La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TÜRK ;
Etant aussi présents M. Guy ROSIER, vice-président délégué, M. François GIQUEL, vice-président, Mlle Anne DEBET, M. Hubert BOUCHET et M. Bernard PEYRAT, membres ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la délibération n°2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2006-117 adoptée par la CNIL le 27 avril 2006 portant mise en demeure de la société X ;
Vu la décision du Président de la Commission Nationale de l'Informatique et des Libertés n°2005-098C du 30 novembre 2005 visant à procéder à des missions de vérification sur place auprès de la société X qui se sont déroulées les 9 décembre 2005 et 17 janvier 2007 ;
Vu le rapport de M. Emmanuel DE GIVRY, commissaire rapporteur, notifié à la société X le 22 mai 2007 ;
Vu les observations en réponse reçues les 20 juin et 13 septembre 2007 et les compléments d'éléments en date du 27 septembre 2007.
Après avoir entendu, lors de la réunion du 25 octobre 2007, M. Emmanuel DE GIVRY, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Après avoir entendu, lors de la réunion du 25 octobre 2007, les observations orales de Maître A, avocat, et de M. B, ceux-ci ayant pris la parole en dernier.
Constate les faits suivants :
1. En application de la décision n° 2005-098C du 30 novembre 2005 du président de la Commission nationale de l'informatique et des libertés (ci-après "CNIL"), une délégation de la CNIL a procédé à une mission de vérification sur place le 9 décembre 2005 auprès de la société X, sise [...].
A l'occasion des vérifications menées, la délégation de la Commission a pu constater que la société X était mandatée par des créanciers, par des cabinets de recouvrement de créances ou par d'autres agences de recherches privées afin de procéder à certaines diligences visant à retrouver les coordonnées de débiteurs dont les créanciers précités ont perdu la trace.
La société X est ainsi destinataire de fiches (envoyées par voie postale ou électronique) résumant les éléments d'identification du débiteur connus par le créancier (dernière adresse connue, identité du dernier employeur, etc.) sur la base desquelles celle-ci est mandatée afin de procéder à une enquête (recherche d'adresse, des coordonnées de l'employeur, du niveau de solvabilité du débiteur, etc.).
Sur la base de ces premières informations, les enquêteurs de la société X procèdent aux recherches demandées.
Une fois les renseignements obtenus, ceux-ci sont intégrés dans une application informatique de gestion des enquêtes puis sont communiqués au créancier (au moyen d'un rapport papier ou de l'envoi de fichiers informatiques).
a. Les informations recueillies et conservées sur les débiteurs dans des traitements de données à caractère personnel doivent, conformément aux dispositions de la loi du 6 janvier 1978 modifiée le 6 août 2004, faire l'objet d'une déclaration préalable auprès de la CNIL.
Il apparaît qu'aucune déclaration n'a été adressée à la CNIL par la société X.
b. La délégation de la Commission a par ailleurs constaté que la société X a mis en œuvre des procédures visant à retrouver l'adresse de débiteurs en utilisant des scripts téléphoniques dont l'utilisation a manifestement pour but de procéder à des appels téléphoniques auprès de certaines administrations en usurpant certains titres ou fonctions afin d'obtenir de façon détournée des informations sur les personnes recherchées.
De même, des copies d'annuaires téléphoniques internes ou de notes attestant de l'existence de contacts pris entre les enquêteurs et certains professionnels soumis à une obligation de secret professionnel, afin d'obtenir des renseignements sur des débiteurs, ont pu être effectuées lors du contrôle.
Aux termes de l'article 20 de la loi du 12 juillet 1983 modifiée, l'activité d'agent de recherches privées est définie comme : "la profession libérale qui consiste, pour une personne, à recueillir, même sans faire état de sa qualité ni révéler l'objet de sa mission, des informations ou renseignements destinés à des tiers, en vue de la défense de leurs intérêts".
Ce faisant, la loi précitée offre notamment la possibilité pour les agents de recherches privées de procéder à des appels aux tiers, sans révéler leur identité réelle, afin d'obtenir des informations sur un débiteur.
Néanmoins, si la loi du 12 juillet 1983 permet aux agents de recherches privées de ne pas faire état de leur qualité ni révéler l'objet de leur mission, elle ne les autorise en aucune manière à adopter des procédures qui seraient manifestement illicites, s'agissant notamment de l'usurpation de titres ou de fonctions afin d'obtenir des informations à caractère confidentiel issues des traitements pour lesquelles l'agent de recherches privées ne peut être considéré comme un tiers autorisé.
