La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TÜRK ;
Etant aussi présents, M. François GIQUEL, vice-président, Mlle Anne DEBET, membre, M. Hubert BOUCHET, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2007-228 mettant en demeure la société X, adoptée par la CNIL le 10 juillet 2007 ;
Vu la décision n° 2006-112 C en date du 5 décembre 2006 du président de la Commission nationale de l'informatique et des libertés de procéder à une mission de contrôle auprès de la société X ;
Vu le rapport de M. Jean MASSOT, commissaire, remis en mains propres le 9 novembre 2007 et les observations en réponse reçues, par télécopie le 7 décembre 2007 et par courrier le 10 décembre 2007.
Après avoir entendu, lors de la réunion du 11 décembre 2007, M. Jean MASSOT, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Après avoir entendu, lors de l'audience du 11 décembre 2007, les observations orales de Maître A avocat, et Mme B, directeur général délégué, ceux-ci ayant pris la parole en dernier.
Constate les faits suivants :
1. En application de la décision n° 2006-112C, une délégation de la Commission nationale de l'informatique et des libertés (ci-après "CNIL") a procédé à une vérification sur place, le 6 décembre 2006, auprès de la société X (ci-après "X"), sise [...]. La délégation de la CNIL s'est attachée à examiner plus particulièrement les traitements du personnel mis en œuvre par la société X.
Lors de la mission de contrôle, il a été constaté que les candidats à un emploi pouvaient remplir un curriculum vitae en ligne sur le site [...], au moyen d'un formulaire de collecte de données.
Il a été constaté que ce formulaire ne comportait pas l'information prévue par l'article 32 de la loi du 6 janvier 1978 qui dispose que : "la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant : de l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ; de la finalité poursuivie par le traitement auquel les données sont destinées ; du caractère obligatoire ou facultatif des réponses ; des conséquences éventuelles, à son égard, d'un défaut de réponse ; des destinataires ou catégories de destinataires des données ; des droits qu'elle tient des dispositions de la section 2 du présent chapitre ; le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne".
La délégation de la CNIL a par ailleurs relevé que les curriculum vitae reçus étaient intégrés à la base de données de production dénommé SEP-SI, avec un statut associé : 0 : "création", 1 : "qualifié", 2 : "Vu + Qualifié". Seuls les curriculum vitae de statuts 1 et 2 étaient inclus dans les recherches informatisées de candidats.
La gestion des salariés, mis à disposition de la clientèle, était également centralisée sur le plan informatique dans l'application SEP-SI.
La CNIL a pu constater que certains codes informatiques étaient parfois associés aux fiches de candidats à un emploi et d'anciens salariés, notamment :
- statut "inactif" pour les personnes qui ne sont plus candidates à un emploi, soit de leur fait, soit suite à une décision de la société de ne plus les employer (39000 inactifs sur 60000 fiches, soit 65% des fiches) ;
- code 99 "PNG" pour les personnes ayant déjà été employées et qui n'ont pas donné satisfaction.
S'agissant de l'articulation entre le code "PNG" et le statut "inactif", les représentants de la société X, interrogés par la CNIL, n'ont pas apporté de précision particulière.
Le statut "PNG" était enregistré à la suite de l'évaluation de la mission par le chef de secteur. Ce code signifie, d'après la société X, "Personne Non Garantie". Cependant, aucune liste informatique de motifs, justifiant l'inscription du statut "PNG", n'était associée à ce code.
Une copie de la note "PNG - nouvelle procédure du 13 septembre 2001" a été remise à la délégation de la CNIL. Cette note précisait notamment que l'attribution du code 99 "PNG" s'accompagne de la saisie obligatoire d'un texte d'explication. Il a également été indiqué que la mise en code "PNG", et son éventuelle suppression ultérieure, étaient des informations accessibles dans la rubrique historique d'une personne.
Cette note ne détaillait pas les cas dans lesquels une personne pouvait se voir attribuer un code "PNG" et n'alertait pas les utilisateurs de la base sur la nature des données pouvant être portées dans les zones de commentaire libre, associées à ce code.
Une copie de la totalité des enregistrements "PNG" et de leurs commentaires associés a été transmise à la Commission. 4735 personnes ont fait ainsi l'objet d'un codage "PNG".
La consultation de ces 4735 enregistrements a permis de constater le défaut de pertinence et la nature très subjective de certains commentaires associés.
