues à la Commission émanent de professionnels du droit (avocats, experts judiciaires) qui ne parviennent pas à obtenir l'effacement des données les concernant dans l'annuaire en ligne du site Internet [...], malgré plusieurs demandes et relances adressées à l'association en ce sens. 
L'association n'ayant pas répondu de manière satisfaisante aux demandes de suppression des données concernant les plaignants dans ses bases, la Commission a procédé à une mission de contrôle dans ses locaux au [...], le 29 novembre 2010. Lors de ce contrôle, le représentant de l'association a indiqué que les données figurant dans l'annuaire disponible sur son site étaient conservées sans limitation de durée et qu'il refusait de les supprimer, lorsqu'il était saisi d'une demande en ce sens, tant que le professionnel concerné restait en activité. 
Compte tenu de son refus de donner une suite favorable aux demandes des plaignants, l'association X a été mise en demeure par la formation restreinte de la Commission, le 28 janvier 2011, de prendre toute mesure de nature à garantir qu'il soit tenu compte, de manière efficace et systématique, du droit d'opposition exercé par toute personne concernée et, en particulier, faire droit aux demandes d'opposition de Madame XXXX et Monsieur YYYY.
Par une décision du 26 octobre 2012, la Présidente de la Commission de nouveau adressé une mise en demeure à l'encontre du responsable du site, dans les mêmes termes que ceux employés dans la délibération du 28 janvier 2011, dont elle a par ailleurs prononcé la clôture. Cette nouvelle mise en demeure a été adressée à l'association Y et non plus à l'association X, sous le nom de laquelle elle ne se présentait plus. 
Suite à cette mise en demeure, plus d'une trentaine de nouvelles plaintes sont parvenues à la Commission. 
Par courrier en date du 16 novembre 2013, le président de l'association a informé la Commission que le site litigieux appartenait exclusivement à l'association X, laquelle en assure la gestion. 
Par décision n° 2013-052 en date du 27 novembre 2013, la Présidente de la CNIL a alors de nouveau mis cette association en demeure de faire droit aux demandes des plaignants, et plus généralement de toute personne ne souhaitant pas figurer sur le site Internet [...]. 
Répondant favorablement à une demande formée par le conseil de l'association le 6 décembre 2013, la Présidente a accepté de proroger de deux jours le délai imparti dans la mise en demeure afin de lui permettre l'association de prendre connaissance de la liste exhaustive des plaignants concernés, adressée par courrier en date du 11 décembre 2013.
Ayant constaté, à l'issue de ce délai, que les données relatives à l'ensemble des plaignants figuraient toujours sur le site géré par l'association, et que l'attitude de celle-ci rendait manifeste sa volonté de faire obstacle au bon déroulement de la procédure, la Présidente a décidé de désigner un rapporteur, le 13 décembre 2013, afin d'initier à son encontre une procédure de sanction sur le fondement l'article 45-I de la loi du 6 janvier 1978 modifiée. A l'issue de son instruction, considérant que la société avait manqué à l'obligation lui incombant de respecter les droits garantis aux plaignants par l'article 38 de la loi du 6 janvier 1978 modifiée, le rapporteur a établi un rapport demandant à la formation restreinte de la Commission de prononcer une sanction pécuniaire à son encontre. Le rapport a été notifié à la société par huissier, le 17 décembre 2013. 
La société n'a adressé aucune observation à la Commission ni au rapporteur en vue de la séance de la formation restreinte. Ses représentants se sont en revanche présentés à la séance de la formation restreinte du jeudi 23 janvier 2014, durant laquelle ils ont présenté leurs observations orales. 
II. MOTIFS DE LA DECISION
1. Sur le manquement à l'obligation de respecter le droit d'opposition des personnes
La Présidente de la Commission a mis en demeure de respecter les dispositions de l'article 38 de la loi n°78-17 du 6 janvier 1978 modifiée, qui disposent que : toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement ; elle a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur.
Il n'est pas contesté que l'ensemble des coordonnées des personnes à l'origine des plaintes visées dans la présente procédure étaient toujours en ligne au jour de l'audience, et en tout état de cause au jour de l'expiration de la mise en demeure en date du 27 novembre 2013.
Pour autant, l'association soutient en défense qu'elle souhaite être en conformité à la loi du 6 janvier 1978 modifiée et ne s'oppose pas aux demandes de la Commission par principe. 
Elle soutient qu'elle cherche uniquement à faire valoir un point de droit quant à la faculté de réutilisation de données professionnelles issues de registres publics, et conteste par ailleurs traiter des données à caractère personnel au sens de la loi.
Elle soutient, d'autre part, qu'elle a elle-même fait preuve de patience envers la CNIL depuis 2008, dès lors qu'elle aurait demandé que lui soit communiqué l'ensemble des courriers lui ayant été adressés depuis cette date, ce que, selon elle, la Commission n'aurait jamais fait malgré plusieurs demandes en ce sens. 
Sur ce, la formation restreinte considère ce qui suit. 
