Délibération n°2011-111 du 28 avril 2011 autorisant la mise en œuvre par la société CHANEL SAS d’un traitement de données à caractère personnel ayant pour finalité la lutte contre la contrefaçon (base de données « TPS »)
(demande d’autorisation n°1348808)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire, et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La société CHANEL SAS a déposé un dossier de demande d’autorisation de mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la lutte contre la contrefaçon des droits d’auteur, des dessins et modèles, et des brevets (base de données « TPS »).
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Les finalités du traitement envisagé par la société CHANEL SAS seront les suivantes :
La gestion et le suivi, par la société CHANEL SAS et toutes les sociétés exploitant légalement la marque CHANEL à l’étranger (ci-après les « Sociétés »), des procédures contentieuses en cours concernant leurs droits de propriété intellectuelle, engagées par l’une ou l’autre des Sociétés à l’encontre de tiers ou engagées par des tiers à l’encontre de l’une ou l’autre des Sociétés, et ce en France ou à l’étranger ;
La gestion et le suivi du précontentieux, à savoir :
la collecte des informations relatives aux violations des droits de propriété intellectuelle de l’une ou l’autre des Sociétés ainsi qu’aux atteintes à son réseau de distribution ou à son image, identifiées en France ou à l’étranger ;
la consultation des informations relatives auxdites violations ;
le cas échéant, le suivi et la coordination des actes précontentieux initiés par l’une ou l’autre des Sociétés ;
La gestion (et l’analyse) des coûts, frais, dépenses, et de façon plus générale, de toutes les sommes engagées ou obtenues par l’une ou l’autre des Sociétés dans le cadre de ces procédures, ainsi que la production de ces données à des fins de comptabilité et de justificatifs fiscaux.
La base de données TPS sera susceptible de faire l’objet d’une interconnexion avec la base de données « Diams/HyperMark » qui a pour finalité la lutte contre la contrefaçon des droits des marques et noms de domaine.
Les catégories de données à caractère personnel enregistrées seront les données suivantes :
données d’identification : nom, prénom, sexe, date et lieu de naissance, passeport, numéro de carte nationale d’identité ;
données relatives à l’adresse postale ;
données bancaires ;
données relatives à l’utilisation des médias et aux moyens de communication : informations relatives aux sites Internet utilisés, adresses électronique, fournisseurs d’accès ;
données relatives aux véhicules des personnes et à leur immatriculation ;
données relatives aux infractions, condamnations et mesures de sûreté : décisions de justice résultant des procédures engagées par l’une ou l’autre des Sociétés.
Lorsque la législation du pays dans lequel les Sociétés sont établies le permet, ces dernières pourront être amenées à collecter les caractéristiques physiques et le numéro de sécurité sociale des personnes concernées. Un filtre permanent sur ces champs empêchera la société CHANEL SAS d’avoir accès, de consulter, de modifier et/ou de compléter ces champs.
Les durées de conservation des données seront les suivantes :
dans le cas où la société CHANEL SAS décide de ne pas poursuivre : les données seront conservées pendant un an à compter de la décision définitive de clôture du dossier ;
dans le cas où la société CHANEL SAS décide de poursuivre : les données seront conservées en base active pendant toute la durée de la procédure judiciaire ou jusqu’au règlement amiable du dossier, puis en archives pendant une période de dix ans ;
dans le cas où la société CHANEL SAS décide de ne pas poursuivre immédiatement : les données seront conservées en base active pendant une durée de cinq ans à compter de la dernière violation constatée ou du dernier acte effectué par les Sociétés CHANEL (acte de recherche, d’enquête, d’investigation ou de poursuite), puis en archives pendant 10 ans.
Les destinataires des données seront, dans la limite de leurs attributions et pour la poursuite des finalités précitées, les agents des services juridiques et comptables de la société CHANEL SAS, et les conseils chargés d’assister cette société dans la protection de ses droits de propriété intellectuelle.
L’information des personnes concernées relative à l’existence de la base de données TPS se fera notamment par une mention insérée dans les mentions légales des différents sites Internet de la société CHANEL SAS. La société informera également les personnes concernées de la mise en place de traitements automatisés de données à caractère personnel mis en œuvre pour lutter contre la contrefaçon dans les mises en demeure qu’elle adressera à ces personnes.