Ainsi par exemple, les commentaires suivants ont pu être identifiés :
- commentaires subjectifs sur le comportement des personnes ("pas crédible", "2 tension", "cas social", "catastrophe", "menteuse et pas fiable", "nul", "pas top", "problèmes d'hygiène (odeurs) !!!!!", "trop chiante", etc.) ;
- commentaires faisant référence à des vols commis par les employés ("vol en magasin", "a été soupçonné de vol en FA 2003", "serait une voleuse", etc.) ;
- commentaires relatifs à l'état de santé des employés ("a disparu suite à une dépression", "hospitalisé", "dépressive", "enceinte", "personne sans dents et qui boit", "problèmes alcoolisme", "souffre d'un cancer ne pourra plus travailler", etc.) ;
- commentaires faisant état des relations personnelles ou familiales négatives des employés ("copine de M. - pas fiable", "n'habite plus avec son mari", "femme de G.", etc.) ;
- commentaires relatifs à une procédure prud'homale en cours ("lui confier le plus de travail possible - prud'hommes en cours", "a amené la SEP aux prud'hommes", etc.) ;
- commentaires mentionnant la nouvelle situation professionnelle de l'intéressé ("à la retraite", "a trouvé du travail (rentre dans l'Armée)", "est au chômage mais préfère ne pas travailler", etc.).
De plus, des imprécisions ou des incohérences ont été relevées entre la mise sous code "PNG" et le commentaire associé : "ne surtout plus faire travailler", "PNG mis sans raison connue", "ne plus reprendre", "PNG mais par qui ?", "pourquoi en PNG (aucune raison fait parfaitement son travail)", etc.
S'il est admis que des traitements de données à caractère personnel peuvent comporter des zones commentaires destinées à enregistrer des informations de gestion, telles des résumés d'entretien ou des indicateurs sur le suivi d'un dossier, ces mentions doivent, comme toute donnée à caractère personnel enregistrée dans un traitement et appelée à y être conservée, être pertinentes, adéquates et non excessives au regard de la finalité du traitement.
La Commission a relevé que les faits précités sont ainsi de nature à constituer un manquement aux obligations découlant du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée qui dispose qu' "un traitement ne peut porter que sur des données à caractère personnel (...) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs. Le non-respect de cette obligation est susceptible d'entraîner l'application de l'article 226-18 du code pénal".
La prise en compte d'informations relatives à l'âge, la situation familiale ou le nombre d'enfants à charge dans le cadre de l'attribution d'une mission est susceptible de ne pas être conforme à l'article précité, ni à l'article L.122-45 du code du travail selon lequel "aucune personne ne peut être écartée d'une procédure de recrutement notamment en raison de son âge ou de sa situation de famille".
L'article L.121-6 du code du travail dispose également que "Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ou à un salarié ne peuvent avoir comme finalité que d'apprécier sa capacité à occuper l'emploi proposé ou ses aptitudes professionnelles. Ces informations doivent présenter un lien direct et nécessaire avec l'emploi proposé ou avec l'évaluation des aptitudes professionnelles".
Par ailleurs, plusieurs commentaires relatifs à des anciens salariés ne sont manifestement pas conformes aux dispositions du 1° de l'article 6 de la loi du 6 janvier 1978 modifiée qui dispose qu' "un traitement ne peut porter que sur des données à caractère personnel (...) collectées et traitées de manière loyale et licite".
L'analyse des fichiers contrôlés permet en outre de considérer que l'article 8 de la loi du 6 janvier 1978 modifiée n'a pas été respecté. Aux termes de ces dispositions, il est interdit de collecter ou de traiter des données à caractère personnel relatives à la santé, sauf, dans la mesure où la finalité du traitement l'exige, si notamment la personne concernée a donné son consentement exprès, c'est-à-dire écrit.
Il en est de même concernant l'article 9 de la loi du 6 janvier 1978 modifiée qui dispose que "les traitements de données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté ne peuvent être mis en œuvre, notamment, que par les juridictions et les auxiliaires de justice".
Le non-respect des deux articles susvisés est susceptible d'entraîner l'application de l'article 226-19 du code pénal.
En outre, aux termes de l'article L.121-8 du même code pénal : "Aucune information concernant personnellement un salarié ou un candidat à un emploi ne peut être collectée par un dispositif qui n'a pas été porté préalablement à la connaissance du salarié ou du candidat à un emploi".
