AgentPublic/cnil huggingface dataset:
2. En conséquence, la Commission a mis en demeure, par sa délibération n° 2008-120 du 20 mai 2008, la société X, sise [...], sous un délai d'un mois à compter de la notification, de : 
- prendre toutes mesures de nature à garantir qu'il soit tenu compte, de manière efficace, systématique et immédiate, du droit d'opposition exercé par toute personne concernée à recevoir de la prospection commerciale, en application de l'article 38 de la loi du 6 janvier 1978 ;
- préciser à la Commission l'origine des adresses électroniques des personnes démarchées par courriel et les modalités du recueil de leur consentement préalable à l'envoi de ces courriels ; 
- justifier auprès de la CNIL que l'ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
L'avis de réception adressé avec la mise en demeure atteste que celle-ci a été remise le 20 juin 2008. Pourtant, la société X n'a adressé aucune correspondance à la CNIL en réponse.
3. Un rapport proposant une sanction pécuniaire de 30 000 euros rendue publique a été notifié par huissier à la société X le 3 octobre 2008, à laquelle était jointe la convocation à l'audience du 6 novembre 2008. Le rapport de sanction faisait, notamment, état des différents manquements constatés à la loi informatique et libertés .
II.
MOTIFS DE LA DECISION
4. Lors de l'audience de sanction du 6 novembre 2008, la société X a présenté à la formation restreinte de la CNIL les différentes mesures qu'elle a prises pour pallier les manquements constatés dans la mise en demeure du 20 mai 2008.
Un manquement au droit d'opposition
5. La Commission rappelle que l'article 38 de la loi du 6 janvier 1978 dispose que toute personne physique a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable de traitement. 
Dans sa mise en demeure du 20 mai 2008, la CNIL a demandé à la société X de prendre toutes mesures de nature à garantir qu'il soit tenu compte, de manière efficace, systématique et immédiate, du droit d'opposition exercé par toute personne concernée à recevoir de la prospection commerciale, en application de l'article 38 de la loi du 6 janvier 1978.
6. Le rapporteur a constaté que la société X n'avait pas mis en place de procédure permettant de prendre en compte, de manière efficace et immédiate, le droit d'opposition des personnes sollicitées dans le cadre d'opérations d'envoi de courriers électroniques à caractère publicitaire qui demandent la suppression de leurs coordonnées des fichiers commerciaux de la société.
Il a relevé que les demandes effectuées auprès de la société n'étaient pas prises en compte, nonobstant la panne du système de désabonnement de la société en janvier 2008 qui n'a pas permis de prendre en compte les oppositions à recevoir de la prospection par courriel adressées pendant cette période. 
En effet, les plaintes reçues par la CNIL démontraient que la gestion des demandes de droit d'opposition à recevoir des courriels publicitaires est lacunaire voire inexistante pour trois raisons :
- un plaignant (M. F) s'étant désinscrit en 2006 a reçu à nouveau des sollicitations en 2007 puis en 2008 ;
- plusieurs plaignants ayant exercé leur droit d'opposition en janvier 2008 ont continué à recevoir des courriels publicitaires alors que la société a indiqué que son prestataire avait tenu compte, à la suite de l'incident de janvier 2008, des demandes parvenues durant cette période. On ajoutera que les demandes exercées par courrier (demande de Mme U adressée par courrier le 5/02/2008) n'ont pas été prises en compte ;
- les demandes postérieures à janvier 2008 demeurent sans effet (demande effectuée par Mme G par le lien de désabonnement le 20/02/2008 ; demande de M. L par courriels puis courrier du 20/03/2008).
En outre, il est apparu que les opérations nécessaires pour se désabonner en ligne sont complexes (nécessité d'entrer un mot de passe pour se désinscrire).
