AgentPublic/cnil huggingface dataset:
Au vu des constats opérés lors de ce contrôle diligenté auprès de la société et des échanges s'étant ensuivis, celle-ci a été mise en demeure, par délibération de la formation restreinte en date du 9 octobre 2008 :- de procéder, sous un délai de trois mois, à l'accomplissement des formalités préalables auprès de la CNIL pour l'ensemble des traitements automatisés de données à caractère personnel mis en œuvre ;- de cesser, sous un délai de dix jours, toute collecte déloyale de données à caractère personnel sur les sites internet d'annonces immobilières de particuliers, et, sous un délai de trois mois, de procéder à une collecte loyale des données à caractère personnel, notamment en informant les personnes concernées dans les conditions prévues à l'article 32 de la loi informatique et libertés ;- de permettre, sous un délai de trois mois, aux personnes d'accéder à leurs données à caractère personnel, afin de pouvoir exercer leurs droits de rectification et d'opposition à la transmission de celles-ci à des tiers ;- de justifier auprès du service des sanctions, sous un délai de trois mois, du respect de l'ensemble des demandes précitées dans les délais impartis. 
Une délégation de contrôle de la Commission s'est ensuite rendue dans les locaux de la société, le 28 juillet 2010, afin de vérifier si la société s'était mise en conformité aux termes de cette mise en demeure.
Sur la foi des constats établis lors de ce second contrôle, le Président de la Commission nationale de l'informatique et des libertés a décidé de désigner un rapporteur afin d'engager une procédure de sanction à l'encontre de la société, sur le fondement de la première phrase du I de l'article 45 de la loi du 6 janvier 1978 modifiée. 
Aux fins de cette procédure, le rapport de M. Jean MASSOT, membre de la CNIL, rapporteur, proposant à la formation restreinte de la CNIL de prononcer à l'encontre de la société X une sanction pécuniaire et d'en ordonner la publication, a été remis par huissier au siège de la société le 11 mai 2011. Une procédure de liquidation judiciaire ayant été ouverte à son encontre, le rapport a également été notifié par huissier à Maître A, prise en sa qualité de liquidateur de la société, le 13 mai 2011. 
Aucune observation écrite n'a été formulée pour le compte de la société dans le cadre de cette procédure, et celle-ci n'était pas représentée lors de la séance de la formation restreinte du 16 juin 2011. 
II. MOTIFS DE LA DECISION
Au vu des constats opérés par les services de la Commission suite au contrôle sur pièces du 4 juillet 2008, à la mise en demeure en date du 9 octobre 2008 et au contrôle subséquent du 28 juillet 2010, ainsi que des éléments de réponse adressés par la société en réaction à ces actes de poursuites, la formation restreinte a retenu les manquements suivants :
- Sur le manquement à l'obligation de procéder aux formalités préalables
Tout responsable de traitement a l'obligation d'accomplir des formalités préalables auprès de la CNIL préalablement à la mise en œuvre d'un traitement automatisé de données personnelles, conformément aux dispositions du chapitre IV de la loi du 6 janvier 1978. 
Aux termes de la mise en demeure n° 2008-374 du 9 octobre 2008, il était reproché à la société un manquement à son obligation d'accomplir les formalités préalables requises par la loi. 
Le 4 novembre 2008, la société a procédé à un engagement de conformité à la norme simplifiée n°48 relative à la gestion des fichiers de clients et prospects, enregistrée sous le numéro 1328288. 
Cependant, les données personnelles traitées par la société dans le cadre de ses activités de pige immobilière sont collectées auprès d'annonceurs ne revêtant la qualité ni de clients ni de prospects, au sens de la norme simplifiée n°48. Les traitements opérés dans le cadre de ces activités ne pouvaient donc légalement faire l'objet d'une déclaration de conformité à cette norme, au sens du dernier alinéa de l'article 24-I de la loi susvisée, dès lors qu'ils n'y correspondent pas.