En principe, la personne dont les données font l’objet d’un traitement doit être informée par le responsable du dispositif dès l'enregistrement de données la concernant conformément à l’article 32 de loi du 6 janvier 1978 modifiée. La CNIL a, cependant, autorisé à plusieurs reprises, et notamment dans sa délibération n°2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle, que l'information de cette personne n’intervienne qu’après l'adoption des mesures conservatoires rendues nécessaires pour prévenir la destruction de preuves.
La CNIL constate que les actes de contrefaçon sont en constante augmentation et engendrent des pertes économiques considérables, en termes de chiffres d’affaire, de ralentissement de l’innovation et de la compétitivité des entreprises, d’atteintes aux investissements réalisés en matière de recherche et de développement, de manque à gagner, de déstabilisation des marchés par le développement d’une importante économie souterraine favorisée par l’utilisation de l’Internet, mais également de pertes d’emplois.
En tant que société de luxe exploitant une marque renommée à travers le monde, la société CHANEL SAS est une cible de choix pour les contrefacteurs et ses droits de propriété intellectuelle font l’objet de violations incessantes.
Afin de préserver ses droits, son image et son réseau commercial à l’échelle internationale, ainsi que d’assurer la sécurité des consommateurs, la société CHANEL SAS a dû investir d’importants moyens financiers et humains (25 personnes dans le monde entièrement dédiées à la protection de la marque et à la lutte contre la contrefaçon, dont 12 en France).
La base de données TPS permettra à la société CHANEL SAS de gérer ses droits au niveau international et facilitera la lutte contre la contrefaçon. Elle sera utilisée, dans de nombreuses hypothèses, hors du territoire français, et ne contiendra qu’un nombre très restreint de données relatives à des personnes physiques.
Dans ce contexte, la Commission estime qu’imposer à la société CHANEL SAS d’informer les personnes concernées dans la lettre de mise en demeure qui leur est adressée, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, serait contraire à l’objectif de protection des droits de propriété intellectuelle de la société CHANEL SAS et limiterait l’effectivité du droit de cette dernière à exercer un recours juridictionnel.
Compte-tenu des circonstances particulières de l’espèce exposées ci-dessus, la Commission considère comme suffisante les mentions d’information proposées par la société CHANEL SAS.
Les droits d’accès et de rectification s’exerceront auprès du service juridique de la société CHANEL SAS - 135, avenue Charles de Gaulle, 92200 NEUILLY-SUR-SEINE.
Cependant, en cas de doute quant à la légitimité des demandes d’accès formulées par les personnes concernées, la société CHANEL SAS pourra ménager ce droit d’accès conformément à ce qui a pu être mis en place dans l’autorisation unique sur les traitements mis en œuvre par les banques au titre de la lutte contre le blanchiment d’argent. En effet, dans sa délibération n° 2005-297 du 1er décembre 2005, la CNIL prévoit que, pour l'application des articles L.563-3 et L.574-1 du Code monétaire et financier, et à la demande d'un organisme financier saisi d'une demande de droit d'accès, la CNIL peut formuler un avis sur le caractère communicable des informations enregistrées dans les traitements régis par l’autorisation unique.
Compte-tenu des circonstances particulières de l’espèce, la société CHANEL SAS pourra également, en cas de doute quant à la légitimité d’une demande d’accès, saisir la CNIL pour que cette dernière se prononce sur le caractère communicable des données.
Les transferts de données contenus dans la base de données TPS auront vocation à permettre la gestion, le suivi et la coordination des procédures contentieuses et précontentieuses notamment initiées par l’une ou l’autre des Sociétés sur la base des informations collectées par l’une ou l’autre des Sociétés.
Les données seront transférées vers les services juridiques et comptables des sociétés CHANEL Ltd (Hong-Kong), CUPFSA (Panama), CHANEL KK (Japon), CHANEL Inc. (USA) et The CHANEL Company Ltd (USA).
Les transferts seront encadrés par les clauses contractuelles européennes issues de la décision 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement.
Dans ces conditions, la Commission autorise la société CHANEL SAS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la lutte contre la contrefaçon et à transférer les données vers des pays n’appartenant pas à l’Union Européenne.