7. La société a ainsi indiqué, lors de l'audience du 6 novembre 2008, qu'elle avait adopté, depuis le 3 octobre 2008, plusieurs procédures destinées à faciliter l'exercice du droit d'opposition (lien hypertexte dans les conditions générales de vente, exercice du droit d'opposition à partir des pages internet de l'espace client, lien hypertexte dans les lettres d'actualité, possibilité d'exercer ce droit d'opposition par courrier). Elle a également renforcé l'effectivité de ses procédures par un meilleur contrôle technique de la base de données des clients et du module de gestion des lettres d'actualité et une amélioration des procédures de secours (suppression de l'adresse électronique [...] au profit de l'exercice du droit d'opposition par la seule voie postale en cas de dysfonctionnements des liens hypertextes des conditions générales de vente ou des lettres d'actualité).
8. La Commission prend acte, s'agissant de l'amélioration des procédures de secours en cas de dysfonctionnements des liens automatiques, des engagements pris pour assurer un traitement correct du courrier reçu, nonobstant le fait qu'une telle solution restreint les possibilités d'exercice du droit d'opposition, en particulier, pour une société dont l'activité est uniquement par internet.
Elle prend acte également de la future nomination d'un correspondant informatique et libertés mais une telle désignation n'est pas de nature à faire cesser les manquements constatés, en l'état, dans la mise en demeure du 20 mai 2008.
La Commission constate que la société a adopté diverses mesures destinées à améliorer l'exercice du droit d'opposition mais elle relève que la société n'indique pas en quoi le remplacement d'une adresse électronique par des liens hypertextes permettra d'améliorer techniquement et réellement la prise en compte du droit d'opposition. Il en va de même pour l'exercice du droit d'opposition dans l'espace personnel du client.
Elle relève également que la société a indiqué avoir amélioré le contrôle technique de la base de données sans préciser les mesures réellement prises. 
Elle considère, par conséquent, que la société X ne s'est pas exactement conformée à la mise en demeure du 20 mai 2008 en ce qui concerne le manquement au droit d'opposition.
Un manquement à l'obligation de répondre aux demandes de la CNIL
9. La Commission rappelle que l'article 21 de la même loi dispose que les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche . 
10. Le rapporteur a constaté que la société X n'avait apporté aucune réponse à la mise en demeure de la CNIL du 20 mai 2008.
11. La société X a indiqué, lors de l'audience du 6 novembre 2008, que la mise en demeure de la CNIL était bien parvenue dans ses services mais n'avait pas été remise à la personne compétente. Elle produit une attestation du directeur général délégué dans laquelle il indique ne pas avoir été en possession de cette mise en demeure.
La société a rappelé qu'elle avait cependant répondu aux précédents courriers de la CNIL.
12. La Commission constate que la mise en demeure a été régulièrement délivrée à la société X et que son absence de réponse est due à une défaillance de son organisation interne et met en évidence l'absence d'une procédure rigoureuse de traitement des demandes de la CNIL, d'autant plus grave au regard de la taille de la société et du nombre de clients concernés par cette activité.
Sur les manquements constatés
13. Si la société X a pris plusieurs mesures correctives afin de respecter les dispositions de la loi du 6 janvier 1978 modifiée, ces mesures n'en demeurent pas moins tardives et il apparaît que la société ne s'est pas conformée à la mise en demeure du 20 mai 2008 en ce qu'elle n'a pas fait cesser les manquements constatés.
En conséquence, la société X verra prononcer à son encontre une sanction pécuniaire d'un montant de 30 000 euros.
Sur la publicité de la délibération
14. Eu égard à la nature des manquements constatés, aucune circonstance de l'espèce n'est de nature à faire obstacle à ce que la délibération à intervenir soit rendue publique sur le site internet de la CNIL et sur le site internet Légifrance.
PAR CES MOTIFS
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide de :
- prononcer à l'encontre de la société X une sanction pécuniaire de 30 000 euros ;- publier la présente décision sur son site internet et sur la base Légifrance .
La société X dispose d'un délai de deux mois à compter de la notification de la présente décision pour exercer à son encontre un recours devant le Conseil d'Etat.
