La Commission nationale de l'informatique et des libertés,
Saisie, par le Secrétariat d'Etat à l'industrie, d'un projet de décret en Conseil d'Etat relatif à l'annuaire universel, modifiant le code des postes et télécommunications (P et T),
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes à l'égard du traitement automatisé des données à caractère personnel.
Vu la directive 97/66/CE du Parlement européen et du Conseil du 15 décembre 1997 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des télécommunications ;
Vu la directive 98/10/CE du Parlement européen et du Conseil du 26 février 1998 concernant l'application de la fourniture d'un réseau ouvert (ONP) à la téléphonie vocale et l'établissement d'un service universel des télécommunications dans un environnement concurrentiel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 96-659 du 26 juillet 1996 de réglementation des télécommunications ;
Vu le code des postes et télécommunications, notamment ses articles L. 33-4, L. 35-4 et D. 98-1 ;
Vu le décret n° 2002-36 du 8 janvier 2002 relatif à certaines clauses types des cahiers des charges annexés aux autorisations délivrées en application de l'article L. 33-1 du code des postes et télécommunications ;
Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 susvisée ;
Vu le projet de décret présenté par le Secrétariat d'Etat à l'industrie relatif à l'annuaire universel et modifiant le code des postes et télécommunications ;
Après avoir entendu Monsieur Marcel PINET en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
FORMULE LES OBSERVATIONS SUIVANTES :
Le projet de décret consacre le droit pour tout abonné de figurer sur une liste d'abonnés ou d'utilisateurs, parallèlement au droit de s'opposer à être mentionné sur une telle liste. Il fait obligation à chaque opérateur de tenir la liste de ses abonnés et de la communiquer aux fins d'établissement d'un annuaire universel ou de mise en place d'un service de renseignements téléphoniques universel dans des conditions assurant la libre concurrence dans ces secteurs. Il prévoit par ailleurs que France Télécom doit éditer un annuaire universel sous formes imprimée et électronique et fournir un service universel de renseignements.
Le projet de décret comporte de nombreuses dispositions touchant à la protection des données personnelles des abonnés à la téléphonie fixe ou mobile.
Sur le sort des abonnés à la téléphonie mobile,
L'article 4 du projet de décret, en ce qu'il s'applique notamment à la téléphonie mobile, impose aux opérateurs et à leurs distributeurs l'obligation d'informer leurs abonnés à la téléphonie mobile de leur droit à figurer dans les listes d'abonnés et des droits d'opposition qui en sont le pendant. Les abonnés concernés disposeraient d'un délai de 6 mois à compter de la réception de ladite information pour faire part de leur refus de figurer sur ces listes. A défaut, ils seraient réputés avoir consenti à y être mentionnés. Les utilisateurs des cartes prépayées ne figureraient, eux, sur les listes d'abonnés qu'à leur demande (dernier alinéa de l'article R. 10 nouveau).
Ce dispositif de consentement présumé, à l'expiration d'un délai de 6 moins, institue, en pratique, une procédure d'inscription obligatoire, sauf expression manifeste d'une opposition. La Commission l'estime en l'état insuffisante à garantir l'exercice éclairé de leurs droits par les 38 millions d'abonnés à la téléphonie mobile dont le numéro ne figure, à ce jour, dans aucun annuaire et qui ont coutume de n'être appelés que par des personnes auxquelles ils ont volontairement communiqué leur numéro.
Les conséquences pratiques pour les personnes inattentives ou peu conscientes de la portée de ce choix, ou qui n'auront pas réagi à temps méritent en effet d'être pesées : non seulement leur numéro de téléphone mobile figurera dans l'annuaire sans qu'elles en aient manifesté le souhait, mais y figurera aussi leur adresse complète puisque tel est le droit commun sauf opposition. De plus, dans l'hypothèse d'une négligence ou d'une inattention au document d'information qui devrait leur être adressé, les personnes concernées n'auront pas exercé, lors de l'inscription automatique de leur numéro de téléphone mobile dans un annuaire, leur droit de demander le bénéfice de l'inscription en liste orange, ce qui autoriserait tous les opérateurs de marketing à les solliciter téléphoniquement, ni de demander leur inscription en liste rouge.
