La Commission nationale de l'informatique et des libertés,
Vu la Convention n'108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la demande d'autorisation, présentée par l'Association Française pour le Nommage Internet en Coopération (AFNIC) d'un traitement automatisé de données à caractère personnel ayant pour finalité la tenue d'une liste d'exclusion de personnes physiques ne respectant pas les règles définies dans la Charte de nommage du "fr" ;
Après avoir procédé le 21 juin 2007 à l'audition de M. Mathieu WEILL, directeur général de l'AFNIC ;
Après avoir entendu M. Emmanuel DE GIVRY commissaire en son rapport et Mme Catherine POZZO di BORGO, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes
L'Association Française pour le Nommage Internet en Coopération (AFNIC), association à but non lucratif régie par la loi du 1er juillet 1901, est l'organisme qui assure la gestion administrative et technique des noms de domaine en ".fr" (France) et ".re" (Ile de la Réunion).
Le 15 novembre 2006, l'AFNIC a adressé à la CNIL un dossier de formalités préalables relatif à la mise en oeuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité la tenue d'une liste d'exclusion de personnes physiques ne respectant pas les règles définies dans la Charte de nommage du "fr".
Cette Charte de nommage dont la valeur normative a été reconnue par les tribunaux précise un ensemble de règles relatives à l'enregistrement et à la maintenance des noms de domaine administrés par l'AFNIC.
Elle indique en son article 12 que "le demandeur d'un nom de domaine choisit librement le ou les termes(s) qu'il souhaite utiliser à titre de nom de domaine et est seul responsable de son choix.  Il lui appartient et à lui seul de s'assurer que le terme qu'il souhaite utiliser à titre de nom de domaine" ne soit pas contraire aux règles définies dans la Charte de nommage de l'AFNIC.
Dans les cas où des noms de domaine déjà déposés seraient manifestement contraires à la Charte, l'AFNIC envisage la création d'une liste dans laquelle seraient inscrites les personnes n'ayant pas respecté les termes de la ladite Charte.
La tenue de cette liste d'exclusion a ainsi pour objet de lutter contre les violations de la Charte de nommage par des personnes physiques qui sont autorisées depuis le 20 juin 2006 à enregistrer des noms de domaine ".fr".
Les titulaires de noms de domaines en "fr" susceptibles d'être enregistrés dans la liste d'exclusion détenue par l'AFNIC sont ceux qui auront demandé l'enregistrement de très nombreux noms de domaine, qui auront enregistré un nom de domaine manifestement contraire à l'article 12 de la charte de nommage et qui auront fait l'objet de nombreuses plaintes auprès de l'AFNIC.
L'existence cumulative de ces trois critères est indispensable pour enclencher une action visant à l'inscription dans la liste d'exclusion.  Par ailleurs, l'existence de décisions juridictionnelles ou extra judiciaires rendues pour "cybersquatting" peut s'ajouter aux trois critères visés dessus mais elle ne saurait à elle seule justifier l'inscription dans la liste.
Le titulaire du nom de domaine ayant commis des faits susceptibles de donner lieu à inscription sur la liste en sera informé par courrier en recommandé et disposera d'un délai de 30 jours pour contester le projet de décision d'inscription dans cette liste.  L'AFNIC constituera par la suite un dossier qui sera transmis à son conseil d'administration qui est composé de 5 membres :  1 représentant l'Etat, de 2 représentant les bureaux d'enregistrement et de 2 représentant les utilisateurs.  La décision d'inscription dans la liste d'exclusion appartient au seul conseil d'administration.
Une fois les personnes physiques inscrites sur cette liste, celles-ci ne pourront pas, pendant une durée déterminée, enregistrer des noms de domaine auprès des bureaux d'enregistrement membres de l'AFNIC.
La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.
Les catégories de données à caractère personnel enregistrées seront relatives :
- à l'identité du titulaire du nom de domaine (nom, prénom, adresse postale, téléphone, fax, adresse électronique, date et lieu de naissance) ;
- aux éléments répondant aux critères d'inscription dans la liste d'exclusion :  décisions juridictionnelles de condamnations, décisions de résolutions alternatives des litiges, nombre de plaintes, nombre d'enregistrements de noms de domaines, nature du comportement contraire à la charte.
La durée de conservation des informations sera de 7 ans.
Concernant la durée de la mesure d'exclusion, le titulaire inscrit sur la liste ne pourra pas enregistrer de noms de domaine pendant un an à compter de son inscription; la durée d'un an correspondant à la durée de vie d'un nom de domaine.
En cas de nouveau manquement pendant la période de 7 ans, l'interdiction sera portée à 3 ans.  En cas de détournement d'identification pour l'enregistrement des noms de domaine en ".fr" en violation de la décision d'exclusion, l'interdiction sera portée à 5 ans.
Les destinataires des informations seront, dans le cadre de leurs attributions respectives :
- l'AFNIC (services internes de l'AFNIC, à savoir les services Juridique et Opérationnel) ainsi que son conseil d'administration à qui il appartient de prendre la décision d'inscription dans la liste ;
- le bureau d'enregistrement avec lequel le titulaire de nom de domaine a une relation contractuelle ;
- les organismes de résolution alternative des litiges ;
- le conseil juridique extérieur de l'AFNIC.
L'information des personnes s'effectuera lors du dépôt d'un nom de domaine par les bureaux d'enregistrements membres de l'AFNIC. Les personnes concernées seront préalablement informées par l'AFNIC de ce qu'elles pourront être inscrites dans une liste d'exclusion. L'AFNIC notifiera, individuellement par l'envoi d'un courrier en recommandé, aux personnes concernées leur inscription dans la liste d'exclusion.
Les droits d'accès et de rectification, définis au Chapitre V de la loi, s'exerceront soit auprès du service juridique de l'AFNIC, soit auprès du bureau d'enregistrement auprès duquel il aura été procédé à l'enregistrement du nom de domaine.
Dans ces conditions, la Commission autorise l'AFNIC à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la tenue d'une liste d'exclusion de personnes physiques n'ayant pas respecté la Charte de nommage du ".fr".
Le Président Alex TURK
Guy ROSIER Vice-Président Délégué