La société X ne respectait ainsi manifestement pas les dispositions du 1° de l'article 6 de la loi du 6 janvier 1978 modifiée, qui dispose que : "Les données sont collectées et traitées de manière loyale et licite".
c. Lors du contrôle réalisé auprès de la société X, il a par ailleurs été constaté que l'outil de gestion informatisée des enquêtes comprenait parfois le numéro de sécurité sociale des débiteurs recherchés.
L'article 25 de la loi du 6 janvier 1978 modifiée soumet à autorisation préalable de la CNIL l'utilisation dans un fichier du numéro d'inscription au Répertoire national d'identification des personnes physiques. Or, la société X n'est pas aujourd'hui autorisée à utiliser ce numéro dans ses traitements automatisés ou manuels.
La collecte et l'enregistrement du numéro de sécurité sociale par la société X n'étaient donc pas conformes au 1° de l'article 6 et à l'article 25 de la loi du 6 janvier 1978 modifiée le 6 août 2004.
d. S'agissant de la durée de conservation appliquée aux données collectées et enregistrées, il apparaît qu'elle n'a été, en aucune manière, définie par la société X.
Or, en application du 5° de l'article 6 de la loi du 6 janvier 1978, les données sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.
Dans ce contexte, la Commission a estimé que la durée de conservation la plus pertinente des données collectées et enregistrées par la société X était celle relative à la durée du mandat concernant la recherche d'un débiteur particulier.
Par conséquent, l'outil informatique de gestion des enquêtes ne devrait plus contenir d'informations sur un débiteur une fois l'enquête terminée. La copie du rapport écrit adressé au créancier, au cabinet de recouvrement de créances ou à une agence de recherches privées formalisant les informations obtenues par la société X peut uniquement être conservée dans le cadre d'un archivage intermédiaire et ne doit pouvoir être consultée que dans des cas strictement limités (litige entre le mandant et le mandataire par exemple).
Il apparaît en effet que la conservation, dans une base informatisée, de l'intégralité des informations relatives aux débiteurs pour, par exemple, faciliter ou orienter le recouvrement d'une créance ultérieure sur un même débiteur est susceptible de présenter un risque important de détournement de finalité dans la mesure où une telle conservation pourrait permettre d'effectuer des rapprochements entre plusieurs débiteurs présentant une donnée commune (même adresse, même nom de famille, etc.).
e. Le contrôle réalisé auprès de la société X a révélé de graves manquements aux obligations de sécurité mentionnées à l'article 34 de la loi du 6 janvier 1978 modifiée.
Ainsi, la société X n'a pas sécurisé l'accès à ses traitements tant automatisés (absence de mot passe sur les ordinateurs) que manuels (aucune sécurité physique pour accéder aux documents papier).
De même, la société X n'a mis en oeuvre aucune mesure permettant de sécuriser l'envoi d'informations à ses clients effectué sur Internet, notamment au moyen de la messagerie électronique.
La société X n'a par ailleurs prévu, vis-à-vis de ses salariés ou de ses sous-traitants, aucune clause de confidentialité dans les contrats de travail ou de prestation de service.
Au regard de ce qui précède, par délibération adoptée le 27 avril 2006, la formation restreinte de la CNIL a mis en demeure la société X :
- de procéder à la déclaration de son traitement de gestion des enquêtes ;
- d'apporter toute garantie permettant de considérer que, pour l'avenir, les modalités mises en œuvre pour la recherche des débiteurs, directement ou pour son compte, seront conformes aux dispositions du 1° de l'article 6 de la loi du 6 janvier 1978 modifiée le 6 août 2004 et que, notamment, il ne sera plus procédé à l'usurpation de titres ou de fonctions ainsi qu'à des appels téléphoniques à des personnes soumises au secret professionnel afin d'obtenir des informations à caractère confidentiel ;
- de prendre toute mesure nécessaire pour que, dans l'ensemble de ses traitements, les mentions manifestement contraires à la loi du 6 janvier 1978 modifiée (numéro de sécurité sociale) soient supprimées ;
- de limiter la durée de conservation des données sur les débiteurs à la durée du mandat concernant la recherche d'un débiteur particulier, de définir une politique d'archivage des rapports écrits adressés aux créanciers ou aux cabinets de recouvrement de créances et de procéder, par voie de conséquence, à la purge de l'ensemble des informations relatives à des enquêtes clôturées ;
- d'apporter toute garantie permettant de considérer que la sécurité et la confidentialité sont assurées sur les données conservées dans les traitements mis en œuvre (mots de passe, armoires sécurisées, clauses de confidentialité dans les contrats, sécurisation des échanges par internet).