De surcroît, le projet de décret prévoyant par ailleurs que l'exercice du droit à ne pas voir son numéro communiqué par un service de renseignement n'est pas gratuit, une telle procédure d'inscription automatique reviendrait à contraindre tous les abonnés à la téléphonie mobile à devoir s'acquitter d'une somme pour que leur numéro de téléphone ne soit pas divulgué.
Le projet de décret, sous le couvert de donner effet au droit nouveau des utilisateurs de téléphonie mobile de figurer dans un annuaire, institue un système d'inscription obligatoire sauf démarche explicite, spécifique et non-gratuite afin de demeurer dans le statut de protection complète dont bénéficient actuellement ces abonnés. De plus, il institue un régime différent, créant une rupture d'égalité de traitement, entre, d'une part, les abonnés dans le cadre d'un forfait et, d'autre part, les utilisateurs de téléphones mobiles usant du moyen des cartes prépayées qui, eux, continueraient, sauf demande expresse de figurer dans l'annuaire, de bénéficier de la protection qui existe actuellement.
Au total, dans la mesure où le droit pour tout abonné de s'opposer à figurer dans un annuaire est clairement reconnu par le texte présenté, la Commission estime, compte tenu de L'usage auquel 38 millions de personnes sont aujourd'hui accoutumées, qu'il serait plus conforme à l'esprit de protection des données personnelles et de la vie privée des personnes concernées de retenir un dispositif prévoyant que seules les personnes qui en auraient manifesté expressément la volonté puissent être inscrites dans un annuaire ou voir leur numéro de téléphone communiqué par un service de renseignements.
A défaut, le dispositif inverse prévu par le projet de décret ne pourrait être regardé comme assurant un authentique et complet exercice du droit d'opposition reconnu à l'abonné avec une force égale au droit de figurer dans l'annuaire que si la totalité de la protection souhaitée par l'abonné lui était offerte gratuitement : ceci signifie qu'il faudrait alors que, sur ce point particulier, soit garantie aux abonnés la gratuité pour l'accès tant à la liste chamois qu'à la liste rouge.
Sur le maintien du caractère payant de l'inscription en liste rouge,
La Commission regrette vivement le choix auquel procède le projet de décret de distinguer d'un côté l'exercice, gratuit, du droit d'opposition à figurer dans un annuaire public (liste "chamois") et le maintien du caractère payant pour étendre ce droit d'opposition à la communication des données personnelles par les services de renseignements téléphoniques (liste rouge). La Commission ne peut que rappeler sa position constante en faveur d'une gratuité totale de la liste rouge.
Au surplus, la Commission souligne le risque réel de confusion que peut entraîner dans l'esprit du public le nouveau mécanisme envisagé, qui pourrait donner à penser à un grand nombre de personnes que le refus, désormais gratuit, de figurer dans un annuaire s'étendrait, comme aujourd'hui, aux listes utilisées par les services de renseignements.
La Commission est donc conduite à demander qu'à l'énumération des droits d'opposition gratuits de l'article R. 10 du projet de décret soit ajouté un alinéa supplémentaire ainsi rédigé :
"- de ne pas figurer sur les listes d'abonnés accessibles par les services de renseignements".
A défaut, la Commission demande qu'une action de grande envergure soit réalisée et renouvelée à plusieurs reprises pour éclairer et informer de façon complète et très précise les abonnés sur leur choix.
Sur l'utilisation des informations à des fins de prospection,
Le projet de décret, par son article R. 10-4 second alinéa, consacre une recommandation de la CNIL exprimée dans une délibération de 1997 qui permet aux personnes inscrites en liste Orange d'être clairement identifiées dans tous les annuaires, quel que soit le support, par un signe distinctif. Il en résultera que toute utilisation des coordonnées des personnes inscrites en liste Orange à des fins de prospection commerciale par "simple consultation", voire par téléchargement de l'annuaire, pourra désormais être clairement établie et sanctionnée. Les divers annuaires universels - nationaux ou départementaux - devront indiquer de manière visible l'opposition de l'abonné à l'utilisation des données qui le concernent dans le cadre d'opération de prospection. Il résulte de cette disposition un renforcement des droits des personnes concernées.