De plus, aux termes de l'article 32 de la loi du 6 janvier 1978 modifiée, "la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant, notamment de la finalité poursuivie par le traitement auquel les données sont destinées".
Enfin, il convient de rappeler que conformément aux dispositions de l'article 39 de la loi du 6 janvier 1978 modifiée, "toute personne physique justifiant de son identité a le droit d'interroger le responsable d'un traitement de données à caractère personnel en vue d'obtenir la communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l'origine de celles-ci".
Par conséquent, toute personne doit être informée, par tout moyen, des finalités du traitement où sont enregistrées des données personnelles la concernant, à savoir la gestion et l'évaluation des candidats à un emploi ; de même, toute personne faisant l'objet d'une codification PNG et exerçant son droit d'accès auprès de la société X doit être informée de l'existence de cette codification ainsi que des raisons précises pour lesquelles une telle décision a été prise à son égard. Or, il apparaît qu'aucune procédure n'a manifestement été mise en œuvre au sein de la société X afin qu'une telle information soit communiquée aux intéressés.
Conformément au 5° de l'article 6 de la loi du 6 janvier 1978 modifiée, les données personnelles ne peuvent être conservées au-delà de la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.
Il apparaît qu'aucune durée de conservation n'a été fixée dans le cadre de la base de données de production, qui comporte l'ensemble des informations concernant les salariés et candidats à un emploi, dont environ 39 000 enregistrements de fiches inactives sur un total de 60 000 fiches ainsi que l'ensemble des curriculum vitae finalement non retenus et des personnes mises sous code PNG depuis plusieurs années.
Enfin, il ressort des informations communiquées par les représentants de la société X que le traitement de recrutement et de gestion du personnel, ainsi que d'autres traitements tels que les dispositifs de contrôle des horaires, la base de gestion de la clientèle et les traitements relatifs au contrôle de l'utilisation d'internet définis dans le cadre d'une charte informatique, ont été mis en œuvre sans avoir été préalablement déclarés à la CNIL.
Seules deux déclarations simplifiées, à l'ancien nom de la société (Z), ont été réalisées en 1981 pour la paie et la gestion des personnels, et en 2001 pour la mise en place d'un autocommutateur téléphonique.
En conséquence, par délibération n° 2007-228 du 10 juillet 2007, la Commission a mis en demeure la société X, sise [...], sous un délai d'un mois à compter de la notification de la décision (le 28 août 2007) de :
- procéder à l'accomplissement des formalités préalables auprès de la CNIL pour tout traitement automatisé de données à caractère personnel mis en œuvre ;
- procéder à la suppression de l'ensemble des commentaires associés au code PNG susceptibles de ne pas être conformes aux articles 6-1°, 6-3°, 8 et 9 de la loi du 6 janvier 1978 modifiée ;
- apporter des explications sur la finalité exacte du statut inactif au regard de l'utilisation éventuelle du code "PNG" ;
- définir, dans le cadre d'une procédure interne, une liste de critères objectifs susceptibles d'entraîner l'utilisation du code "PNG" ou du statut "inactif" et procéder à une revue complète des 4735 anciens salariés faisant actuellement l'objet de la codification "PNG" ;
- apporter toute justification (sensibilisation du personnel, contrôles réguliers du contenu des fichiers, etc.) permettant à la CNIL de considérer que les manquements qui ont été constatés ne se reproduiront pas à l'avenir ;
- justifier les raisons pour lesquelles les informations relatives à l'âge, la situation familiale ou le nombre d'enfants à charge sont utilisées dans le cadre de l'attribution des missions temporaires, ou, à défaut, de les supprimer ;
- apporter toute justification attestant que des mentions d'information conformes aux dispositions de l'article 32 de la loi précitée seront bien apposées sur tout support approprié ainsi que sur l'ensemble des formulaires de collecte de données utilisés par la société X ;
- communiquer à la CNIL l'intégralité des mesures prises au sein de la société X visant à respecter les dispositions des articles 38 (droit d'opposition), 39 (droit d'accès, s'agissant, notamment, du droit d'accès à l'existence de la codification PNG et aux commentaires associés) et 40 (droit de rectification) de la loi du 6 janvier 1978 modifiée ;
- définir, pour l'ensemble des traitements mis en œuvre par la société X, une durée de conservation adéquate et proportionnée à la finalité du traitement, s'agissant, notamment, des fiches informatiques utilisant la codification "PNG" et des fiches informatiques en statut "inactif".