Elle constate, au préalable, que les services de la Commission ont bien adressé copie de l'ensemble des documents requis par l'association, dont ils avaient par ailleurs la preuve qu'ils avaient bien été préalablement notifiés et reçus par leur destinataire, que ce soit par lettres recommandées avec accusé de réception ou par huissier. 
Elle constate également que l'association n'a jamais accordé de réponse favorable aux multiples demandes formées dans les mises en demeure adoptées aux fins permettre aux plaignants d'obtenir l'effacement des données les concernant sur le site litigieux, et ce, concernant certains d'entre eux, depuis plus de cinq ans. 
Elle relève qu'il est inopérant, à cet égard, de soutenir que les données relatives aux professionnels du droit à l'origine des plaintes susmentionnées ne constituent pas des données à caractère personnel. 
En effet, l'article 2 alinéa 2 de la loi du 6 janvier 1978 modifiée prévoit que :
Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne. 
La formation restreinte constate que ces dispositions ne distinguent pas selon que les données désignent une personne physique dans ses activités personnelles ou professionnelles.
Tel est également le cas du groupe de travail des autorités européennes de protection des données, dit groupe de l'article 29, qui relève ce même point dans son avis de référence 4/2007 sur le concept de donnée à caractère personnel, en date du 20 juin 2007.   Cette interprétation s'impose également au regard de la jurisprudence de la Cour de justice des communautés européennes, qui a jugé que : L'opération consistant à faire référence, sur une page Internet, à diverses personnes et à les identifier soit par leur nom, soit par d'autres moyens, par exemple leur numéro de téléphone ou des informations relatives à leurs conditions de travail et à leurs passe-temps, constitue un "traitement de données à caractère personnel, automatisé en tout ou en partie," au sens de l'article 3, paragraphe 1, de la directive 95/46 /CE (CJCE, 6 novembre 2003, Lindqvist, req. C-101/2001). 
Au vu de ce qui précède, il est certain que les noms, qualités et coordonnées de professionnels constituent des données à caractère personnel au sens de la loi, y compris, comme en l'espèce, des professionnels du droit dont les coordonnées sont publiquement disponibles.
En outre, le fait que les données des plaignants soient librement accessibles sur Internet ne fait pas obstacle à leur droit d'obtenir leur rectification ou leur effacement, conformément à l'article 38 de la loi. Ce droit demeure applicable quelles que soient la nature de ces sources - lesquelles n'ont, en tout état de cause, pas pu être clairement déterminées en l'espèce. 
La formation restreinte relève, par ailleurs, que les plaignants font valoir à l'appui de leurs demandes d'opposition plusieurs motifs. 
Il soutiennent ainsi, en premier lieu, qu'il leur est interdit de faire de la publicité dans le cadre de leurs activités de professionnels du droit, sous peine de sanctions disciplinaires pouvant aller jusqu'à la radiation. Or, la diffusion de leurs coordonnées sur le site peut les placer en contradiction apparente à cette obligation. 
En second lieu, ils invoquent également une atteinte à leur réputation en raison du remplacement de leurs coordonnées téléphoniques réelles par des numéros surtaxés, qui ne permettent en outre pas de les joindre. 
De tels motifs doivent être considérés comme légitimes au sens de l'article 38 de la loi du 6 janvier 1978 modifiée. 
L'association ne pouvait donc valablement chercher à se soustraire à l'application de cet article et était tenue de faire droit aux demandes des plaignants. 
Elle n'a donc pas respecté les termes de la mise en demeure sur ce point. 
2. Sur les manquements constatés et la publicité de la décision
L'association X n'a pas respecté les termes de la mise en demeure de la Présidente de la Commission en date du 27 novembre 2013 et ne s'est pas mise en mesure de respecter les dispositions de l'article 38 de la loi n°78-17 du 6 janvier 1978 modifiée. 
La formation restreinte décide par conséquent de prononcer à son encontre une sanction pécuniaire de 10 000 € (dix mille euros). 
En outre, la formation restreinte décide de rendre cette décision publique. 
PAR CES MOTIFS 
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide : 
- De prononcer une sanction pécuniaire de 10.000 euros (dix mille euros) à l'encontre de l'association X ; - De rendre publique sa décision. 
La Présidente 
Claire DAVAL 
Cette décision est susceptible de faire l'objet d'un recours devant le Conseil d'Etat dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,Saisie par le ministère de l'économie et des finances d'une demande d'avis concernant un projet d'arrêté autorisant la mise en œuvre d'un traitement de données à caractère personnel ayant pour finalité d'effectuer les formalités douanières à l'importation de fruits et légumes par les professionnels ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le règlement de la Communauté européenne (RCE) n°1234/2007 portant organisation des marchés agricoles ;Vu le règlement d'exécution (UE) n°543/2011 de la commission du 7 juin 2011 portant modalités d'application du règlement (CE) n°1234/2007 du Conseil en ce qui concerne les secteurs des fruits et légumes et légumes transformés ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II-4° ;Vu l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, notamment son article 7 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n°
78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2009-730 du 18 juin 2009 relatif à l'espace de stockage accessible en ligne pris en application de l'article 7 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ; Vu le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ,Vu le dossier et ses compléments ;Sur la proposition de M. Didier GASSE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Émet l'avis suivant La Commission a été saisie par le ministère de l'économie et des finances d'un projet d'arrêté relatif à la création à la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) d'un téléservice comportant un traitement de données à caractère personnel dénommé  Téléprocédure pour l'importation de fruits et légumes . Cette téléprocédure est composée de deux modules, le premier accessible par Internet aux professionnels, et le second accessible exclusivement aux agents de la DGCCRF sur son réseau interne.