Par ailleurs, le projet de décret punit de l'amende prévue pour les contraventions de la 5e classe chaque prospection effectuée par télécopie ou par automates d'appels en infraction avec les dispositions des ordonnances de juillet et août 2001.
Ces deux séries de dispositions recueillent la pleine approbation de la Commission.
Catégories d'informations figurant sur les listes d'abonnés,
Les listes d'abonnés doivent comporter les informations suivantes : nom et/ ou raison sociale ou dénomination sociale, prénoms, adresses et numéros de téléphone ainsi que la mention de la profession pour ceux qui le souhaitent. Une adresse électronique peut être précisée à la demande de l'abonné, mais elle ne figurera que sur l'annuaire électronique.
Les abonnés à la téléphonie fixe pourront également demander l'insertion des données relatives aux autres utilisateurs de la ligne concernée, sous réserve de leur accord (article R. 10-4 alinéa 2).
Conformément aux prescriptions de la directive 97/CE/66 du 15 décembre 1997 susvisée, il est prévu que l'abonné peut demander que son adresse ne figure pas dans son intégralité sur l'annuaire et qu'il ne soit pas fait référence à son sexe, ce qui signifie en pratique que le prénom pourra être limité à l'initiale.
Sur ce point, il y a lieu d'observer que le projet de décret supprime le dispositif antérieurement prévu par le décret relatif à certaines clauses types du cahier des charges des opérateurs de télécommunications qui subordonnait l'exercice de ces droits à la réserve que dans "les données publiées ou communicables permettent de distinguer cette personne de ses homonymes". Cette précision devrait être maintenue et rappelée dans le projet.
De même, le décret ne prévoit pas de dispositif particulier dans le cas où un abonné exercerait, sciemment ou par inadvertance, les garanties qui lui sont offertes de manière différenciée selon les opérateurs dont il est le client.
Dans la mesure où chacun se voit reconnaître le droit de demander de faire figurer dans l'annuaire sa profession ou de ne pas mentionner son adresse complète ou de référence à son sexe et où l'annuaire dit "universel" comportera l'ensemble des lignes téléphoniques, fixes ou mobiles, d'une même personne, le décret pourrait être complété pour préciser la règle applicable en cas de divergences d'options choisies par un même abonné d'un opérateur à un autre de sorte que la responsabilité des éditeurs d'annuaire universel soit précisément définie.
L'accès à la liste universelle par certains services de l'Etat,
Le II de l'article 2 du projet de décret, par renvoi au f) de l'article D. 98-1 du code des P et T, prévoit que les services chargés de la sauvegarde de la vie humaine, des interventions de police, de la lutte contre. l'incendie, de l'urgence sociale pourront, contre rémunération, obtenir communication des listes non expurgées des abonnés de chaque opérateur, c'est-à-dire, notamment, des personnes inscrites en liste rouge.
Si la Commission ne peut qu'être favorable à ce que les services d'urgence (SAMU, pompiers, police secours) puissent, dans le souci de la protection de la personne, disposer de moyens leur permettant d'identifier la personne appelante et son adresse, elle relève qu'en se bornant à imposer aux opérateurs l'obligation de communiquer leur liste d'abonnés sans préciser la finalité d'une telle communication et sans l'assortir de garanties particulières, le projet est de nature à faire naître le risque qu'au sein des organismes bénéficiaires puisse être reconstituée l'intégralité de la liste des abonnés en France, y compris les personnes inscrites en liste rouge, à d'autres fins que celle de l'identification de la personne appelante.
De la sorte, un très grand nombre de personnes, compte tenu de l'ensemble des services visés, pourrait disposer en permanence des informations relatives aux abonnés inscrits en liste rouge, portant ainsi atteinte à la confidentialité de ces informations.
En outre, l'expression de "services publics chargés d'une intervention de police" qui figure à l'article D98-1 apparaît susceptible de recouvrir d'autres services que les seuls services de police secours. Or, les services de police, autres que services secours, ne peuvent aujourd'hui avoir accès aux informations inscrites en liste rouge que s'ils agissent en flagrant délit ou sur commission rogatoire d'un juge d'instruction, cas dans lesquels, compte tenu des prérogatives particulières qu'ils tiennent du code de procédure pénale, leur est conférée la qualité de "tiers autorisé" au regard de la loi du 6 janvier 1978.