La formation restreinte constate donc que la société n'a pas satisfait à l'exigence d'accomplissement des formalités préalables applicables à l'activité de pige immobilière, et qu'elle n'a pas répondu de manière satisfaisante aux exigences posées en ce sens par la mise en demeure du 9 octobre 2008. 
- Sur le manquement à l'obligation de collecter des données à caractère personnel de manière loyale et licite
Aux termes du 1° de l'article 6 de la loi n°78-17 du 6 janvier 1978, "les données à caractère personnel doivent être collectées de manière loyale et licite". 
Le contrôle réalisé auprès de la société le 4 juillet 2008 a établi que les annonceurs dont les données sont aspirées par la société sur des sites internet n'étaient pas informés de l'existence de cette collecte. En effet, la société a indiqué que, de par la nature même de cette technique, elle n'était pas en mesure d'informer les personnes concernées que leurs données étaient collectées et susceptibles d'être cédées à des tiers. 
Aux termes de la mise en demeure du 9 octobre 2008, la société a été enjointe de cesser toute collecte déloyale de données à caractère personnel sur les sites Internet d'annonces immobilières de particuliers, et ce dans un délai de dix jours. 
Par un courrier en réponse en date du 23 décembre 2008, la société a indiqué avoir mis en place un dispositif visant à répondre à cette demande.
Toutefois, le 28 juillet 2010, une délégation de contrôle de la Commission a constaté que la société continuait à recourir au même procédé de collecte des données qu'à celui, critiqué, déjà mis en œuvre en juillet 2008, et qu'elle procédait à l'enrichissement des annonces collectées avec les adresses des biens visés grâce à un service d'annuaire inversé. 
Etant établi que la collecte réalisée par la société postérieurement à la mise en demeure revêt toujours un caractère déloyal et illicite, dans la mesure où l'information des annonceurs est postérieure à la communication de leurs données à caractère personnel, rendant de ce fait impossible l'opposition des annonceurs au traitement de leurs données, la formation restreinte constate que la société ne s'est pas conformée à la mise en demeure du 9 octobre 2008 sur ce point. 
- Sur le manquement à l'obligation d'information des personnes
Le I de l'article 32 de la loi n° 78-17 du 6 janvier 1978 prévoit que le responsable d'un traitement doit informer la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant des informations de l'identité du responsable du traitement, de la finalité de ce traitement, du caractère obligatoire ou facultatif des réponses, des destinataires, des droits d'accès, de rectification et, le cas échéant, d'opposition aux données.
Aux termes de la mise en demeure du 9 octobre 2008, la société a été enjointe, sous un délai de trois mois, de procéder à une collecte loyale des données à caractère personnel, notamment en informant les personnes concernées dans les conditions prévues par l'article 32 de la loi.
En réponse, la société a indiqué avoir mis en place une procédure d'information des annonceurs en prévoyant que la personne fasse l'objet d'un contact téléphonique, au plus tard lors de la première communication des données à ses clients, l'informant de la collecte de ses données par la société, de la finalité de ce traitement, de l'adresse du site Internet puis des droits d'opposition, de rectification et d'accès dont elle dispose. 
La formation restreinte relève, à cet égard, que toutes les annonces communiquées dans le cadre de la pige immobilière ne comportent pas de coordonnées téléphoniques, si bien que le dispositif envisagé par la société impliquait, par construction, que tous les annonceurs ne soient pas destinataires de cette information.
En outre, la facture téléphonique détaillée de la société, pour le mois de juin 2010, révèle que plus de la moitié des appels passés pour cette période (15 000 environ) étaient d'une durée inférieure à 30 secondes. Or il est matériellement impossible, en un laps de temps si court, de proposer une offre commerciale aux annonceurs tout en les informant de l'identité du responsable du traitement, de la finalité de ce traitement, des destinataires de leurs données, ainsi que des droits d'opposition, d'accès et de rectification leur étant impartis par la loi. 
Enfin, ce contrôle sur place a permis d'établir qu'aucun document interne à la société, tel qu'un script d'appel, n'a été transmis aux téléopératrices chargées de transmettre cette information, ce qui permet également de douter de la diffusion de cette information. 
