La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TÜRK, président ;
Etant aussi présents, M. Emmanuel de GIVRY, vice-président délégué, Mme Isabelle FALQUE-PIERROTIN, vice-présidente, M. Jean-Marie COTTERET, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-451 du 25 mars 2007 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2008-164 du 12 juin 2008 de la Commission nationale de l'informatique et des libertés mettant en demeure la société X, notifiée le 28 juillet 2008 ;
Vu le rapport de M. Jean MASSOT, commissaire rapporteur, notifié le 23 janvier 2009 à la société X ;
Vu les autres pièces du dossier ;
Après avoir entendu, lors de la réunion du 26 février 2009 :
- M. Jean MASSOT, commissaire, en ses rapports ;
- Mme Catherine POZZO di BORGO commissaire adjoint du gouvernement ;
- Maître B, conseil de la société X ;
- M. A, président de la société X ;
- Maître B ayant pris la parole en dernier.
I. Faits et procédure

La société X (ci-après la "société") est une société anonyme créée en 1999, qui propose un service à destination des professionnels de l'immobilier leur permettant d'être informés des nouveaux biens mis en vente ou en location par des particuliers. Une fois abonnées, les agences immobilières reçoivent, plusieurs fois par jour, toutes les nouvelles annonces qui correspondent à leur secteur d'activité, publiées par les particuliers sur plus de cent sites internet. Cette société emploie 18 salariés et avait, en 2007, un chiffre d'affaires annuel de 1 705 862 euros.
1. Le contrôle sur place du 15 avril 2008
En application de la décision n° 2008-053 C du 8 avril 2008 du président de la Commission nationale de l'informatique et des libertés (ci-après "CNIL" ou la "Commission"), une délégation de la CNIL a procédé à une mission de vérification sur place le 15 avril 2008 auprès de la société X.
La délégation a constaté que les informations transmises par la société à ses clients, agences immobilières, comprennent le contenu de l'annonce publiée sur un ou plusieurs sites d'annonces immobilières et les données à caractère personnel de l'annonceur présentes dans l'annonce (généralement le numéro de téléphone et l'adresse de courrier électronique), éventuellement complétés par le nom et l'adresse de la personne grâce à l'utilisation d'un annuaire inversé.
Afin de collecter les données qu'elle transmet par la suite à ses clients, la société a développé un outil lui permettant de capturer, grâce à des scripts informatiques, les informations diffusées sur les sites immobiliers même ceux qui se disent n'être destinés qu'aux particuliers en ne sélectionnant que les nouvelles annonces et en excluant certaines d'entre elles.
Un tri supplémentaire est effectué à partir d'une liste de mots-clés afin de s'assurer que l'annonce émane bien d'un particulier et qu'elle ne comprend pas d'éléments fantaisistes.
La délégation de la CNIL a constaté, lors de la mission de contrôle, que la capture et la transmission des annonces à ses clients était faite à l'insu des annonceurs, et que cette collecte de données était effective, alors même que ceux-ci auraient expressément indiqué dans leur annonce "agence s'abstenir".
La société gère, également, une liste dénommée blacklist qui, par comparaison, expurge des annonces collectées celles qui correspondent à un numéro de téléphone présent dans cette liste, c'est-à-dire le numéro de téléphone de certains agents immobiliers et de particuliers qui se sont opposés auprès de la société à ce que leurs données soient transmises à des tiers.
Une déclaration (n° 809852) a été adressée à la CNIL par la société en juin 2002, ayant comme finalité la communication de la synthèse des petites annonces immobilières ou auto passées sur un secteur déterminé. Le représentant de la société a précisé, lors du contrôle, ne pas proposer d'offres de service concernant le secteur automobile.
Un courrier de la CNIL a été adressé à la société, le 25 juillet 2002, afin d'attirer son attention sur la nécessité de collecter les données de façon loyale, après information et respect du droit d'opposition des personnes intéressées.
La société a, par un courrier du 22 août suivant, informé la CNIL que le droit d'opposition des personnes pouvait être exercé auprès d'elle et que leur numéro de téléphone était alors inséré dans une base empêchant la diffusion de l'annonce. Puis, la CNIL a, par courrier du 4 novembre 2002, pris note de ces observations. Le récépissé de déclaration a été adressé à la société le 5 novembre 2002. Il y était indiqué que sa délivrance ne valait pas constatation de la conformité du traitement à la loi et n'exonérait le déclarant d'aucune de ses responsabilités.