La Commission, sur ce point, prend acte de ce que le ministère en charge du projet a précisé que seuls les services de police secours, et non l'ensemble des services de police, devaient être bénéficiaires de cet accès.
Par ailleurs, si les services de l'urgence sociale peuvent légitimement bénéficier de la procédure des appels d'urgence (acheminement gratuit et prioritaire des appels), il y a lieu d'observer que la plupart d'entre eux s'engagent à respecter l'anonymat des appelants, élément de fait qui devrait conduire à exclure ces services du dispositif prévu d'accès à la liste universelle.
En définitive, la Commission estime que la rédaction du texte du projet de décret devrait être doublement modifié. D'une part, au lieu de procéder par renvoi à la liste des services publics figurant au f) de l'article D. 98-1 du code des P&T, le texte devrait énumérer directement et explicitement les seuls services publics bénéficiaires du dispositif, à savoir "les services en charge de la sauvegarde de la vie humaine, de la lutte contre l'incendie et des interventions de police secours". D'autre part, le texte devrait être complété afin de préciser que la communication à ces services des listes non expurgées est justifiée "aux fins exclusives d'identification de la personne appelante et de la connaissance de son adresse".
La détention et l'exploitation par les services publics visés ci-dessus des listes d'abonnés non expurgées nécessitera en tout état de cause, conformément à l'article 15 de loi du 6 janvier 1978, la présentation d'une demande d'avis auprès de la Commission nationale de l'informatique et des libertés, laquelle veillera aux conditions de mise en oeuvre du dispositif technique et à ce que soient prévues toutes les mesures de sécurité destinées à protéger la confidentialité des informations ainsi conservées.
Sur les annuaires inversés,
La Commission observe que le projet de décret n'évoque pas les "annuaires inversés" ou "services de renseignements inversés" qui permettent, à partir du seul numéro de téléphone, d'identifier le nom et l'adresse du titulaire de la ligne. La Commission a déjà eu l'occasion par le passé de souligner les risques particuliers que présente l'utilisation de tels outils permettant la collecte d'informations qu'une personne n'ayant laissé que son numéro de téléphone n'a pas entendu divulguer.
C'est à la suite de cette prise de position que France Télécom a, dans la pratique, pris en compte cette demande en créant la liste "Anti Qui-donc". Compte tenu des dangers certains d'utilisation malveillante de tels annuaires, la Commission souhaite en encadrer leur utilisation par une généralisation et une consécration réglementaire de la pratique observée par France Télécom.
Elle demande donc que le projet de décret soit complété sur ce point ajoutant à l'article R. 10 énumérant les droits d'opposition, un alinéa supplémentaire précisant :
" - à ce que les informations nominatives la concernant ne figurent pas dans des services de recherche inversée ou d'annuaire inversé accessible à tout public, l'exercice de ce droit n' étant pas opposable aux services publics énumérés au dernier alinéa du f) de l'article D. 98-1 du code des P et T. "
Sur l'information des personnes,
Si la diversité des listes d'opposition permet de mieux affiner le niveau de protection souhaitée, elle peut également être source d'équivoques des abonnés sur leurs droits. En outre, si la distinction entre la liste chamois et la liste rouge et la disparité des conditions d'exercice des droits reconnus aux personnes devaient subsister, il paraît particulièrement important que tous les abonnés soient clairement et précisément informés de leurs droits, des conditions d'exercice de ces droits ainsi que de leur portée. Aussi, la Commission estime-t-elle que devrait être ajouté un nouvel article R. 10-12 au projet de décret dans la rédaction suivante :
"L'opérateur est tenu d'informer individuellement chacun de ses abonnés, soit lors de la souscription ou de la modification du contrat, soit en cours d'exécution du contrat, des droits dont il dispose visés à l'article R. 10".
EMET UN AVIS FAVORABLE au projet présenté sous le bénéfice des observations et propositions de modifications de rédaction ci-dessus énoncées.
Le Président, Michel GENTOT