La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TÜRK ;
Etant aussi présents M. François GIQUEL, vice-président, Mlle Anne DEBET, membre et M. Bernard PEYRAT, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personne ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la délibération n°2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2005-239 adoptée par la CNIL le 3 novembre 2005 ;
Vu le rapport de M. Francis DELATTRE, commissaire, notifié à la société X le 06 février 2006 et les observations en réponse reçues le 13 mars 2007.
Après avoir entendu, lors de la réunion du 31 mai 2007, Mme. Isabelle FALQUE-PIERROTIN, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Constate les faits suivants :
1. La société X a procédé le 9 avril 2004 à une déclaration relative à la mise en oeuvre d'un traitement ayant pour objet la constitution d'un fichier d'information sur les locataires immobiliers pour la prévention des impayés, à l'usage des professionnels, accessible sur un site Internet intitulé [...].
Par courrier en date du 9 juillet 2004, la Commission a adressé à la société X le récépissé de déclaration prévu par les dispositions de l'article 16 de la loi du 6 janvier 1978 dans sa rédaction antérieure à la loi n° 2004-801 du 06 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
La Commission a néanmoins attiré l'attention de la société X, dans ce même courrier, sur les difficultés posées par le traitement mis en oeuvre au regard de l'application de la loi du 6 janvier 1978.
La CNIL a rappelé, en particulier, qu'en application des articles 25 et 27 de la loi du 6 janvier 1978 dans sa rédaction antérieure à la loi du 6 août 2004, les locataires devaient être informés au moyen d'une clause figurant dans le contrat de bail de la possibilité d'une inscription dans le fichier de mauvais payeurs.
Par décision en date du 31 mars 2005, la Commission nationale de l'informatique et des libertés a procédé à une mission d'investigation auprès de la société X, s'agissant notamment de son site Internet [...], sur lequel est accessible la liste de mauvais payeurs.
A la suite des vérifications entreprises, la délégation de la Commission a demandé à la société X tant lors des opérations de vérification, qu'ultérieurement par courrier électronique adressé au conseil de la société X le 30 mai 2005, de justifier de l'insertion dans les contrats de bail d'une clause d'information spécifique ou de la signature d'un avenant au bail se rapportant à la possibilité pour le bailleur d'inscrire le locataire en cas d'impayés dans le fichier des mauvais payeurs locataires.
La délégation de la Commission a par ailleurs constaté que l'article 5 des conditions générales d'utilisation du site [...] stipule la nécessité de l'existence d'une telle clause contractuelle : "L'abonné s'engage à mentionner impérativement dans les baux soumis à ses locataires la possibilité d'une inscription sur le site sécurihome.fr en cas de litige mettant en cause leur responsabilité".
Constatant que l'absence d'une telle clause était susceptible de constituer un manquement aux dispositions de la loi du 6 janvier 1978, notamment les articles 25 et 27 dans leur rédaction antérieure à la modification résultant de la loi du 6 août 2004, applicables à la date de la mise en oeuvre du traitement, ainsi que les articles 6 et 32 de la loi du 6 janvier 1978 modifiée, et constatant par ailleurs que la société X n'avait apporté aucune suite aux demandes de la Commission formulées tant le jour du contrôle, le 18 avril 2005, que par courrier électronique le 30 mai 2005, la formation restreinte a mis en demeure la société X, par délibération du 3 novembre 2005, de justifier à la Commission, dans un délai d'un mois, de l'existence de l'insertion dans les contrats de bail d'une clause d'information spécifique ou de la signature d'un avenant au bail se rapportant à la possibilité pour le bailleur d'inscrire le locataire en cas dans le fichier des mauvais payeurs locataires en cas d'impayés.
2. En réponse à la mise en demeure précitée, la société X a adressé à la CNIL le 19 décembre 2005 un courrier aux termes duquel elle indiquait demander à l'ensemble de ses adhérents de bien vouloir utiliser un formulaire spécifique pour informer les nouveaux clients de l'existence d'un fichier d'impayés.
Constatant que cette réponse n'apportait aucune garantie sur l'information des personnes figurant d'ores et déjà dans le fichier de mauvais payeurs ainsi que sur l'utilisation effective de ce formulaire pour les nouveaux clients, les services de la CNIL ont adressé le 3 février 2006 un courrier à la société X lui demandant de compléter sa réponse notamment en adressant à la Commission la copie, pour l'ensemble des personnes figurant dans la base de mauvais payeurs, du contrat de bail ou de l'avenant permettant de justifier d'une information préalable de ces personnes. La société X n'a pas répondu à cette demande de compléments.
Ce n'est qu'après plusieurs contacts informels (appels téléphoniques, envoi de messages électroniques) que le gérant de la société X a finalement consenti à donner un nouvel accès informatique à la base de données. Les services de la CNIL ont ainsi pu effectuer, à deux reprises (avril et mai 2006), des vérifications sur l'état exact de cette base de données.
Il est ressorti de ces vérifications que la volumétrie de la base n'a cessé d'augmenter depuis la mise en demeure puisque, au jour des vérifications, 33 agences immobilières (situées à Paris ou en région parisienne) étaient référencées et avaient inscrits près de 200 personnes présumées mauvais payeurs.