2. La mise en demeure du 12 juin 2008
A la suite des constats opérés lors du contrôle d'avril 2008, la Commission a adressé à la société une mise en demeure, par délibération n° 2008-164 du 12 juin 2008. D'une part, il lui a été enjoint de cesser, sous un délai de dix jours, toute collecte déloyale de données à caractère personnel sur les sites internet d'annonces immobilières de particuliers. D'autre part, il lui a été demandé, sous un délai de trois mois, de procéder à une collecte loyale des données à caractère personnel, notamment en informant les personnes concernées dans les conditions prévues par l'article 32 de la loi. La Commission a également demandé que des mesures soient prises pour permettre aux personnes dont les données sont collectées de s'opposer à ce que leurs données soient transmises à des tiers et de justifier auprès de la CNIL que l'ensemble des demandes précitées a bien été respecté, dans le délai imparti.
Cette mise en demeure a été notifiée à la société le 28 juillet 2008 par courrier recommandé avec accusé de réception.
Un communiqué intitulé annonces immobilières en lignes : la CNIL contrôle et empêche la commercialisation des données des particuliers à leur insu a été diffusé sur le site internet de la Commission, le [...] 2008.
En outre, la CNIL a adressé, le 30 juillet 2008, une dizaine de courriers aux principaux réseaux d'agences immobilières, afin d'attirer leur attention sur le caractère déloyal d'une telle collecte de données.
3. Les recours formés par la société devant le Conseil d'Etat
A la suite de la mise en demeure du 12 juin 2008, la société a, par une requête en référé du 1er août 2008, saisi le Conseil d'Etat de conclusions aux fins de suspension de la mesure. Un recours en annulation a, également, été introduit le même jour.
Faisant droit à l'argumentation de la CNIL, le Conseil d'Etat a, par une ordonnance du 5 septembre 2008, rejeté la requête en référé au motif qu'aucun des moyens invoqués par la requérante n'était propre à créer, en l'état de l'instruction, un doute sérieux quant à la légalité de la délibération attaquée.
En effet, concernant le manquement relatif à la collecte déloyale des données, le Conseil d'Etat a estimé que quand bien même les propriétaires auraient nécessairement accepté que leurs annonces connaissent une certaine publicité, la société ne saurait être regardée comme ayant rempli l'obligation qui lui était faite par le 1° de l'article 6, précité, de collecter de manière loyale les données à caractère personnel sur lesquelles porte le traitement mis en œuvre.
En outre, s'agissant du défaut d'information des annonceurs concernés, le Conseil d'Etat a jugé d'une part, qu'il appartenait à la société de leur fournir les différentes informations énumérées au I de l'article 32 de la loi du 6 janvier 1978 et d'autre part, qu'il n'était pas établi que l'information des propriétaires exige, de la part de la société, des efforts disproportionnés par rapport à l'intérêt de la démarche.
Le juge des référés a également estimé que la société requérante n'[avait] pas mis en mesure les auteurs des annonces immobilières de s'opposer à ce que les données à caractère personnel contenues dans ces annonces fassent l'objet d'un traitement , en méconnaissance de l'article 38 de la loi du 6 janvier 1978.
Prenant acte de l'ordonnance du Conseil d'Etat, la société a produit un mémoire en désistement le 27 octobre 2008, s'agissant du recours au fond. Il a été donné acte du désistement d'action le 13 novembre 2008.
4. Le courrier de la société du 22 septembre 2008
A la suite de l'ordonnance du Conseil d'Etat du 5 septembre 2008 rejetant son recours en référé, la société a, par un courrier du 22 septembre suivant, informé la CNIL de sa décision de se conformer, sans délai, à la mise en demeure du 12 juin 2008.
Elle a indiqué avoir mis en place des procédures consistant à adresser un SMS ou un message vocal, au plus tard lors de la première communication des données collectées à ses clients, afin d'informer les annonceurs, conformément au III de l'article 32 de la loi du 6 janvier 1978, de la collecte de leurs données, de l'identité du responsable de traitement, de la finalité poursuivie par ce traitement, des catégories de destinataires de ces données ainsi que des droits qu'ils détiennent en application des articles 38 et suivants de la loi précitée.
La société a, en outre, intégré sur le site internet [...], un lien vers une charte des données personnelles, une adresse électronique permettant aux annonceurs d'accéder et de rectifier leurs données, ainsi qu'une rubrique dédiée à l'exercice de leur droit d'opposition, utilisable uniquement avec le code secret transmis via le SMS ou le message vocal.
5. Le contrôle effectué par la CNIL le 29 septembre 2008
A la suite de la réception du courrier de la société du 22 septembre 2008, une délégation de la CNIL a effectué un contrôle sur place le 29 septembre suivant.