A Paris, le
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de l’immigration, de l’intégration, de l’identité nationale et du co-développement le 11 juillet 2007 d’un projet de décret en Conseil d’Etat portant création, à titre expérimental, d’un traitement automatisé de données à caractère personnel relatif à l’entrée et la sortie des ressortissants étrangers en court séjour à La réunion et modifiant le code de l’entrée et du séjour des étrangers et du droit d’asile ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 26 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
Vu le code de l’entrée et du séjour des étrangers et du droit d’asile, notamment ses articles L.211-1, L.611-3 et L.611-5 ;
Vu la loi n°2006-64 du 23 janvier 2006 à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers, notamment son article 7 ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport et  Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant :
La Commission a été saisie, sur le fondement de l’article 26 de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004, par le ministère de l’immigration, de l’intégration, de l’identité nationale et du co-développement, d’un projet de décret en Conseil d’Etat portant création, à titre expérimental, d’un traitement de données à caractère personnel relatif à l’entrée et la sortie des ressortissants étrangers en court séjour à La Réunion, dénommé « GIDESE » (Gestion Informatisée Des Entrées et des Sorties des Etrangers de la Réunion), et modifiant pour ce faire le code de l’entrée et du séjour des étrangers et du droit d’asile
Ce projet s’inscrit dans le prolongement des dispositions prises depuis 2003 dans le cadre de la politique de lutte contre l’immigration illégale.
Ainsi, la création de « GIDESE », a pour but de vérifier la date de sortie des ressortissants étrangers entrés régulièrement sur l’île de La Réunion, le ministère faisant valoir que le choix de l’île de La Réunion comme site expérimental est lié à la fois aux caractéristiques géographiques de son territoire et à la nature de l’immigration clandestine à laquelle elle se trouve confrontée. En effet, la majorité des étrangers interpellés en situation irrégulière sont entrées régulièrement sur l’île, sur laquelle ils se maintiennent ensuite de manière illicite. 
Aussi, les finalités de ce traitement sont :
« contrôler la conformité de la durée de séjour effectif par rapport à la durée de séjour autorisée pour les étrangers munis d’un visa de court séjour et pour les étrangers autorisés à pénétrer à La Réunion en dispense de visa pour une durée déterminée, à l’exception des ressortissants des Etats membres de l’Union européenne, des autres parties à l’Espace économique européen et de la Confédération suisse ;
-« constater le maintien de l’étranger sur le territoire de La Réunion au-delà de la durée autorisée, en infraction à la législation et à la réglementation en vigueur sur l’entrée et le séjour des étrangers ;
- déclencher la recherche de l’étranger pour engager la procédure de reconduite à la frontière. »
Ledit traitement repose sur la constitution d’un fichier dont l’alimentation s’effectuera à l’occasion des contrôles transfrontières effectués aux trois points d’entrée de l’île. Certaines des données seront enregistrées automatiquement par la lecture optique des documents de voyage tandis que les autres feraient l’objet d’une saisie manuelle par les agents de contrôle.
Sur le fondement juridique du traitement
La Commission considère que ledit traitement ressort des dispositions de l’article 7-I de la loi n°2006-64 du 23 janvier 2006, qui dispose que « afin d’améliorer le contrôle aux frontières et de lutter contre l’immigration clandestine, le ministre de l’intérieur est autorisé à procéder à la mise en œuvre de traitements automatisés de données à caractère personnel, recueillies à l’occasion de déplacements internationaux en provenance ou à destination d’Etats n’appartenant pas à l’Union européenne, à l’exclusion des données relevant du I de l’article 8 de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés […] collectées à partir de la bande de lecture optique des documents de voyage, de la carte nationale d’identité et des visas des passagers de transporteurs aériens, maritimes ou ferroviaires », lesquels traitements doivent faire l’objet d’un décret en Conseil d’Etat, pris après avis de la Commission.