S'agissant de la demande de communication, pour l'ensemble des personnes figurant dans la base de mauvais payeurs, du contrat de bail ou de l'avenant permettant de justifier d'une information préalable de ces personnes, la société X n'a en revanche communiqué aucune information.
3. Constatant qu'il n'était pas possible d'obtenir directement auprès de la société X les renseignements demandés concernant l'information des personnes fichées, les services de la CNIL ont procédé le 22 juin 2006 à deux missions de contrôles auprès d'agences immobilières participant à l'alimentation du fichier de mauvais payeurs (Y et Z).
Il est ressorti des vérifications accomplies sur place que :
- les deux agences ont reconnu n'avoir effectué aucune information auprès des 42 personnes inscrites dans la base de données, que celles-ci aient été inscrites avant ou après l'adoption de la mise en demeure ;
- s'agissant de l'agence Z, sur les 29 personnes référencées dans la liste de mauvais payeurs, les services de la CNIL ont constaté que, pour au moins cinq d'entre elles, la dette avait été régularisée ou effacée.
- les deux agences ont confirmé n'avoir reçu aucun courrier ou message de sensibilisation de la part de la société X concernant la question de l'information des personnes préalablement à leur inscription dans la liste de mauvais payeurs, ou, plus généralement, concernant les principes à respecter (définition d'une durée de conservation maximum, suppression des coordonnées de la personne dès que le paiement est régularisé ou que la dette est effacée).
Suite à ces missions de contrôle, la société Z a fait savoir à la CNIL par courrier du 23 juin 2006 qu'elle résiliait le contrat qui la liait à la société X. Cette demande de résiliation aurait du conduire à l'effacement, par la société X, de l'ensemble des données relatives aux mauvais payeurs notifiés par la société Z.
Or les services de la CNIL ont pu constater, à la suite du contrôle, que les débiteurs enregistrés par la société Z étaient toujours présents dans la base de données.
4. Par lettre adressée le 13 mars 2007, la société X a, en réponse à la proposition de sanction, indiqué qu'elle s'engageait à :
- mettre son activité en veille commerciale et bloquer l'accès de ses clients à la liste noire de mauvais payeurs ;
- préalablement à la reprise de toute activité commerciale, communiquer à ses clients de nouvelles conditions générales de vente stipulant l'information obligatoire du débiteur par l'agence immobilière.
La Commission rappelle, sur le second point, qu'une telle clause existait déjà dans les conditions générales de vente avant la mise en demeure de la CNIL et qu'elle a estimé que l'existence d'une telle disposition était insuffisante à démontrer le respect, par la société X, de son obligation d'information.
La Commission considère par ailleurs que la mise en veille commerciale n'apporte aucune réponse satisfaisante concernant les nombreux manquements relatifs à la mise en œuvre du traitement qui n'a, à ce jour, fait l'objet d'aucune mesure de correction.
5. Au regard de l'ensemble de ce qui précède, la Commission considère que la société X n'a pas justifié de l'existence de l'insertion dans les contrats de bail d'une clause d'information spécifique. Au-delà, la société X n'a justifié d'aucune diligence particulière allant dans le sens d'une information des débiteurs. Elle n'a donc pas respecté les termes de la mise en demeure qui lui a été adressée.
En tant que responsable de traitement d'une liste noire mutualisée, nonobstant l'absence de relation directe avec les personnes fichées, la société X n'en reste pas moins tenue de respecter l'obligation d'information visée à l'article 32 de la loi informatique et libertés . Ainsi, sans même aller jusqu'à vérifier chaque contrat de bail, la société X est tenue à une obligation de moyen se traduisant, a minima, par une sensibilisation active des agences sur l'existence de l'obligation d'information, ce qu'elle n'a pas fait. Elle n'a adressé aucun message de sensibilisation aux agences immobilières et ne les a pas invitées à s'engager par écrit à informer l'ensemble de leurs débiteurs.
La société X n'a, par ailleurs, pris aucune mesure allant dans le sens d'une meilleure information des personnes (information directe auprès des débiteurs sans passer par les agences immobilières, mesures d'audit pouvant être définies contractuellement avec les agences afin de vérifier le respect des obligations informatique et libertés , etc.).
Enfin, la Commission observe que depuis 2004, sur la base des éléments recueillis lors de la réalisation des missions de contrôle sur place, la société X a retiré un avantage économique manifeste de la mise en place du traitement de mauvais payeurs (plus de 30 clients facturés au mois ou à la consultation).
En conséquence, la Commission décide de faire application des dispositions des articles 45 et suivants de la loi du 6 janvier 1978 modifiée le 6 août 2004 et de prononcer à l'encontre de la société X sise [...], compte tenu de la gravité des manquements commis ainsi que de l'avantage économique retiré, une sanction pécuniaire de 15.000 euros.
Par ailleurs, la Commission enjoint la société X de cesser la mise en œuvre du traitement objet de la présente délibération et rappelle que toute nouvelle mise en œuvre du traitement devra faire l'objet, conformément aux dispositions de l'article 25-I-4° de la loi du 6 janvier 1978 modifiée le 6 août 2004, d'une demande d'autorisation préalable auprès de la CNIL.
La présente décision sera rendue publique.
Le président,
Alex TÜRK.