Tout d'abord, il a été constaté que la société n'avait pas modifié sa méthode de collecte des données, les annonces des particuliers étant toujours aspirées selon le même procédé que celui constaté lors du contrôle du 15 avril 2008.
Ensuite, la délégation s'est attachée à examiner le dispositif mis en œuvre par la société afin d'informer les annonceurs.
La gestion des envois de SMS et des appels téléphoniques a été confiée aux prestataires de service Y et Z. La liste des numéros de téléphone est adressée aux prestataires par courriel accompagné d'une pièce jointe non sécurisée. Plus de 2 000 SMS et environ 700 appels sont envoyés quotidiennement.
Le SMS et le message vocal indiquent : "Pour favoriser vos chances de succès, X sélectionne, et transmet votre annonce immo aux banques et pro du secteur. Opposition sur [...]".
Concernant les appels téléphoniques, en cas de rappel du numéro indiqué, le message suivant est diffusé : "Bonjour, vous êtes sur le répondeur de X. Nous vous informons que pour augmenter vos chances de succès, nous avons sélectionné votre annonce immobilière et l'avons transmise aux professionnels du secteur. Vous disposez d'un droit d'opposition exerçable par courrier à : X, [...] ou en vous connectant à notre site : [...]. Ce répondeur ne prend pas de message. Merci".
Il a été indiqué à la délégation de la CNIL que l'information diffusée par SMS ou appel téléphonique est effectuée entre le moment où les données sont collectées et le moment où elles sont envoyées aux agences immobilières (à 9h00, 12h00 et 17h00, chaque jour).
Lorsqu'une personne exerce son droit d'opposition, la plupart du temps alors que l'annonce a été rediffusée, X avertit les agences qui ont été destinataires de ses données en leur indiquant : "l'annonceur auteur de cette annonce s'oppose à être sollicité. Nous vous demandons, donc, de supprimer cette annonce de notre pige X".
Selon le responsable de la société, une dizaine de personnes exercerait leur droit d'opposition chaque jour, exclusivement par l'intermédiaire du site.
Enfin, la société a modifié son bulletin d'abonnement afin d'y inclure un paragraphe relatif à la protection des données, dans lequel il est, notamment, précisé qu' "en cas d'exercice des droits de rectification et/ou d'opposition par l'annonceur, X s'engage à en informer ses clients qui s'obligent pour leur part à rectifier ou supprimer les données concernées de leur fichier et respecter le droit d'opposition ainsi revendiqué".
6. Le courrier de la société du 5 novembre 2008
Par un courrier du 5 novembre 2008, la société a porté à la connaissance de la Commission le fait qu'elle enregistrait, depuis quelques semaines, des résiliations et des refus de paiement de la part de certains clients.
La société a, ainsi, souhaité attirer l'attention de la CNIL sur la nécessité de prendre rapidement position sur la conformité à la loi du 6 janvier 1978 modifiée des nouvelles mesures prises depuis la mise en demeure du 12 juin 2008.
7. L'audition de la société du 26 novembre 2008
Conformément à l'article 74 du décret n° 2005-1379 du 20 octobre 2005 modifié par le décret n° 2007-451 du 25 mars 2007, le rapporteur a estimé utile d'auditionner le responsable de traitement, avant qu'une éventuelle procédure de sanction ne soit engagée à son encontre.
Ainsi, M. A, Président de la société, a été entendu le 26 novembre 2008, assisté par son conseil Me L.
Les questions abordées, à l'occasion de cette audition, ont porté sur le mode de collecte des données à caractère personnel, l'information des personnes concernées, l'exercice de leur droit d'opposition et la sécurisation de ces données.
B. Procédure
A la suite du contrôle effectué par la délégation de la CNIL le 29 septembre 2008 et de l'audition de la société le 26 novembre suivant, il a été décidé d'engager une procédure de sanction à son encontre, compte tenu de la nature et de la gravité des manquements constatés.
Le rapport du commissaire rapporteur, M. Jean MASSOT, proposant à la formation restreinte de la CNIL de prononcer une sanction pécuniaire d'un montant de 80 000 euros, rendue publique, a été notifié à la société le 23 janvier 2009.
A l'appui de ses demandes, le rapporteur a fait valoir la constatation de trois manquements à la loi du 6 janvier 1978 modifiée : d'une part, un manquement à l'obligation de collecter des données à caractère personnel de manière loyale et licite ; d'autre part, un manquement à l'obligation d'information des personnes et enfin, un manquement à leur droit d'opposition.