Sur les finalités du traitement et les objectifs de l’expérimentation
Dans le cadre de la lutte contre l’immigration clandestine, ce traitement a pour objet le contrôle de la conformité de la durée du séjour effectif à la durée du séjour autorisé. Cette innovation justifie que sa mise en œuvre fasse l’objet d’une expérimentation. 
La Commission prend acte de ce que ladite expérimentation sera circonscrite au département de La Réunion, compte tenu de ses caractéristiques géographiques.
Elle relève que le traitement fera l’objet d’une évaluation, à l’issue des trois années d’expérimentation et souhaite être rendue destinataire de ses conclusions
Sur les données traitées 
Les données enregistrées dans le traitement sont le numéro et le type de document de voyage utilisé, le nom, le ou les prénom(s), la nationalité, la date de naissance, la photographie numérisée du visage, la date d’entrée dans le département, la durée du séjour autorisée, la date de sortie prévue, la date de sortie effective, le pays de naissance, la profession, l’adresse durant le séjour dans le département, le numéro de téléphone de l’hébergeant et, le cas échéant, le nombre d’enfants inscrits sur le titre de voyage de l’adulte et l’accompagnant, à leur entrée et à leur sortie du département, ainsi que leurs noms, prénoms, dates de naissance et sexe.
Sans préjudice de l’appréciation qu’elle pourra porter au sortir de la phase d’expérimentation sur la pertinence des données collectées, la Commission prend acte de la liste ci-dessus. Elle estime néanmoins que les termes « date de sortie prévue », mentionnés à l’article 1er du projet de décret, pourraient être remplacés par les termes « date à laquelle le séjour doit avoir pris fin ». 
Enfin, la Commission relève que le traitement ne comporte pas de dispositif de reconnaissance faciale à partir de l’image numérisée de la photographie. 
Sur les durées de conservation
S’agissant de la situation des ressortissants étrangers ayant régulièrement quitté le territoire national, le ministère estime qu’il n’est pas possible d’envisager une durée de conservation inférieure à un an. Pour ce faire, il fait valoir que la durée totale de séjour autorisée est définie par référence à une période d’un an, qu’il s’agisse des étrangers bénéficiant d’un visa à entrées multiples, de ceux bénéficiant d’un régime de régularisation à la frontière ou de ceux qui sont dispensés de visa.
La Commission prend acte de ces éléments d’explication et juge pertinente la durée de conservation considérée, s’agissant des ressortissants des pays relevant de l’un des régimes évoqués plus haut.
Dans tous les autres cas, elle estime nécessaire de procéder à un effacement immédiat des données enregistrées dans le traitement à la date de sortie des personnes s’étant conformées à la durée du séjour autorisée.
S’agissant de la situation des ressortissants étrangers s’étant maintenus irrégulièrement sur le territoire national, le ministère fait valoir qu’une période de trois années est nécessaire pour permettre aux services de police de déceler une situation de séjour irrégulier, d’engager des recherches et d’interpeller la personne concernée en vue de l’exécution d’une mesure d’éloignement. Cette durée de conservation n’appelle pas d’observation particulière. 
Sur les destinataires
Seuls les personnels de la direction départementale de la police aux frontières des aéroports Roland Garros et Pierrefonds, chargés du contrôle aux frontières et de la lutte contre l’immigration clandestine, individuellement désignés et spécialement habilités par le directeur départemental de la police aux frontières de La Réunion, seraient destinataires des données conservées dans le traitement « GIDESE ». Il en serait de même pour les agents des douanes de la gare maritime de Port Réunion, chargés du contrôle aux frontières et de la lutte contre l’immigration clandestine, individuellement désignés et spécialement habilités par le directeur régional des douanes de La Réunion.
Aussi, la Commission relève que ces dispositions sont conformes à ses prescriptions habituelles en la matière.
Sur les sécurités
La Commission estime que les mesures de sécurité définies par le ministère dans le cadre de la mise en œuvre de l’expérimentation sont satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée. 
