La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TÜRK ;
Etant aussi présents M. Guy ROSIER, vice-président délégué, M. François GIQUEL, vice-président, Mlle Anne DEBET, membre et M. Bernard PEYRAT, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personne ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la délibération n°2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2006-118 adoptée par la CNIL le 27 avril 2006 ;
Vu le rapport de M. Francis DELATTRE, commissaire, notifié à la société X le 13 février 2007 et les observations en réponse reçues le 15 mars 2007.
Après avoir entendu, lors de la réunion du 31 mai 2007, Mme. Isabelle FALQUE-PIERROTIN, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Constate les faits suivants :
1. Dans le cadre d'une mission de vérification décidée le 14 mars 2006, une délégation de la CNIL s'est rendue le 5 avril 2006 dans les locaux de la société X sise [...].
A l'occasion des vérifications menées, la délégation de la Commission a constaté que la société X est mandatée par des créanciers afin de procéder à certaines diligences visant à procéder à du recouvrement de créances ou à retrouver les coordonnées de débiteurs dont les créanciers précités ont perdu la trace.
La société X est ainsi destinataire de fiches (envoyées par voie postale ou électronique) résumant les éléments d'identification du débiteur connus par le créancier (dernière adresse connue, identité du dernier employeur, etc.) sur la base desquels celle-ci est mandatée afin de procéder à un recouvrement de créances ou à une enquête (recherche d'adresse, des coordonnées de l'employeur, du niveau de solvabilité du débiteur, etc.).
Une fois les renseignements obtenus, ceux-ci sont intégrés dans une application informatique de gestion du recouvrement et des enquêtes, puis ils sont communiqués au créancier (au moyen d'un rapport papier ou de l'envoi de fichiers informatiques).
Les informations recueillies et conservées sur les débiteurs dans des traitements de données à caractère personnel doivent, conformément aux dispositions de la loi du 6 janvier 1978 modifiée le 6 août 2004, faire l'objet d'une déclaration préalable auprès de la CNIL.
Pourtant, il est apparu qu'aucune déclaration n'avait été adressée à la CNIL par la société X.
S'agissant de la durée de conservation appliquée aux données collectées et enregistrées, il est également apparu qu'aucune durée de conservation n'a été définie par la société X.
En application de l'article 6-5° de la loi du 6 janvier 1978 modifiée le 6 août 2004, un traitement ne peut porter que sur des données à caractère personnel conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.
La Commission considère à cet égard que la durée de conservation la plus pertinente des données collectées et enregistrées par la société X est celle relative à la durée du mandat concernant le recouvrement d'une créance ou la recherche d'un débiteur particulier.
Par conséquent, l'outil informatique de gestion des enquêtes ne devrait plus contenir d'informations sur un débiteur une fois le résultat de l'enquête communiqué au créancier et le mandat venu à expiration. La copie du rapport écrit adressé au créancier par la société X peut uniquement être conservée dans le cadre d'un archivage intermédiaire et ne doit pouvoir être consultée que dans des cas strictement limités (litige entre le mandant et le mandataire par exemple).
Il apparaît en effet que la conservation, dans une base informatisée, de l'intégralité des informations relatives aux débiteurs pour, par exemple, faciliter ou orienter le recouvrement d'une créance ultérieure est susceptible de présenter un risque important de détournement de finalité dans la mesure où une telle conservation pourrait permettre d'effectuer des rapprochements entre plusieurs débiteurs présentant une donnée commune (même adresse, même nom de famille, etc.).
2. En conséquence, par délibération adoptée le 27 avril 2006, la CNIL a mis en demeure la société X sise [...] :
- de procéder à la déclaration de son traitement de recouvrement de créances et de gestion des enquêtes ;
- de limiter la durée de conservation des données sur les débiteurs à la durée du mandat concernant le recouvrement d'une créance ou la recherche d'un débiteur particulier et de procéder, par voie de conséquence, à la purge de l'ensemble des informations relatives à des recouvrements ou des enquêtes clôturés.
3. L'avis de réception adressé avec la mise en demeure atteste que celle-ci a été remise le 23 mai 2006. Pourtant, la société X n'a adressé aucune réponse à la CNIL.
C'est dans ce contexte qu'une proposition de sanction pécuniaire a été notifiée à la société X le 13 février 2007.
4. Par courrier du 15 mars 2007, la société a fait parvenir des observations en réponse.
Dans son courrier, la société X indique avoir procédé à la déclaration à la CNIL de son traitement de recouvrement de créances et de gestion des enquêtes dès mars 2004 et estime par conséquent s'être conformée à la mise en demeure de la CNIL sur ce point.
En réalité, et après vérification par les services de la CNIL, si la société X a bien effectué une déclaration en mars 2004 (déclaration simplifiée n° 11 ayant pour finalité la gestion des fichiers de clients et de prospects, dossier n° 1003353), il s'agissait de son fichier clients, c'est-à-dire le fichier dans lequel la société X enregistre, notamment, la facturation des diligences accomplies pour le compte de ses clients (établissements de crédit notamment). Cette déclaration ne couvre en aucune manière les opérations de recouvrement de créances et de gestion des enquêtes et n'apporte ainsi aucune information pertinente sur les modalités de gestion des informations relatives à des débiteurs.
La Commission considère par conséquent que la société X ne s'est pas conformée à la mise en demeure de la CNIL sur ce premier point.
S'agissant par ailleurs de la limitation des durées de conservation des données et de la mise en place d'opérations de purge, la société X indique procéder à la destruction informatique des données et à la restitution des dossiers physiques à ses mandants lorsque : (1) la créance est recouvrée ; (2) le mandat est révoqué ou (3) lorsque la prescription est acquise.
La Commission considère que cette réponse ne permet pas d'assurer avec certitude que la demande formulée par la CNIL dans sa mise en demeure du 27 avril 2006 a bien été respectée.
En effet, la société X précise dans sa réponse que la durée de conservation de certains dossiers peut s'assimiler à la durée de prescription trentenaire. La Commission estime qu'une telle durée de conservation est excessive alors même que la CNIL, dans sa mise en demeure, rappelait qu'une durée de conservation proportionnée ne saurait dépasser, s'agissant des enquêtes, la durée du mandat (c'est-à-dire quelques mois).
Enfin, la société X n'a apporté aucune précision sur la politique d'archivage qui est mise en œuvre.
La Commission considère par conséquent que la société X ne s'est pas non plus conformée à la mise en demeure de la CNIL sur ce second point.
En conséquence, la Commission décide de faire application des dispositions des articles 45 et suivants de la loi du 6 janvier 1978 modifiée le 6 août 2004 et de prononcer à l'encontre de la société X sise [...], compte tenu de la gravité des manquements commis, une sanction pécuniaire de 5.000 euros.
La présente décision sera rendue publique.
Le président,
Alex TÜRK.