La Commission Nationale de l'Informatique et des Libertés,
Vu la convention du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 précitée ;
Vu la loi n° 91-646 du 10 juillet 1991 relative au secret des correspondances émises par la voie des télécommunications ;
Vu la loi n° 96-659 du 26 juillet 1996 de réglementation de télécommunications ;
Après avoir entendu Monsieur Marcel PINET, en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que la Commission a été saisie d'une demande d'avis présentée par France Télécom relative à un traitement automatisé d'informations nominatives concernant la mise en place d'un service de messagerie électronique accessible en France par le biais du réseau Télétel et dont la finalité principale est de permettre l'accès à la messagerie électronique sur Internet ; que ce service est également accessible à partir de l'étranger par l'intermédiaire du réseau téléphonique international et des services d'accès au réseau Télétel commercialisés par France Télécom ;
Considérant que ce service, dénommé "3615 Minitelnet", permet à un utilisateur d'ouvrir et de disposer d'une boîte aux lettres électronique Internet et d'échanger des messages avec des correspondants disposant d'une boîte aux lettres électronique Internet ; que l'inscription à ce service est gratuite ;
Considérant que le titulaire de la boîte aux lettres électronique peut consulter les messages qu'il a émis, consulter et supprimer les messages qu'il a reçus et gérer le répertoire d'adresses et les listes de diffusion qu'il aura constitués ;
Considérant que ce service ne permet ni l'envoi, ni la réception de fichiers joints à un message ; qu'en outre, dans le souci d'éviter le détournement du service à des fins de prospection commerciale, il est techniquement impossible que le nombre de destinataires d'un même message, lors d'un même envoi, excède cent ;
Considérant que, pour accéder à sa boîte aux lettres, le titulaire doit composer un mot de passe constitué par une suite de quatre à dix caractères alphanumériques de son choix, l'authentification du titulaire d'une boîte aux lettres reposant sur l'association de son adresse électronique Internet et de son mot de passe ; que le titulaire peut changer à tout moment de mot de passe ; qu'en outre, tout utilisateur sera automatiquement déconnecté du service après trois tentatives erronées pour accéder à une boîte aux lettres ;
Considérant, par ailleurs, que dans un souci d'identification de l'émetteur d'un message, le service Minitelnet transmet systématiquement aux destinataires des messages émis, le nom et le prénom du titulaire de la boîte aux lettres émettrice ;
Considérant qu'une lettre de bienvenue accompagnée du contrat d'utilisation du service est expédiée par voie postale à l'adresse indiquée lors de l'inscription "en ligne" au service ; que le titulaire d'une boîte aux lettres est informé de l'ouverture d'une boîte aux lettres à son nom et de son numéro confidentiel de boîte, composé de sept chiffres;
Considérant que le service Minitelnet permet d'ouvrir et de mettre à disposition d'un tiers une boîte aux lettres électronique Internet ; que dans ce cas, le numéro confidentiel de boîte aux lettres est adressé à la personne pour le compte de laquelle une boîte aux lettres est créée ; que cette personne peut s'opposer à son inscription en se connectant au service Minitelnet et en fermant sa boîte, ou en s'adressant par téléphone ou par courrier au numéro ou à l'adresse indiqués dans la lettre de bienvenue ; qu'en outre, lorsque le courrier par lequel le numéro de boîte aux lettres est notifié au titulaire de la boîte sera retourné au service Minitelnet avec la mention "N.P.A.I" (n'habite pas à l'adresse indiquée), la boîte aux lettres électronique du titulaire sera immédiatement supprimée, afin de prévenir dans les plus brefs délais, toute possibilité d'usurpation d'identité du fait de l'inscription "en ligne" ;
Considérant que les informations traitées sont le nom du titulaire de la boîte aux lettres, son ou ses prénom(s), son adresse postale, son adresse et son numéro de boîte aux lettres électronique Internet, son mot de passe, les messages dont il est destinataire ou émetteur et, de façon facultative, son numéro de téléphone ;
Considérant que ces informations sont conservées jusqu'à la fermeture d'une boîte aux lettres ; que toute boîte aux lettres qui n'aura pas été utilisée pendant une période de 200 jours sera supprimée d'office par France Télécom ;
Considérant que les destinataires de ces informations sont le titulaire de la boîte aux lettres et, pour les actes de gestion du service, les agents habilités de France Télécom, dont il y a lieu de relever qu'ils ne pourront en aucun cas avoir accès au contenu du message ;
Considérant, en outre, que France Télécom envisage de céder à des sociétés tierces les informations nominatives relatives au titulaire de la boîte aux lettres communiquées lors de son inscription au service Minitelnet ; qu'il s'agit du nom, du ou des prénom(s), de l'adresse et du numéro de téléphone ;
Considérant que les titulaires des boîtes aux lettres ont la possibilité de refuser que les informations nominatives les concernant soient cédées à des tiers ; qu'à cette fin, une page écran, accessible par une rubrique intitulée "Informatique et Libertés", comporte les informations prévues par l'article 27 de la loi du 6 janvier 1978, et la mention suivante :
"Vous pouvez vous opposer à la cession à des tiers, par France Télécom, des données vous concernant, en écrivant au service Minitelnet de France Télécom ou en envoyant un message à l'adresse électronique service  minitel.net."
Considérant que les personnes inscrites au service Minitelnet sont également informées par le contrat qui leur est expédié à la suite de leur inscription, des droits dont elles disposent, grâce à une clause identique à celle figurant "en ligne" sur le service Minitelnet ;
Considérant que le contrat précise, en outre, que la remise effective, l'intégrité, l'authenticité et la confidentialité des messages échangés par le service Minitelnet n'est pas garantie en raison du caractère non sécurisé du réseau Internet, et que les titulaires d'une boîte aux lettres sont responsables du contenu et de la nature des messages et des données qu'ils peuvent échanger sur le service Minitelnet ;
Considérant, cependant, qu'il convient que soit évitée la situation dans laquelle le titulaire d'une boîte aux lettres créée à l'initiative d'un tiers puisse recevoir des messages, sans avoir préalablement accompli la procédure nécessaire à l'ouverture de sa boîte ; qu'il convient également, qu'en aucun cas les données nominatives concernant le titulaire d'une boîte aux lettres créée par un tiers ne puissent être cédées avant que le titulaire de la boîte aux lettres ait volontairement accompli la procédure d'ouverture de sa boîte ;
Considérant que les présentes recommandations ont paru nécessaires à la protection des données personnelles et des personnes elles-mêmes dans la mise en oeuvre de services de ce type ;
Considérant que France Télécom envisage de réaliser un annuaire des adresses Minitelnet, l'inscription dans cet annuaire ne pouvant se faire qu'à la demande du titulaire d'une boîte électronique du service Minitelnet ; que si ce projet devait être mis en oeuvre, il conviendrait que France Télécom saisisse la Commission d'une demande d'avis modificative ;
Emet un avis favorable au projet de décision du président du Conseil d'administration de France Télécom, sous réserve qu'il soit complété par un alinéa ainsi rédigé :
"En aucun cas, le titulaire d'une boîte aux lettres créée, à l'initiative d'un tiers ne pourra recevoir des messages s'il n'a ouvert la boîte ainsi créée au moyen du numéro confidentiel qui lui a été attribué. En aucun cas, le titulaire d'une boîte aux lettres créée à l'initiative d'un tiers ne pourra voir cédées les coordonnées communiquées lors de son inscription s'il n'a ouvert la boîte aux lettres ainsi créée, au moyen du numéro confidentiel qui lui a été attribué. "
Le Président, Jacques FAUVET.