(demande d’autorisation n° 1740008)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Association des Victimes d’Escroquerie et d’Usurpation du Net (L’A.V.E.U. du Net) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel à des fins d’identification des auteurs d’infractions réalisées au moyen d’Internet ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal, notamment ses articles 226-4-1, 312-10, 434-23 ;
Vu la loi du 1er juillet 1901 modifiée relative au contrat d’association ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie, par l’Association des Victimes d’Escroquerie et d’Usurpation du Net (L’A.V.E.U. du Net), d’une demande d’autorisation concernant la mise en œuvre d’un traitement de données à caractère personnel à des fins d’identification des auteurs d’infractions réalisées au moyen d’Internet.
Cette association, régie par la loi du 1er juillet 1901 susvisée, a fait l’objet d’une déclaration en préfecture, laquelle a donné lieu à une publication officielle au Journal Officiel. Elle a ainsi pour objet de « conseiller, assister et représenter toute personne victime d’usurpation sur Internet dans le cadre de l’article 226-4-1 et de l’article  434-23 du Code pénal et toute personne victime des usurpateurs escrocs sur Internet, que ce soit par le biais d’une escroquerie aux sentiments qui a abouti ou non à une escroquerie financière ou un chantage à la webcam, et ce auprès de tout organisme, autorités répressives, tribunal ou assureur, dans le litige dont cette personne a été victime, des actions de formations et diverses interventions auprès du public afin de faire connaître ces fléaux que sont l’usurpation et l’escroquerie par ce biais sur Internet et leurs conséquences, des activités économiques telles que la facturation de prestations de formation, de signalements afin d’exiger le retrait des contenus, la recherche de faux profils dans une liste d’amis, la recherche d’imposteurs en nombre, etc. ».
Dans ce cadre, le traitement projeté par l’association a pour finalité d’exploiter les données fournies par les adhérents de l’association ainsi que des informations collectées par l’A.V.E.U du Net sur Internet, à des fins d’identification des auteurs  d’infractions.
La Commission relève que toutes les actions engagées par l’association reposent notamment sur la collecte préalable des procès verbaux de plainte des personnes adhérentes à l’association et présumées victimes d’usurpation d’identité ou d’escroquerie.
Le traitement projeté porte donc sur des données relatives à des infractions ou condamnations au sens de l’article 9 de la loi du 6 janvier 1978 modifiée.
Il y a donc lieu de faire application des dispositions prévues à l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation par la Commission les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
La Commission rappelle que les traitements portant sur de telles données ne peuvent être mis en œuvre que par les personnes et organismes limitativement énumérés à l’article 9 de la loi du 6 janvier 1978 modifiée :
les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ;
les auxiliaires de justice pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi ;
les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes atteintes aux droits prévus  aux livres Ier, II et III du même code aux fins d’assurer la défense de ces droits.
La Commission relève que l’association n’appartient à aucune des catégories précitées.
Elle observe en outre que celle-ci ne peut davantage se prévaloir de la réserve d’interprétation du Conseil constitutionnel formulée dans sa décision du 29 juillet 2004, laquelle permet à une personne de droit privé, lorsqu’elle est victime d’une infraction, de constituer, pour les seuls besoins de l’exercice de son droit au recours, des fichiers d’infractions. Or, le traitement projeté par l’association a pour finalité déclarée d’identifier, à la suite de différentes investigations, des auteurs d’infractions réalisées au moyen d’Internet et transmettre, le cas échéant, le résultat de ces investigations aux autorités compétentes.
La Commission relève ainsi que le traitement n’a pas pour objet de permettre l’exercice de voies de recours devant les juridictions par les personnes présumées victimes d’infractions, ni même par l’association à des fins d’exercice de ses propres recours.
Dès lors, et sans préjudice des autres caractéristiques du traitement projeté, la Commission estime que l’association l’A.V.E.U. du Net n’est pas habilitée à traiter des données d’infractions, ce qui ne remet pas en cause la possibilité pour l’association d’informer les autorités compétentes sur des faits qu’elle considérerait comme répréhensibles.
Dans ces conditions, la Commission refuse la mise en œuvre, par l’Association des Victimes d’Escroquerie et d’Usurpation du Net (L’A.V.E.U du Net), d’un traitement de données à caractère personnel à des fins d’identification des auteurs d’infractions réalisées au moyen d’Internet.
La Présidente
I. FALQUE-PIERROTIN