2. En réponse à la mise en demeure, la société X a adressé à la CNIL un courrier, en date du 10 septembre 2007, dans lequel elle soutient s'être conformée aux dispositions de la loi du 6 janvier 1978 modifiée. Elle a également précisé qu'elle a fusionné avec la société W et a indiqué que l'outil informatique décrié a été abandonné au profit du système automatisé de gestion du personnel, initialement mis en œuvre par la société W.
3. Le 24 octobre 2007, la CNIL a décidé de procéder à une seconde mission de contrôle auprès de la société X, sise désormais [...], afin de vérifier si elle s'était réellement mise en conformité avec les termes de la mise en demeure, en particulier si le précédent outil était effectivement abandonné et si la nouvelle base de données était conforme aux exigences de la loi du 6 janvier 1978 modifiée.
Lorsque les agents de la CNIL ont opéré le contrôle pour vérifier la conformité d'un traitement mis en œuvre par la société X aux exigences de la loi du 6 janvier 1978 modifiée, ils ne se sont pas limités à la vérification d'un seul fichier mais se sont intéressés à toutes les applications informatiques poursuivant la ou les finalités du traitement concerné.
La délégation de la Commission a constaté que l'application SEP-SI n'a pas vocation à perdurer au sein de la société X mais qu'elle devait cependant être maintenue jusqu'à la fin du mois d'octobre 2007, s'agissant de certaines opérations relatives à la paie et à la comptabilité d'un client. Cette pratique est contraire à ce qui était indiqué dans le courrier de la société X en date du 10 septembre 2007.
Il a par ailleurs été relevé que la société X utilisait principalement le système d'information KHEOPS, qui était l'outil exploité par la société W. Cette application contenait les fiches du personnel actuel de la société X, dont celles des personnes ayant travaillé pour la société W, mais ne comprenait plus les données personnelles relatives aux candidatures.
En outre, l'exploitation des extractions opérées lors de ce contrôle, a démontré que des commentaires non pertinents et de nature subjective, associés aux fiches du personnel, figuraient toujours dans les systèmes d'information SEP-SI et KHEOPS, mis en œuvre par la société X. Ainsi, à titre d'exemple, les commentaires suivants ont pu être relevés :
- sur le comportement des personnes : "ne pas lui proposer de ponctuel très conne", "pas sympa", "cerveau de dinosaure", "a l'air très chiante", "grosse menteuse", "ne pas appeler avant 16h car mari très con", "pb obsédé sexuel", "c'est dame qui pue", etc. ;
- sur les vols commis par les personnes : "en cours de licenciement vol", "ne plus jamais faire travailler", "a volé dans 2 magasins", "interdit tout magasin accuse vol", etc. ;
- sur l'état de santé des personnes : "ne jamais faire travailler", "alcoolique", "malade d'un cancer mais veut reprendre le W en sept 2007", "à éviter : dépressive", "travaille avec bonnet cause de névralgies", etc. ;
- sur les relations personnelles ou familiales négatives des personnes : "attention femme A. S.", "copain de la sœur à O. M.", etc. ;
- sur les procédures prud'homales en cours : "ne plus faire travailler", "gros PB Prud'homme", "nous a emmené au prud'homme", etc.
- autres commentaires de nature subjective : "trop vieille NESTLE", "Bien mais un peu âgée", "par sur l'alcool (religion oblige)", "à ne jamais faire travailler", "A éviter fortement", etc.
4. Sur la base des constatations opérées par la CNIL lors de cette seconde mission de contrôle, une proposition de sanction a été notifiée à la société X, le 9 novembre 2007. Il ressortait des conclusions du rapporteur que les manquements identifiés par la CNIL demeuraient à l'issue de la seconde mission de contrôle sur place.
Le 7 décembre 2007, la société X a adressé à la CNIL ses observations en réponse.
a) S'agissant de l'obligation de déclaration du traitement mis en œuvre par la société X, la Commission observe qu'elle n'a pas effectué de modification de l'engagement de conformité à la norme simplifiée n° 7 relative à la paie et la gestion des personnels, enregistré auprès de la CNIL en 1981, ni de déclaration normale s'agissant du traitement dénommé KHEOPS.
Dans ses observations écrites en date du 7 décembre 2007, la société X a précisé que l'application KHEOPS est en cours d'adaptation et que la déclaration de ce traitement n'est qu'au stade de projet dans la mesure où les annexes techniques ne peuvent être encore remplies.