Ainsi, la formation restreinte estime que le caractère complet de l'information communiquée aux personnes en application du I de l'article 32 de la loi du 6 janvier 1978 modifiée n'est pas établi. Elle ne peut, dès lors, que juger que la société ne s'est pas conformée à la demande formulée en ce sens dans la mise en demeure du 9 octobre 2008. 
- Sur le manquement au droit d'opposition des personnes
Aux termes des alinéas 1 et 2 de l'article 38 de la loi du 6 janvier 1978 modifiée : "Toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement (...) Elle a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur". 
L'article 97 du décret n° 2005-1309 du 20 octobre 2005 précise en outre que "Le responsable du traitement auprès duquel le droit d'opposition a été exercé informe sans délai de cette opposition tout autre responsable de traitement qu'il a rendu destinataire des données à caractère personnel qui font l'objet de l'opposition". 
Suite au contrôle sur pièces diligenté en juillet 2008, la société a fait valoir qu'elle n'avait pas été en mesure de mettre en œuvre un système de nature à garantir le droit d'opposition des annonceurs, en raison de la création récente de l'entreprise. 
Compte tenu du caractère insuffisant des mesures d'information prévues par la société, celle-ci a été mise en demeure, le 9 octobre 2008, de permettre aux personnes dont les données sont collectées de (...) s'opposer à ce que leurs données soient transmises à des tiers, et ce dans un délai de trois mois.
Tant les éléments de réponse de la société à la mise en demeure que les constatations issues du contrôle sur place diligenté postérieurement par la Commission ont permis d'établir que la société transmet à ses clients les annonces de particuliers s'étant, dès l'origine, expressément opposés à être sollicités par des professionnels de l'immobilier. 
En outre, il est établi que le fichier recensant les demandes d'opposition formulées par des particuliers entre le 22 avril 2009 et le 6 juin 2010 après la communication de leurs données à ses clients professionnels ne contient que huit demandes. A l'évidence, ce chiffre très faible, rapporté au volume d'annonces immobilières de particuliers collectées chaque jour par la société, est révélateur du caractère parfaitement ineffectif de ce dispositif d'opposition. 
Au vu de ce qui précède, la formation restreinte constate que la société reste en infraction aux dispositions des alinéas 1 et 2 de l'article 38 de la loi du 6 janvier 1978 modifiée, et qu'elle ne s'est donc pas conformée aux termes de la mise en demeure sur ce point. 
- Sur le manquement aux droits d'accès et de rectification
Le I du 4° de l'article 39 de la loi du 6 janvier 1978 dispose que "Toute personne physique justifiant de son identité a le droit d'interroger le responsable d'un traitement de données à caractère personnel en vue d'obtenir la communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l'origine de celles-ci". L'article 40 de cette même loi dispose que "Toute personne physique justifiant de son identité peut exiger du responsable d'un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées ou dont la collecte, l'utilisation, la communication ou la conservation est interdite". 
Dans sa délibération du 9 octobre 2008, la Commission a mis la société en demeure, sous un délai de trois mois, de permettre aux personnes dont les données sont collectées d'accéder à celles-ci, et de les rectifier (...).
La formation restreinte relève à cet égard que si la société met à disposition des annonceurs sur son site internet un formulaire de demandes d'accès et de rectification, la mission de contrôle réalisée auprès de la société postérieurement à la mise en demeure a permis d'établir qu'aucun fichier de la société ne recensait de telles demandes, et qu'en outre aucune information sur les droits d'accès et de rectification n'était effectuée au profit des annonceurs. 
Dès lors, il est établi que la société ne s'est pas conformée à la mise en demeure du 9 octobre 2008 sur ce point, dans la mesure où elle ne permet pas aux annonceurs d'exercer leurs droits d'accès et de rectification de manière effective, conformément aux prescriptions des articles 39 et 40 de la loi informatique et libertés . 
- Sur la mauvaise foi de la société X
En continuant de n'informer les annonceurs de la collecte de leurs données que postérieurement à leur transmission à des tiers, la société a souhaité, en toute connaissance de cause, contourner la mise en demeure préalablement prononcée lui enjoignant de procéder à une collecte loyale des données à caractère personnel, notamment en informant les personnes concernées dans les conditions prévues par l'article 32 de la loi .