Par courrier du 17 février 2009, la société représentée par Me L a sollicité d'une part, un délai supplémentaire afin de présenter ses observations écrites et d'autre part, un report de la séance de la formation restreinte, fixée au 26 février 2009, afin d'organiser au mieux la défense de son client, eu égard à l'importance de la sanction envisagée. Par un courrier du 18 février 2009, le Président de la CNIL a refusé de faire droit à ces demandes au motif que le dossier avait été inscrit à l'ordre du jour de la séance, pour satisfaire le souhait exprimé par la société elle-même que la CNIL prenne rapidement position sur son cas.
La société a donc formulé des observations écrites le 19 février 2009. Puis, représentée par Me B et par M. A, elle a présenté ses observations orales lors de la séance de la formation restreinte du 26 février 2009.
Dans ses observations en défense formulées tant à l'écrit qu'à l'oral, la société a exposé que la collecte des données à caractère personnel des annonceurs ne pouvait être qualifiée de déloyale, les personnes concernées étant tenues informées de la transmission de leurs annonces aux professionnels du secteur, au plus tard lors de cette communication, ainsi que de la possibilité de s'y opposer sur son site internet. La société a soutenu qu'elle ne procédait à aucune aspiration des données à l'insu des personnes, dès lors que l'obligation d'information est respectée et que leur droit d'opposition est effectif.
II. Motifs de la décision
La Commission rappelle qu'aux termes du 1° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, "un traitement ne peut porter que sur des données à caractère personnel qui sont collectées et traitées de manière loyale et licite".
La Commission relève que l'information délivrée par la société rend le traitement des données à caractère personnel collectées déloyal en ce qu'elle ne permet pas aux intéressés de disposer d'une indication claire quant à sa finalité et d'exercer leur droit d'opposition dans un délai raisonnable. En indiquant aux personnes dont les données sont captées : "Pour favoriser vos chances de succès, X sélectionne, et transmet votre annonce immo aux banques et pro du secteur. Opposition sur [...]", la société présente son activité comme étant un service rendu aux intéressés alors qu'il s'agit d'une opération de revente destinée à ses clients. Comme l'a soulevé le rapporteur, la confusion est telle, qu'il arrive que certains particuliers appellent la société, une fois le message reçu, afin de savoir si le service qui leur est proposé est gratuit. Aussi, dans la mesure où les annonceurs ne sont pas clairement informés que leurs données sont captées afin d'être vendues à des tiers, l'information délivrée en l'état est de nature à créer une confusion sur la finalité du traitement mis en oeuvre.
En outre, les personnes dont les annonces ont été captées à leur insu, ne disposent pas du temps nécessaire pour exercer leur droit d'opposition à ce que leurs données personnelles fassent l'objet d'un traitement. Le délai très court dont disposent les personnes concernées leur permet tout au plus de s'opposer à être démarchées par les agences immobilières détentrices de leurs données à caractère personnel, si ce n'est déjà fait, mais ne leur permet pas de s'opposer au traitement de leurs données sous toutes ses autres formes : constitution de la revue de presse, cession des données aux tiers et utilisation de ces données par les tiers notamment à des fins statistiques.
Il résulte de ce qui précède et de l'application combinée des articles 6 et 32 de la loi n° 78-17 du 6 janvier 1978 modifiée que l'information telle que délivrée par la société ne permet pas de considérer le traitement des données captées à l'insu des personnes comme étant loyal.
Au surplus, la Commission relève que l'information diffusée est incomplète en ce qu'elle ne mentionne pas tous les droits dont bénéficient les personnes dont les données à caractère personnel sont captées, à savoir les droits d'accès et de rectification, et ce en méconnaissance de l'article 32 précité.
Sur les manquements constatés
En conséquence, eu égard aux manquements constatés relatifs au traitement déloyal des annonces immobilières, dont la collecte par aspiration n'est pas assortie d'une information claire et suffisante des annonceurs leur permettant d'appréhender la finalité du traitement ainsi que d'une réelle possibilité pour ceux-ci de s'opposer à ce que leurs données personnelles fassent l'objet d'un traitement, la société X verra prononcer à son encontre une sanction pécuniaire d'un montant de 40 000 euros.
Sur la publicité de la délibération
Eu égard à la nature et à la gravité des manquements commis ainsi qu'à la nécessité, d'une part, pour les personnes physiques de connaître les règles relatives à la protection de leurs données à caractère personnel et, d'autre part, pour les responsables de traitement de mieux appréhender les règles qui s'imposent à eux, la délibération de la Commission sera rendue publique sur le site internet de la CNIL et sur le site internet Légifrance.
PAR CES MOTIFS
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide de :
- prononcer une sanction pécuniaire de 40 000 euros à l'encontre de la société X ;
- publier la présente décision sur le site internet de la CNIL et sur le site internet Légifrance.
Le président,