Dans ces conditions, la Commission estime que la société X ne s'est pas conformée, sur ce point, à la mise en demeure qui lui a été adressée car le traitement KHEOPS a été mis en œuvre depuis juillet 2007. Or, le chapitre IV de la loi du 6 janvier 1978 prévoit précisément les formalités à accomplir auprès de la CNIL préalablement à la mise en oeuvre des traitements.
b) La délégation de la CNIL a constaté, lors de la seconde mission de contrôle, que la société X n'avait pas pris les mesures nécessaires visant à mettre fin au manquement à l'obligation de pertinence, d'adéquation et du caractère non-excessif des données au regard de la finalité du traitement, objet de la mise en demeure. En effet, les commentaires cités plus haut ne sont pas conformes à la loi du 6 janvier 1978 modifiée, notamment à ses articles 6 et 8, figuraient toujours dans les systèmes d'information SEP-SI et KHEOPS.
Dans ses observations écrites du 7 décembre 2007 et orales, prononcées lors de l'audience du 11 décembre 2007, la société X a affirmé à la formation restreinte de la CNIL avoir supprimé l'intégralité des commentaires litigieux.
La Commission observe que la société X produit, à l'appui de ses observations écrites du 7 décembre 2007, une facture établie par la société S, le 22 novembre 2007, qui précise la suppression ou la transformation de zones inutilisées dans l'application KHEOPS. Dans ses observations orales à l'audience du 11 décembre 2007, l'avocat de la société X a indiqué que ces zones ne permettraient plus que l'enregistrement du courriel de la personne concernée. La Commission rappelle que lors du contrôle du 24 octobre 2007, la représentante de la société X avait déjà affirmé que les zones commentaires ne servaient qu'à l'enregistrement du courriel. La délégation de la CNIL avait pourtant constaté que ces zones commentaires comportaient les appréciations précitées.
La délégation de la CNIL a par ailleurs relevé, lors de la seconde mission de contrôle, que les fiches du personnel pouvaient être marquées des statuts "incident bloquant" ou "incident majeur" lorsqu'un employé connaît un problème avec un client ou dans un magasin. L'événement bloque toute relation professionnelle entre les personnes concernées. La société X exclut donc le salarié d'un droit ou d'un contrat, au sens de la loi du 6 janvier 1978 modifiée.
A la suite de plusieurs incidents, la fiche d'un intervenant peut être marquée du statut "inactif" si la société X décide de ne plus l'employer. La personne n'apparaît plus, au niveau de l'interface, dans la liste du personnel à qui la société va proposer des missions.
Dans ses observations en date du 7 décembre 2007, la société X a affirmé que le statut "incident bloquant" a été supprimé, tout en maintenant le statut "incident majeur" afin de pouvoir signaler les éventuels problèmes intervenus entre un client et son personnel. Lors de l'audience du 11 décembre 2007, la société X a affirmé que le statut "inactif" a également été retiré du système d'information et qu'elle réfléchissait sur les moyens de formaliser les statuts "incident majeur", en objectivant les commentaires pouvant être associés.
La Commission constate que la société n'a donc pas renoncé au statut "incident majeur" alors même qu'elle n'en a pas défini les critères d'inscription de ces incidents.
La CNIL observe que la société X n'a pas mis en place de procédures permettant d'indiquer ou de déterminer les critères objectifs permettant aux personnes, amenées à utiliser la base de données, de connaître les cas pour lesquels les statuts incident majeur doivent être inscrits dans les fiches du personnel.
La Commission considère par conséquent que la société X ne s'est pas conformée à la mise en demeure d'apporter toute justification (sensibilisation du personnel, contrôle réguliers du contenu des fichiers) permettant à la CNIL de considérer que les manquements constatés ne se reproduiront pas à l'avenir.
c) Lors de la mission de contrôle en date du 24 octobre 2007, la délégation de la CNIL a constaté qu'aucune procédure interne n'a été mise en œuvre au sein de la société X afin d'informer les employés des finalités du traitement au sein duquel sont enregistrées leurs données personnelles, et notamment les évaluations les concernant. De même, les intervenants n'étaient pas informés de l'existence des statuts "incident majeur", "incident bloquant" et "inactif".