2. En réponse à la mise en demeure, la société X a indiqué, par courrier du 20 juin 2006, que :
a. Un dossier de déclaration a été adressé à la Commission concernant le traitement de gestion des enquêtes le 22 juin 2006.
b. Le personnel de la société X a été de nouveau alerté sur la confidentialité des informations recueillies, sur l'interdiction d'usurpation de titres ou de fonctions, sur l'interdiction de procéder à tout appel téléphonique à des personnes soumises au secret professionnel en vue de l'obtention d'informations à caractère confidentiel et de faire apparaître dans les rapports d'enquêtes envoyés aux prestataires des mentions contraires à la loi du 6 janvier 1978 modifiée (notamment l'interdiction de faire figurer sur lesdits rapports le numéro de sécurité sociale des personnes). Ce rappel a fait l'objet d'une note de service établie en date du 25 mai 2006 et affichée dans les locaux de l'entreprise.
c. Les rapports d'enquête seront conservés de façon sécurisée avec mot de passe pendant six mois conformément à l'avenant au contrat liant la société X au mandant. Ces rapports ne pourront être consultés que par la direction de l'entreprise. Une purge totale des rapports d'enquête sera effectuée à l'issue de ce délai de six mois.
d. Les envois des rapports se feront par voie électronique sous format PDF sécurisés par mot de passe auprès du ou des mandants.
3. Le 17 janvier 2007, les services de la CNIL se sont à nouveau rendus dans les locaux de la société X afin de procéder, notamment, à de nouvelles extractions de fichiers et vérifier dans quelle mesure les engagements pris dans le courrier du 20 juin 2006 avaient bien été respectés. Une extraction d'une partie de la base d'archives a ainsi été réalisée.
4. Sur la base des constatations opérées par la CNIL lors de cette seconde mission de contrôle, une proposition de sanction a été notifiée à la société X le 22 mai 2007. Il ressortait en effet des conclusions du rapporteur que trois des cinq manquements identifiés par la CNIL demeuraient à l'issue de la seconde mission de contrôle sur place. Le 13 septembre 2007, la société X a adressé à la CNIL ses observations en réponse et a soutenu s'être mise en conformité avec l'ensemble des manquements à la loi du 6 janvier 1978 modifiée.
a. La Commission observe que la société X a procédé le 22 juin 2006 à la déclaration de son traitement de gestion des enquêtes. La société X s'est donc bien conformée, sur ce point, à la mise en demeure qui lui a été adressée.
b. S'agissant ensuite de la sécurité des données collectées et enregistrées, la Commission observe que plusieurs dispositions significatives ont été prises notamment en matière de sécurisation des flux et d'intégration de clauses de confidentialité dans les contrats.
La société X a mis en place un webmail permettant des échanges avec son mandant de manière sécurisée. Lors du contrôle, la délégation de la CNIL a en effet constaté que des mots de passe ont été instaurés sur les postes de travail. Des sécurités physiques ont également été mises en œuvre afin de protéger les fiches papier utilisées par les enquêteurs.
De même, des clauses de confidentialité figurent désormais dans les contrats signés par la société X avec ses clients ou ses enquêteurs.
Dans ces conditions, la Commission estime que la société X s'est bien conformée, sur ce second point, à la mise en demeure qui lui a été adressée.
c. La délégation de la Commission a pu constater, lors de la seconde mission de contrôle, que la durée de conservation des rapports d'enquête est de six mois glissants à l'issue desquels ils sont détruits.
La société X s'est bien conformée à la mise en demeure, quant à la durée de conservation des données et à la politique d'archivage de la société.
d. En revanche, s'agissant de la suppression des mentions manifestement contraires à l'article 25 de la loi du 6 janvier 1978 modifiée, les services de la CNIL ont pu constater que les fiches manuscrites présentes sur le bureau des enquêteurs, qu'il convient de considérer comme un traitement de données à caractère personnel, précisent de manière quasi systématique le numéro de sécurité sociale du débiteur recherché.
Il ne fait donc aucun doute que la société X n'a, en aucune manière, modifié ses techniques de recherche principalement axées sur la collecte et l'exploitation du numéro de sécurité sociale des débiteurs.
