Le bureau de la Commission nationale de l'informatique et des libertés, réuni le 23 octobre 2014 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etant aussi présent M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2014-053 du 13 octobre 2014 de la Présidente de la Commission mettant en demeure la société X ;
A adopté la délibération suivante :
Par décision du 13 octobre 2014, la Présidente de la Commission a, sur le fondement de l'article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise [...], de faire cesser, sous un délai d'un mois, les manquements constatés à cette même loi.
En application de l'article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 23 octobre 2014.
Après en avoir délibéré, le bureau relève que la société a fait l'objet d'une première procédure de mise en demeure le 19 juillet 2012 lui ayant permis d'être informée des obligations lui incombant en sa qualité de responsable de traitement à l'égard du traitement des données à caractère personnel relatives aux prospects, s'agissant notamment des exigences tenant au recueil du consentement, à l'exercice du droit d'opposition, à la durée de conservation des données et aux mesures de sécurité devant encadrer ce traitement.
Il ressort de la nouvelle mise en demeure adoptée par la Présidente de la CNIL le 13 octobre dernier que la société n'a pas pris l'ensemble des mesures demandées lors de la première mise en demeure pour se mettre en conformité avec la loi du 6 janvier 1978 modifiée.
Il a ainsi notamment été relevé que la société ne fournit pas systématiquement aux personnes concernées une information suffisante quant aux traitements mis en œuvre. Elle ne fournit pas non plus une information permettant de considérer comme libre, spécifique et informé le consentement de ces personnes à recevoir de la prospection commerciale par voie électronique. En outre, la société ne fait pas totalement droit aux demandes d'opposition de ces dernières et ne conserve pas non plus les données à caractère personnel pendant des durées proportionnées par rapport aux finalités poursuivies.
Le bureau estime que la mesure de publicité se fonde sur la taille de l'organisme en cause, qui se présente comme le premier groupe français de presse et de presse magazine sur Internet, et sur le nombre de personnes concernées par ses traitements, compte tenu du très large public ciblé par les multiples magazines qu'elle commercialise. Il apparaît, en effet, nécessaire d'informer les personnes concernées par le traitement des droits qu'ils détiennent en application de la loi du 6 janvier 1978 modifiée.
La publicité se justifie également par la nécessité de sensibiliser plus largement les responsables de traitement au cadre légal encadrant la prospection commerciale par voie électronique, notamment à leurs obligations en termes de recueil du consentement et de respect du droit d'opposition des personnes concernées.
En conséquence, le bureau de la Commission nationale de l'informatique et des libertés décide de rendre publique la décision n°2014-053 de la Présidente de la CNIL mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d'une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l'organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l'objet d'une clôture qui sera également rendue publique.
La Présidente,
Isabelle FALQUE-PIERROTIN