En effet, la CNIL a pu relever que les mentions prévues à l'article 32 de la loi du 6 janvier 1978 ne figurent ni sur les contrats intermittents à durée déterminée, qui représentent la majorité des contrats conclus, ni sur les formulaires de collecte de données utilisés pour le recrutement de personnel via le site Internet de la société. Ils ne sont pas plus affichés dans les locaux de la société X.
Dans ses observations écrites en date du 7 décembre 2007 et orales, prononcées lors de l'audience du 11 décembre 2007, la société X a également précisé qu'elle avait ajouté aux contrats d'embauche la mention : Conformément à la Loi informatique et Libertés du 6 janvier 1978, le salarié dispose d'un droit d'accès et de rectification pour toute information le concernant en s'adressant au siège social .
La société X a cependant précisé qu'elle réfléchissait à la mise en place d'une procédure interne permettant l'information des candidats à un emploi des finalités du traitement et des évaluations les concernant.
Dans ces conditions, la Commission estime que la société X ne s'est que partiellement conformée, sur ce point, à la mise en demeure qui lui a été adressée.
d) Lors de la mission de contrôle du 24 octobre 2007, la délégation de la CNIL a également constaté que les personnes ayant un statut "inactif" sont celles ne souhaitant plus travailler pour le compte de la société X, celles avec qui la société ne veut plus travailler à la suite de plusieurs incidents et celles ne travaillant plus depuis plus de 18 mois. Elles représentent 48 867 fiches de personnel pour un total de 68 127 personnes enregistrées dans la base KHEOPS.
Or, il apparaît que le fichier des personnes marquées du statut "inactif" contient des enregistrements des intervenants ne travaillant plus pour la société X depuis 1996.
De plus, une personne ayant le statut "inactif" peut être réactivée à tout moment dans la liste des personnes marquées du statut "actif", par le biais d'un traitement manuel des utilisateurs de l'outil de gestion du personnel de la société X.
Dans ses observations du 7 décembre 2007, la société X a précisé que les données à caractère personnel qu'elle traitait devaient être conservées pendant une durée minimale de 10 ans, afin de conserver la preuve de l'intervention de son personnel chez ses clients. Lors de l'audience du 11 décembre 2007, elle a également indiqué que le statut "inactif" a été supprimé de l'application KHEOPS et qu'elle réfléchissait sur la définition d'une durée de conservation ainsi que sur la mise en place d'une politique d'archivage.
La Commission considère qu'à ce jour aucune durée de conservation n'a été définie par la société X, s'agissant du traitement ayant pour finalité la gestion du personnel, puisqu'elle n'a déterminé qu'une durée minimale de conservation sans apporter de limite dans le temps ni d'explication justifiant une durée de 10 ans. S'agissant de la politique d'archivage, elle n'est qu'au stade de projet.
La Commission estime par conséquent que la société X ne s'est pas non plus conformée à la mise en demeure de la CNIL de définir une durée de conservation adéquate et proportionnée à la finalité du traitement.
5. Dans la proposition de sanction, le rapporteur a considéré que la société X était de mauvaise foi dans la mesure où les éléments communiqués par la société X, dans le courrier adressé le 10 septembre 2007 à la CNIL, sont en contradiction avec ce qui a pu être constaté lors de la mission de contrôle du 24 octobre 2007. En soutenant qu'elle s'était conformée aux dispositions de la loi du 6 janvier 1978 modifiée et en indiquant avoir abandonné l'application SEP-SI au profit du système automatisé de gestion du personnel, initialement mis en œuvre par la société W, le rapporteur a estimé que la société X a délibérément apporté des réponses erronées à la mise en demeure adoptée par la Commission le 10 juillet 2007 et a sciemment souhaité maintenir l'opacité de sa situation.
La société X, tant dans ses observations écrites du 7 décembre 2007 que lors de l'audience du 11 décembre 2007, a indiqué la situation dans laquelle elle se trouvait lorsqu'elle a répondu à la mise en demeure, notamment la fusion avec la société W et les conséquences que cela a engendré.
Il a été, en revanche, décidé par la formation restreinte de ne pas retenir la mauvaise foi.
En conséquence, la Commission décide de faire application des dispositions des articles 45 et suivants de la loi du 6 janvier 1978 modifiée le 6 août 2004 et de prononcer à l'encontre de la société X, sise [...], compte tenu de la gravité des manquements, une sanction pécuniaire de 40.000 euros (quarante mille euros), qui sera rendue publique.
Le président,
Alex TÜRK.