De plus, la formation restreinte relève que la société ne lui a jamais communiqué d'observations en réponse à ses diverses demandes, tant aux termes du courrier du 22 juillet 2009 que lors du contrôle du 28 juillet 2010, durant lequel ledit courrier a pourtant été remis en mains propres au gérant de la société. 
Enfin, il ressort des faits ci-dessus exposés que la société a volontairement choisi de ne pas se conformer à la demande de la Commission visant à permettre aux personnes dont les données sont collectées (...) de s'opposer à ce que leurs données soient transmises à des tiers , en continuant de transmettre à ses clients les données d'annonceurs s'étant opposés à cette communication dès la publication de leur annonce, en prenant le soin d'y faire apparaître une mention telle que "Agence s'abstenir". 
La formation restreinte considère dès lors que la mauvaise foi de la société est établie. 
- Sur les manquements constatés
Il est acquis que la société a retiré un avantage organisationnel des manquements constatés, en l'absence de mesures appropriées prises pour assurer en amont l'information appropriée des personnes concernées, et en aval le respect de leurs droits d'accès et d'opposition. Elle s'est en outre délibérément abstenue de déférer à la mise en demeure.
En conséquence, eu égard à la persistance des manquements constatés dans la mise en demeure préalablement prononcée le 9 octobre 2008, notamment les manquements aux articles 6, 32, 38, 39 et 40 et au chapitre IV de la loi du 6 janvier 1978 modifiée, la société X verra prononcer à son encontre une sanction pécuniaire d'un montant de 10.000 euros (dix mille euros). 
- Sur la publicité
Eu égard à la nature des manquements commis ainsi qu'à la nécessité, d'une part, pour les personnes physiques de connaître les règles relatives à la protection de leurs données à caractère personnel et, d'autre part, pour les responsables de traitement de mieux appréhender les règles qui s'imposent à eux, la délibération de la Commission sera rendue publique sur le site internet de la CNIL et sur le site internet Légifrance. 
En outre, eu égard à la mauvaise foi établie de la société, cette décision fera l'objet d'une mesure d'insertion dans la presse, conformément à l'article 46 de la loi du 6 janvier 1978 modifiée en août 2004. 
PAR CES MOTIFS 
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide de : 
- prononcer une sanction pécuniaire de 10 000 euros (dix mille euros) à l'encontre de la société X, 
- rendre publique sa décision, sur son site Internet et sur le site Légifrance.fr, 
- ordonner la publication de la présente décision aux frais de la société X dans les quotidiens Le Figaro et Le Monde,
- notifier cette décision à Maître X, en sa qualité de liquidateur de la société ainsi condamnée. 
 
La Présidente, 
Claire DAVAL
La Commission nationale de l'informatique et des libertés ; 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitement de données à caractère personnel, et notamment son article 26-I-2° ; 
Vu le code rural et de la pêche maritime, notamment son livre IX ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Après avoir entendu M. Claude DOMEIZEL, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement en ses observations ;
Emet l'avis suivant :
La Commission a été saisie par le Ministère de l'Agriculture, de l'Alimentation, de la Pêche, de la Ruralité et de l'Aménagement du Territoire (MAAPRAT) d'une demande d'avis portant sur la création d'un registre national des infractions à la politique commune de la pêche (RNIP).
La création du RNIP est prévue par l'article 93 du règlement (CE) 1221/2009 du Conseil du 20 novembre 2009 instituant un régime communautaire de contrôle afin d'assurer le respect des règles de la politique commune de la pêche. 
L'objet de ce registre est de recenser l'ensemble des infractions aux règles de la politique commune de la pêche commises par des navires battant pavillon français ou par des ressortissants français, ainsi que les sanctions qui leur sont infligées. Il doit permettre l'instruction des demandes de licence de pêche et le suivi du système de points de pénalité pour les infractions graves prévu à l'article 92 du règlement précité.
