(Demande d’autorisation n° 1658123)
La Commission nationale de l'informatique et des libertés,
Saisie par le SYMEV d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et la prévention des impayés des Commissaires-priseurs;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le Syndicat national des maisons de ventes volontaires, ci-après SYMEV, a saisi la Commission nationale de l’informatique et des libertés d’un projet de traitement automatisé de données à caractère personnel ayant pour finalité la prévention et la gestion des impayés, dénommé « Fichier central de prévention des impayés des Commissaires-priseurs ».
Sur la finalité du traitement :
Le SYMEV est une organisation professionnelle créée en 2001 ayant pour principales missions de promouvoir le principe des ventes aux enchères et de représenter les sociétés de ventes aux enchères auprès des pouvoirs publics français et européens.
Le traitement a pour objet d’identifier les adjudicataires n’ayant pas réglé le montant du bien acquis aux enchères réalisées à distance ou en salle.
Le fichier est mutualisé entre les opérateurs de ventes volontaires (Commissaires-priseurs) adhérents du SYMEV. Ces derniers pourront refuser l’enchère d’une personne enregistrée dans ledit fichier.
Il y a donc lieu, en l’espèce, de faire application de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée  qui soumet à autorisation préalable de la CNIL les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
La mise en œuvre d’un signalement suivra les principales étapes chronologiques suivantes.
A défaut de paiement à l’issue de la vente, le Commissaire-priseur adresse une mise en demeure à l’adjudicataire défaillant, conformément à l’article L.321-14 du Code de commerce.
A la suite de cette mise en demeure, si l’adjudicataire ne s’acquitte pas du prix du bien acheté, le Commissaire-priseur l’informe, par courrier recommandé, que le non-paiement au terme d’un délai de quinze jours entraînera son inscription au fichier d’impayés.
En l’absence de régularisation par l’adjudicataire, le Commissaire-priseur signale l’incident de paiement au SYMEV qui procède à son inscription dans le fichier d’impayés. Dans le même temps, l’intéressé est informé de cette inscription par courrier recommandé du SYMEV.
Si l’adjudicataire conteste l’impayé, le SYMEV supprime provisoirement son nom du fichier. Le SYMEV reçoit les justificatifs de la contestation par l’adjudicataire ainsi que les documents prouvant la créance par le Commissaire-priseur.
Après analyse des documents produits par les intéressés, le SYMEV se prononce sur le bien-fondé de la contestation et informe l’adjudicataire défaillant de sa décision par courrier recommandé ainsi que le Commissaire-priseur, auteur du signalement, par tous moyens.
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime.
Sur la nature des données traitées :
Les catégories de données collectées sont relatives :
-  à l’identification de l’adjudicataire défaillant : nom, prénom, date et lieu de naissance, référence de la pièce d’identité, numéro client, adresse, adresse mail ;
-  à l’identification du Commissaire-priseur auteur du signalement : nom, prénom, adresse ;
-   à la vente ayant donné lieu à l’incident de paiement : date et lieu de la vente, date du procès verbal de vente ou date et lieu du contrat pour des biens non adjugés vendus de gré à gré, désignation de l’objet vendu, prix de vente total, montant de l’impayé, mention du rejet de la contestation par le SYMEV, justificatifs de la créance en cas de contestation, date de la réception du signalement, date d’inscription au fichier, dates d’envoi des courriers d’information à l’adjudicataire défaillant, date de la réponse à l’exercice des droits des personnes, date de la saisie, nom de l’agent de saisie.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur la durée de conservation :
Les données sont supprimées dès régularisation de l’incident de paiement. A défaut de régularisation, les informations sont conservées pendant 3 ans.
La Commission prend acte du fait que le contrat conclu entre le SYMEV et ses adhérents prévoit que ces derniers, à l’origine du signalement, informent le SYMEV dès réception du paiement.
Le SYMEV procède alors à la suppression de l’incident du fichier.
La durée de conservation n’appelle pas d’observation particulière.
Sur les destinataires des données :
Seuls les Commissaires-priseurs adhérents du SYMEV, et signataires avec ce dernier d’un contrat encadrant l’utilisation du fichier, peuvent avoir accès, en consultation uniquement, aux informations figurant dans le fichier d’impayés.
Chaque Commissaire-priseur peut vérifier si un adjudicataire figure ou non dans le fichier en tapant son nom dans un champ de recherche. En revanche, il n’a pas la possibilité d’accéder directement à la liste complète des personnes figurant dans le fichier.
Les membres du personnel du SYMEV habilités à cet effet sont seuls à pouvoir saisir ou modifier les informations dans le fichier.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l'information et l’exercice des droits des personnes :
Les personnes sont informées de l’existence du fichier, conformément aux prescriptions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention dans le catalogue de vente, dans les conditions générales de vente ainsi que dans le formulaire d’ordre d’achat complété par les enchérisseurs.
L’adjudicataire défaillant est informé par courrier postal recommandé du Commissaire-priseur de son inscription sur la liste des impayés en cas de non paiement passé un délai de quinze jours à réception de ce courrier ; puis, le cas échéant, par le SYMEV lors de l’inscription effective dans le fichier.
En cas de contestation de la créance, l’inscription sur la liste des impayés sera supprimée du fichier le temps que la contestation soit instruite par le SYMEV. L’adjudicataire est informé par courrier recommandé de la décision du SYMEV soit de le maintenir dans le fichier soit, si la contestation est sérieuse et étayée, de supprimer l’incident le concernant du fichier.
La Commission considère que l’information délivrée aux personnes est suffisante.
Les droits d’opposition, d’accès et de rectification s’exercent par voie postale auprès du SYMEV.
Sur la sécurité des données et la traçabilité des actions :
Le fichier d’impayés est accessible aux Commissaires-priseurs via un site internet sécurisé.
Chaque utilisateur dispose d'un identifiant et d’un mot de passe personnel attribués par l’administrateur système. La Commission rappelle que les mots de passe attribués aux utilisateurs doivent impérativement être modifiés et personnalisés dès la première connexion.
La Commission recommande que les mots de passe soient composés de 8 caractères, comprenant au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial, et qu’ils aient une durée de validité limitée.
Des profils d’habilitation ont été définis et une journalisation des opérations de consultation, création et modification des données concernées est réalisée. La Commission rappelle que les données de journalisation doivent être conservées un an, au maximum.
L’intégrité des données ainsi que la protection des mots de passe sont assurées par un chiffrement. Un VPN est mis en place pour sécuriser la connexion lors de la saisie de nouvelles données dans le système. Cette connexion sera sécurisée à l’aide d’un login et d’un mot de passe spécifique. La confidentialité des accès en lecture est assurée par le protocole SSL.
La Commission considère que les mesures de sécurité sont satisfaisantes.
Dans ces conditions, la Commission autorise le SYMEV à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la prévention et la gestion des impayés des Commissaires-priseurs.
La Présidente
Isabelle FALQUE-PIERROTIN