Cette téléprocédure est destinée à permettre aux professionnels  importateurs de fruits et légumes  qualifiés d'opérateurs, de déclarer leurs importations de fruits et légumes en provenance des pays hors communauté européenne et s'intégre dans le cadre des contrôles visant à s'assurer que les dits produits frais importés sont conformes aux normes de commercialisation.
Dans la mesure où le premier module constitue un téléservice de l'administration électronique mis à la disposition des usagers, le traitement envisagé doit être autorisé par arrêté ministériel pris après avis motivé et publié de la Commission en application des dispositions de l'article 27-II-4°de la loi du 6 janvier 1978 modifiée. 
Sur la finalité du traitement
La DGCCRF est l'unique service de contrôle désigné au niveau national pour assurer le contrôle des normes de commercialisation de la filière  fruits et légumes  en application du règlement d'exécution 543/2011 du 7 juin 2011 portant modalités d'application du règlement (CE) n°1234/2007du Conseil en ce qui concerne les secteurs des fruits et légumes frais et des fruits et légumes transformés. 
A ce titre, la DGCCRF désire mettre en œuvre une procédure, dont le premier module a pour but d'intégrer les notifications d'importations de fruits et de légumes normalisés déposées par les opérateurs de fruits et légumes  importateurs de fruits et légumes  et le second module de produire les certificats administratifs pour l'importation de fruits et légumes.
Dans ce cadre, la DGCCRF a pour mission de conduire une procédure de vérification et de contrôle visant à s'assurer que les importations des fruits et légumes frais en provenance des pays tiers sont conformes aux normes de commercialisation précitées.
Le traitement a donc une double finalité de gestion des notifications et de délivrance de certificats d'une part, et de contrôle d'autre part.
La Commission relève que le présent traitement est le pendant  Mutatis mutandis  du traitement FELEX, relatif à l'exportation des fruits et des légumes, pour lequel la Commission a donné son avis par délibération 2013-325 du 24 octobre 2013.
Au regard de ces éléments, la Commission considère que la finalité assignée au traitement est déterminée, explicite et légitime, conformément aux dispositions de l'article 6-2° de la loi du 6 janvier1978 modifiée. 
Sur la nature des données traitées 
L'article 3 du projet d'arrêté liste les données à caractère personnel qui seront traitées dans l'application projetée. Elles concernent l'identification des opérateurs de fruits et légumes, les éléments de notification de la déclaration d'exploitation et les certificats administratifs pour l'importation de fruits et de légumes. Elles n'appellent pas d'observation particulière de la Commission.
Sur la durée de conservation des données 
L'article 4 du projet d'arrêté prévoit plusieurs durées de conservation :- les données relatives aux opérateurs sont conservées tant que celui dispose d'un compte adhérent ;- les données relatives aux éléments de notification de déclaration d'importation et aux certificats administratifs pour l'importation de fruits et légumes sont conservées durant une durée maximale de trois ans à partir de la date de délivrance du certificat.La Commission estime que ces durées de conservation sont conformes aux dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée. Elle prend acte que des mécanismes d'effacement automatique, seuls à même de garantir le respect des durées prévues, sont mis en œuvre par le ministère. 
Sur les destinataires de données
Sont seuls habilités à accéder directement au traitement les agents de la DGCCRF, les agents habilités affectés dans les directions départementales de la protection des populations (DDPP), dans les directions départementales de la cohésion sociale et de la protection des populations (DDCSPP), dans les directions des entreprises, de la concurrence, de la consommation, du travail et de l'emploi (DIECCTE), dans les directions régionales des entreprises, de la concurrence, de la consommation, du travail et de l'emploi (DIRECCTE), en raison de leurs attributions respectives et en fonction de leur besoin d'en connaitre.
Les agents des douanes sont destinataires, en raison de leurs fonctions, des informations contenues dans les certificats administratifs pour l'importation de fruits et de légumes délivrés aux professionnels  importateurs de fruits et légumes  qu'ils présentent lors des opérations de dédouanement. 
Les certificats validés peuvent être consultés par les services douaniers en France par internet en entrant le numéro à 12 chiffres du certificat afin de vérifier que le certificat papier présenté par l'opérateur est identique au numéro du certificat du dédouanement transmis par l'agent CCRF. Il s'agit donc de s'assurer de l'existence, de la validité et de la concordance du certificat de contrôle.
La Commission considère que la liste des destinataires du traitement est appropriée au regard de la finalité du traitement poursuivi.Sur les droits des personnes