La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, et notamment son article 21 ;
Vu le décret n° 78-774 du 17 juillet 1978, pris pour l'application de la loi susvisée ;
Vu la délibération n° 87-25 du 10 février 1987 fixant le règlement intérieur de la CNIL ;
Vu la déclaration d'un traitement automatisé d'informations nominatives effectuée le 3 février 1995 par la société X et enregistrée sous le n° 368759 ;
Vu la déclaration de modification effectuée les 29 novembre et 12 décembre 1995 par la société X ;
Après avoir entendu Monsieur Jacques Ribs, commissaire en son rapport et Madame Charlotte-Marie Pitrat, commissaire du Gouvernement en ses observations ;
Considérant que le 3 février 1995, la société X a effectué une déclaration de traitement automatisé d'informations nominatives ayant pour finalité principale la gestion commerciale d'un fichier de prospects" ; que ce fichier est constitué à partir de questionnaires, comportant plus de 160 questions relatives aux habitudes de consommation des ménages, diffusés anonymement par insertion dans des magazines ou distribués dans les boîtes aux lettres ;
Considérant que la base de données, ainsi constituée, a pour finalité d'être cédée à des sociétés commerciales extérieures afin que ces sociétés puissent effectuer des opérations de prospection commerciale auprès de clients potentiels dont des profils précis auront été établis par X ;
Considérant que la Commission a constaté, lors de l'examen du dossier en séance le 28 mars 1995, que les mentions destinées à informer les consommateurs des prescriptions de l'article 27 de la loi du 6 janvier 1978 comportaient des "cases à cocher" permettant aux personnes d'exprimer immédiatement leur opposition à ce que des données les concernant soient mises à disposition de sociétés commerciales extérieures ;
Considérant que le 29 mai 1995, la société X a adressé à la Commission une nouvelle maquette de son questionnaire dans lequel les mentions d'informations ne comportaient plus les "cases à cocher" ;
Considérant que dès le 15 juin 1995, et sans attendre la réponse de la Commission, la société X a procédé, selon ses propres dires, à la diffusion des questionnaires ainsi modifiés à 20 millions d'exemplaires ;
Considérant que la diffusion de ce type de questionnaires a suscité de nombreuses plaintes auprès de la Commission qui font apparaître l'inquiétude des consommateurs face à la constitution de bases de données aussi précises sur les habitudes de consommation des ménages, destinées à la prospection commerciale ;
Considérant, d'une part, qu'il revient à la Commission de s'assurer que les mentions d'information portées à la connaissance des personnes auprès desquelles des données sont collectées respectent l'article 27 de la loi et assurent à la collecte le caractère loyal qui est exigé par l'article 25 de la loi du 6 janvier 1978 et l'article 5.a de la convention n° 108 du Conseil de l'Europe aux termes duquel les données doivent avoir été "obtenues et traitées loyalement et licitement" ;
Considérant que tel doit être tout particulièrement le cas lorsque les personnes sont incitées à répondre à un questionnaire facultatif par l'offre de cadeaux, de bons d'achats ou coupons de réduction ;
Considérant, d'autre part, que s'agissant de questionnaires comportant plusieurs dizaines de questions et diffusés à des millions d'exemplaires, la Commission doit s'assurer avec une vigilance particulière que les droits des personnes à l'égard du traitement des données, et tout particulièrement le droit d'opposition à la cession de ces données à des sociétés extérieures, peut s'exercer aisément ;
Considérant que l'apposition de la case à cocher sur le support de collecte permettait aux personnes qui souhaitaient répondre au questionnaire de manifester aussitôt leur opposition à la cession de leurs données à des sociétés extérieures ; qu'une telle mesure qui dispensait les personnes d'avoir à accomplir une formalité supplémentaire ou d'engager une dépense pour exercer leur droit, constituait, en l'espèce, une mesure appropriée que la Commission tenait pour substantielle ;
Considérant que X en diffusant, dès le 15 juin 1995 à 20 millions d'exemplaires, et sans attendre la réponse de la Commission, le questionnaire déclaré le 29 mai 1995 duquel avait été retranchée la case à cocher a été défaillante au regard de ses engagements vis-à-vis de la Commission et des exigences de la protection des données ; qu'en effet, le questionnaire n'était plus de nature, sous cette nouvelle forme, et en raison de cette suppression, de permettre aux personnes qui y répondaient d'avoir une claire conscience de ce que leurs réponses étaient destinées à alimenter une base de données comportementales destinée à être commercialisée ;
Considérant qu'il y a lieu de mettre en garde la société X afin que les questionnaires qu'elle diffusera pour l'avenir satisfassent aux exigences de la protection des données personnelles ;
Adresse, à cet effet, en application de l'article 21 alinéa 4 de la loi du 6 janvier 1978, un avertissement à la société X.