La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la demande d'autorisation, présentée par la société EMI MUSIC France concernant la mise en oeuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des oeuvres remises aux employés et à des tiers ;
Après avoir entendu M. Emmanuel de GIVRY, commissaire en son rapport et Mme Pascale COMPAGNIE, Commissaire du Gouvernement en ses observations,
Formule les observations suivantes ;
La Commission nationale de l'informatique des libertés a été saisie par la société EMI MUSIC France d'une demande d'autorisation relative à la mise en oeuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des oeuvres communiquées, en avant première, à un nombre restreint de destinataires identifiés.
Les traitements doivent permettre aux services de la société EMI MUSIC France d'identifier le destinataire initial d'une oeuvre qui a ensuite été mise à disposition sur internet.  Les conséquences pour les personnes concernées seront les suivantes :
- elles ne pourront plus être destinataires d'oeuvres en avant première, s'il s'agit de tiers ;
- elles pourront également être rayées de la liste de diffusion et/ou faire l'objet de sanctions disciplinaires conformément aux dispositions du Code du travail, s'il s'agit d'employés.
Il y a lieu de faire application des dispositions prévues à l'article 25-4° de la loi du 6 janvier 1978 modifiée en août 2004 qui dispose que sont soumis à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.
Le dispositif repose sur le procédé du "watermarking" ou "tatouage" des oeuvres.  Ainsi, un identifiant unique sera encodé directement parmi les données du fichier audio de l'oeuvre.
Cet identifiant sera associé à l'identité du destinataire.  Une base de données retraçant l'ensemble des identifiants associés aux différents destinataires sera également constituée.
S'agissant du processus de recherche de ces oeuvres "tatouées" qui seraient diffusées sans autorisation sur internet, les traitements projetés ne reposent pas sur l'utilisation d'un procédé permettant d'automatiser l'ensemble de la chaîne de recherche. Seuls les employés habilités du service Protection des Contenus effectueront des recherches aléatoires reposant sur la consultation de sites musicaux, de blogs ou de certains réseaux "peer to peer".
En cas de découverte sur internet d'une oeuvre appartenant au catalogue de la société EMI MUSIC France, le fichier concerné sera téléchargé et adressé à une société prestataire de service située au Royaume-Uni.  Celle-ci procédera à l'expertise du fichier et indiquera s'il s'agit d'une une oeuvre "tatouée" . Le cas échéant, elle transmettra à la société EMI MUSIC France l'identifiant relevé afin de faire le lien avec l'identité du destinataire initial.  La société EMI MUSI France décidera alors des mesures à prendre.  Les personnes concernées seront informées de leur retrait de la liste des destinataires par un courrier.
La seule conséquence pouvant résulter du traitement est de ne plus figurer sur la liste des destinataires des oeuvres en avant première et de faire l'objet de sanctions disciplinaires si la personne concernée est un employé.
Ainsi, la Commission prend acte du fait que le traitement présenté ne sera pas utilisé à des fins répressives dans le cadre d'une action tant civile que pénale devant l'autorité judiciaire.
Elle observe également que le dispositif n'effectue aucune collecte de données auprès d'un tiers, même indirectement et que l'adresse IP des internautes diffusant l'oeuvre sur le réseau n'est traitée que le temps nécessaire au téléchargement sans être conservée.
De même, elle relève que la liste des destinataires sera remise à jour tous les cinq ans ce qui permet de ménager un droit à l'oubli.
La Commission note enfin que les personnes concernées bénéficieront d'une information au moment de la collecte des données et que les traitements liés à la recherche de la mise à disposition frauduleuse des oeuvres et l'accès aux résultats relèvent d'un service centralisé.
Il résulte de ce qui précède que les traitements présentés sont proportionnés à la finalité poursuivie et qu'ils sont de nature à préserver l'équilibre entre la protection des droits reconnus aux personnes dont les données sont traitées et la protection des droits dont bénéficient les auteurs et leurs ayants droits.
Les droits d'accès et de rectification s'exerceront auprès du département des ressources humaines de la société EMI MUSIC France, 116 rue du Mont Cenis - 75018 Paris.
Les catégories de données à caractère personnel enregistrées seront :
- l'adresse IP, pour les seuls besoins du téléchargement ;
- l'identité des personnes (nom, prénom) ;
- l'adresse professionnelle du destinataire ;
- le titre et la fonction ;
- liste des identifiants (tatouages) associés aux oeuvres remises au destinataire ;
- la date de la remise de l'oeuvre à son destinataire.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée :
- les personnes habilitées du service Protection des Contenus,
- le Président d'EMI MUSIC France et le Président d'EMI MUSIC Europe ;
- les personnes habilitées de la Direction des ressources humaines ;
- les personnes habilitées du service juridique.
Dans ces conditions, la Commission autorise la société EMI MUSIC France à mettre en oeuvre le traitement de données à caractère personnel présenté.
Le Président Alex TURK.