Ce registre doit également permettre l'exploitation des données à des fins de recherches statistiques. 
Sur les données collectées 
Les données enregistrées sont les suivantes :- identité (nom, nom marital, nom d'emprunt officiel, prénoms, sexe) ;- date et lieu de naissance ;- nationalité ; - adresse(s) ;- profession(s) ;- nom, numéro d'immatriculation et pavillon du navire ;- titre de navigation permettant l'exercice du commandement du navire ;- nature, date de l'infraction et suite donnée ;- points de pénalité attribués. 
Sur les destinataires des données
Sont destinataires des données du traitement les personnels habilités :- de la direction des pêches maritimes et de l'aquaculture (DPMA) ;- des directions interrégionales de la mer (DIRM) et du centre national de surveillance des pêches (CNSP) ;- des directions de la mer (DM) ;- des directions départementales interministérielles (DDI) ;- des directions régionales des entreprises, de la concurrence, de la consommation, du travail et de l'emploi (DIRECCTE) ;- les présidents des juridictions de jugement ;- les juges de la liberté et de la détention ;- les magistrats instructeurs ;- les magistrats du parquet.
Sur la durée de conservation des données 
Les données sont conservées pendant un délai de 5 ans à compter de la date de la dernière décision judiciaire ou administrative, ou à défaut de la constatation des faits.
Sur l'information et les droits des personnes 
La Commission rappelle qu'il appartient au responsable de traitement, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, d'informer les personnes concernées préalablement à la mise en œuvre du traitement : 
- de l'identité du responsable du traitement et, le cas échéant de celle de son représentant ; - de la finalité poursuivie par le traitement auquel les données sont destinées ; - des destinataires ou catégories de destinataires des données, et notamment en l'espèce les organisations interprofessionnelles ;- de l'existence des droits d'accès, de rectification et d'opposition.
Interrogé sur les modalités d'information des personnes concernées, le ministère a indiqué que ces dernières sont informées de la façon suivante :- pour les sanctions administratives : via le courrier de notification de la sanction ;- pour les sanctions judiciaires : via le procès-verbal établi lors du contrôle donnant lieu à sanction. 
Le droit d'accès prévu à l'article 39 de la loi du 6 janvier 1978 modifiée s'exerce auprès de la direction des pêches maritimes et de l'aquaculture (DPMA). 
Le droit d'opposition prévu à l'article 38 de ladite loi ne s'applique pas au présent traitement. 
Sur les sécurités
La Commission prend acte de la décision du ministère de mettre en place un système de journalisation des opérations de consultation et de modification du fichier.
Concernant les finalités statistiques du traitement, la Commission recommande de mettre en place des mesures techniques permettant de garantir le caractère anonyme des données traitées (utilisation d'algorithme de hachages recommandés par l'ANSSI, ...).
La Commission relève que la complexité des mots de passe que le ministère prévoit d'utiliser ne suit pas ses recommandations, elle demande donc au ministère de se conformer à ses recommandations.
Enfin, elle constate que si l'arrêté prévoit la possibilité de transmettre des données aux autorités compétentes des autres pays de l'Union Européenne, le ministère n'a apporté aucune précision sur les modalités techniques de cette transmission. La Commission rappelle donc que ces transmissions de données doivent être faites de façon chiffrée, afin de garantir la confidentialité des données échangées.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, 
Saisie par le ministre de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration d'une demande d'avis concernant un projet d'arrêté portant création d'un traitement de données à caractère personnel relatif à la lutte contre la fraude documentaire et l'usurpation d'identité ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-1 (2°) ;Vu le décret n° 55-1397 du 22 octobre 1955 modifié instituant la carte nationale d'identité ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978 modifiée ;Vu le décret n° 2005-1726 du 30 décembre 2005 modifié relatif aux passeports ;Vu le décret n° 2010-569 du 28 mai 2010 relatif au fichier des personnes recherchées ;Vu l'arrêté du 28 novembre 2008 modifié portant organisation et attribution de la direction des libertés publiques et des affaires juridiques ;