Sur les droits des personnes
La Commission prend acte de ce qu’il est prévu de remettre une notice d’informations aux personnes concernées par le traitement et que le droit d’accès et de rectification prévu par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée par la loi du 6 janvier 2004 s’exercerait auprès du directeur départemental de la police aux frontières. 
Le président,
Alex TURK
(Demande d’avis n° 1 170 779 v2)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de l’immigration d’un projet de décret en Conseil d’Etat modifiant le décret n° 2007-1890 du 26 décembre 2007 portant création d’un traitement automatisé de données à caractère personnel relatives aux étrangers faisant l’objet d’une mesure d’éloignement et modifiant la partie réglementaire du code de l’entrée et du séjour des étrangers et du droit d’asile ;
Vu le traité instituant la Communauté européenne, notamment son article 62, ensemble la convention du 19 juin 1990 d’application de l’accord signé à Schengen le 14 juin 1985 entre les gouvernements des Etats de l’Union économique Benelux, de la République fédérale d’Allemagne et de la République française relatif à la suppression graduelle des contrôles aux frontières communes dont la ratification a été autorisée par la loi n° 91-737 du 30 juillet 1991 ; 
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu le code de l’entrée et du séjour des étrangers et du droit d’asile, notamment ses articles L. 611-3 et L. 611-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 26 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le décret n° 2007-1890 du 26 décembre 2007 portant création d’un traitement automatisé de données à caractère personnel relatives aux étrangers faisant l’objet d’une mesure d’éloignement et modifiant la partie réglementaire du code de l’entrée et du séjour des étrangers et du droit d’asile ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et  Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant
La Commission a été saisie le 18 mars 2008 par le ministère de l’immigration d’une demande d’avis relative à un projet de décret en Conseil d’Etat modifiant le décret n° 2007-1890 du 26 décembre 2007 portant création d’un traitement automatisé de données à caractère personnel relatives aux étrangers faisant l’objet d’une mesure d’éloignement et modifiant la partie réglementaire du code de l’entrée et du séjour des étrangers et du droit d’asile.
Le projet de décret en Conseil d’Etat a pour objet de modifier la liste des destinataires du traitement ELOI, dont les finalités sont de permettre le suivi et la mise en œuvre des mesures d’éloignement par la gestion des différentes étapes de la procédure, et d’établir des statistiques relatives à ces mesures et à leur exécution.
Cette modification vise à prendre en compte la constitution de l’administration centrale du ministère de l’immigration, compétente en matière de politique d’éloignement des étrangers en situation irrégulière, d’une part, et le rôle de gestionnaire de cinq centres de rétention administrative confié à la gendarmerie nationale, d’autre part.
La Commission prend acte de l’ajout à la liste des destinataires des données à caractère personnel enregistrées dans le traitement ELOI, définie à l’article R. 611-31 du code de l’entrée et du séjour des étrangers et du droit d’asile, des agents des services centraux du ministère de l’immigration (direction de l’immigration) et du ministère de la défense (direction de la gendarmerie nationale), individuellement désignés et spécialement habilités, selon le cas, par le directeur de l’immigration ou le directeur de la gendarmerie nationale.
La Commission souligne en revanche qu’il n’y pas lieu de modifier la rédaction actuelle dudit article concernant les services centraux du ministère de l’intérieur et de mentionner la direction générale de la police nationale. Elle considère en effet que seuls les agents des directions centrales qui participent directement à la politique de mise en œuvre des procédures d’éloignement des étrangers en situation irrégulière, c’est-à-dire des seules directions centrales de la police aux frontières et de la sécurité publique, devraient être mentionnés comme destinataires des données enregistrées dans le traitement.
Enfin, la Commission prend acte de la suppression de l’enregistrement des données personnelles relatives aux visiteurs des personnes placées en centres de rétention.
Le Président,
Alex TÜRK