De même, les extractions informatiques font état du recueil quasi systématique des références exactes du numéro de compte bancaire du débiteur. Si un agent de recherches privées peut procéder au rassemblement d'éléments permettant d'établir le niveau de solvabilité d'un débiteur, il ne peut en aucun cas référencer les numéros de compte bancaire dans ses traitements, ces données étant protégées par le secret bancaire et leur accès étant uniquement autorisé, en application d'une réglementation spécifique, aux huissiers de justice.
La Commission considère par conséquent que la société X ne s'est pas conformée à la mise en demeure de prendre toute mesure nécessaire pour que, dans l'ensemble de ses traitements, les mentions manifestement contraires à la loi du 6 janvier 1978 modifiée soient supprimées, en dépit de ce qu'elle a affirmé dans son courrier du 20 juin 2006. Aucun élément d'explication supplémentaire n'a été apporté sur ce point par la société X, dans ses observations en date du 13 septembre 2007.
e. S'agissant enfin des modalités de collecte des informations relatives à des débiteurs, les éléments recueillis par les services de la Commission lors du contrôle du 17 janvier 2007 font toujours état de pratiques manifestement non conformes au 1° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Lors de la mission de vérification opérée dans les locaux de la société X, il a tout d'abord été constaté que les enquêteurs disposaient toujours d'un annuaire téléphonique référençant des organismes d'ASSEDIC, des Caisses d'Allocations Familiales (CAF), des Caisses Primaires d'Assurance Maladie (CPAM), des services d'état civil de mairies ainsi que des centres EDF.
De même, les opérations d'extraction informatique ainsi que la prise de copie des fiches manuscrites présentes sur le bureau des enquêteurs révèlent la présence de très nombreuses mentions faisant état d'informations manifestement recueillies auprès d'organismes publics ou privés soumis au secret professionnel : CAF, ASSEDIC, EDF, trésor public, services de mairie, banques, etc.
Si la société X soutenait, dans son courrier en date du 20 juin 2006, avoir pris les dispositions nécessaires afin de garantir que le manquement constaté ne se reproduise pas, les exemples de fiches de procédure ainsi que les copies de ses courriers adressés aux mairies, à EDF ou à la CAF, communiqués avec les observations en réponse du 13 septembre 2007, démontrent également que l'ensemble des méthodes de recherche mises en œuvre au sein de la société X conduisent encore à réaliser des appels téléphoniques auprès de personnes soumises au secret professionnel, alors même qu'elle n'a pas la qualité de tiers autorisé.
La Commission considère par conséquent que la société X ne s'est pas non plus conformée à la mise en demeure de la CNIL d'apporter toute garantie permettant de considérer que, pour l'avenir, les modalités mises en œuvre pour la recherche des débiteurs seront conformes aux dispositions du 1° de l'article 6 de la loi du 6 janvier 1978 modifiée et que, notamment, il ne sera plus procédé à des appels téléphoniques à des personnes soumises au secret professionnel afin d'obtenir des informations à caractère confidentiel.
5. La Commission relève enfin que la société X fait valoir dans ses observations en réponse adressées à la CNIL le 13 septembre 2007, qu'elle a subi une diminution de plus de la moitié de son chiffre d'affaires en se mettant en conformité avec la mise en demeure qui lui a été adressée. Elle a précisé qu'elle n'a ainsi tiré aucun avantage des manquements constatés.
Suite à l'audience de sanction du 20 septembre 2007, au cours de laquelle la société X a présenté ses observations orales et a confirmé la diminution de son résultat net pour l'année 2007, la formation restreinte de la Commission a souhaité obtenir un complément d'informations s'agissant de la situation financière de la société X, avant de pouvoir délibérer.
Par un courrier en date du 27 septembre 2007, la société X a communiqué à la CNIL ses bilans comptables pour les années 2006 et 2007 ainsi que les statistiques mensuelles de la société. La Commission a pris en considération ces nouveaux éléments.
En conséquence, la Commission décide de faire application des dispositions des articles 45 et suivants de la loi du 6 janvier 1978 modifiée le 6 août 2004 et de prononcer à l'encontre de la société X sise [...], compte tenu de la gravité des manquements, une sanction pécuniaire de 10.000 euros (dix mille euros).
Par ailleurs, la Commission enjoint la société X de cesser la mise en œuvre du traitement objet de la présente délibération tant que des éléments nouveaux n'auront pas été communiqués à la CNIL justifiant qu'il a été remédié aux manquements visés dans la présente délibération.
La présente décision sera rendue publique.
Le président,
Alex TÜRK.