La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire, et les observations de
Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes
La société CHANEL SAS a déposé un dossier de demande d'autorisation de mise en œuvre d'un traitement de données à caractère personnel ayant pour finalité la lutte contre la contrefaçon des droits des marques et noms de domaine (base de données  Diams/HyperMark ).
La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Les finalités du traitement envisagé par la société CHANEL SAS seront les suivantes :
1)      La gestion et le suivi, par la société CHANEL SAS et toutes les sociétés exploitant légalement la marque CHANEL à l'étranger (ci-après les  Sociétés ), des procédures relatives aux demandes d'enregistrement, à la publication, à l'enregistrement et au renouvellement des marques et noms de domaines de chacune des Sociétés, en France et à l'étranger ;
2)      La gestion et le suivi des oppositions relatives aux marques et noms de domaines formées par l'une ou l'autre des Sociétés à l'égard des tiers ou formées par des tiers à l'égard de l'une ou l'autre des Sociétés, et ce en France ou à l'étranger ;
3)      La gestion et le suivi des procédures contentieuses en cours relatives aux marques et noms de domaines engagées par l'une des Sociétés à l'encontre de tiers ou engagées par des tiers à l'encontre de l'une des Sociétés, en France et à l'étranger ;
4)      La gestion et le suivi du précontentieux, à savoir :
a.       la collecte des informations relatives aux violations des droits des marques et noms de domaines de l'une ou l'autre des Sociétés ainsi qu'aux atteintes à son réseau de distribution ou à son image, identifiées en France ou à l'étranger ;
b.      la consultation des informations relatives auxdites violations ;
c.       le cas échéant, le suivi et la coordination des actes précontentieux initiés par l'une ou l'autre des Sociétés ;
5)      La gestion (et l'analyse) des coûts, frais, dépenses, et de façon plus générale, de toutes les sommes engagées ou obtenues par l'une ou l'autre des Sociétés dans le cadre de ces procédures, ainsi que la production de ces données à des fins de comptabilité et de justificatifs fiscaux.
La base de données Diams/HyperMark sera susceptible de faire l'objet d'une interconnexion avec la base de données  TPS  qui a pour finalité la lutte contre la contrefaçon des droits d'auteur, des dessins et modèles, et des brevets.
Les catégories de données à caractère personnel
-          données d'identification : nom, prénom, sexe, date et lieu de naissance ;
-          données relatives à l'adresse postale ;
-          données relatives à l'utilisation des médias et aux moyens de communication : informations relatives aux sites Internet utilisés, adresses électronique, fournisseurs d'accès ;
-          données relatives aux infractions, condamnations et mesures de sûreté : décisions de justice résultant des procédures engagées, décisions des organismes en charge du dépôt et de la gestion des marques et noms de domaines.
Les durées de conservation des données
-          dans le cas où la société CHANEL SAS décide de ne pas poursuivre : les données seront conservées pendant un an à compter de la décision définitive de clôture du dossier ;
-          dans le cas où la société CHANEL SAS décide de poursuivre : les données seront conservées en base active pendant toute la durée de la procédure judiciaire ou jusqu'au règlement amiable du dossier, puis en archives pendant une période de dix ans ;
-          dans le cas où la société CHANEL SAS décide de ne pas poursuivre immédiatement : les données seront conservées en base active pendant une durée de cinq ans à compter de la dernière violation constatée ou du dernier acte effectué par les Sociétés CHANEL (acte de recherche, d'enquête, d'investigation ou de poursuite), puis en archives pendant 10 ans.
Les destinataires des données seront, dans la limite de leurs attributions et pour la poursuite des finalités précitées, les agents des services juridiques et comptables de la société CHANEL SAS, et les conseils chargés d'assister cette société dans la protection de ses droits de marques et noms de domaines.
L'information des personnes concernées relative à l'existence de la base de données Diams/HyperMark se fera notamment par une mention insérée dans les mentions légales des différents sites Internet de la société CHANEL SAS. La société informera également les personnes concernées de la mise en place de traitements automatisés de données à caractère personnel mis en œuvre pour lutter contre la contrefaçon dans les mises en demeure qu'elle adressera à ces personnes.
En principe, la personne dont les données font l'objet d'un traitement doit être informée par le responsable du dispositif dès l'enregistrement de données la concernant conformément à l'article 32 de loi du 6 janvier 1978 modifiée. La CNIL a, cependant, autorisé à plusieurs reprises, et notamment dans sa délibération n°2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle, que l'information de cette personne n'intervienne qu'après l'adoption des mesures conservatoires rendues nécessaires pour prévenir la destruction de preuves.
La CNIL constate que les actes de contrefaçon sont en constante augmentation et engendrent des pertes économiques considérables, en termes de chiffres d'affaire, de ralentissement de l'innovation et de la compétitivité des entreprises, d'atteintes aux investissements réalisés en matière de recherche et de développement, de manque à gagner, de déstabilisation des marchés par le développement d'une importante économie souterraine favorisée par l'utilisation de l'Internet, mais également de pertes d'emplois.
En tant que société de luxe exploitant une marque renommée à travers le monde, la société CHANEL SAS est une cible de choix pour les contrefacteurs et ses droits de propriété intellectuelle font l'objet de violations incessantes.
Afin de préserver ses droits, son image et son réseau commercial à l'échelle internationale, ainsi que d'assurer la sécurité des consommateurs, la société CHANEL SAS a dû investir d'importants moyens financiers et humains (25 personnes dans le monde entièrement dédiées à la protection de la marque et à la lutte contre la contrefaçon, dont 12 en France).
La base de données Diams/HyperMark permettra à la société CHANEL SAS de gérer ses droits au niveau international et facilitera la lutte contre la contrefaçon. Elle sera utilisée, dans de nombreuses hypothèses, hors du territoire français, et ne contiendra qu'un nombre très restreint de données relatives à des personnes physiques.
Dans ce contexte, la Commission estime qu'imposer à la société CHANEL SAS d'informer les personnes concernées dans la lettre de mise en demeure qui leur est adressée, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, serait contraire à l'objectif de protection des droits de propriété intellectuelle de la société CHANEL SAS et limiterait l'effectivité du droit de cette dernière à exercer un recours juridictionnel.
Compte-tenu des circonstances particulières de l'espèce exposées ci-dessus, la Commission considère comme suffisante les mentions d'information proposées par la société CHANEL SAS.
Les droits d'accès et de rectification s'exerceront auprès du service juridique de la société CHANEL SAS - 135, avenue Charles de Gaulle, 92200 NEUILLY-SUR-SEINE.
Cependant, en cas de doute quant à la légitimité des demandes d'accès formulées par les personnes concernées, la société CHANEL SAS pourra aménager ce droit d'accès conformément à ce qui a pu être mis en place dans l'autorisation unique sur les traitements mis en œuvre par les banques au titre de la lutte contre le blanchiment d'argent. En effet, dans sa délibération n° 2005-297 du 1er décembre 2005, la CNIL prévoit que, pour l'application des articles L.563-3 et L.574-1 du Code monétaire et financier, et à la demande d'un organisme financier saisi d'une demande de droit d'accès, la CNIL peut formuler un avis sur le caractère communicable des informations enregistrées dans les traitements régis par l'autorisation unique.
Compte-tenu des circonstances particulières de l'espèce, la société CHANEL SAS pourra également, en cas de doute quant à la légitimité d'une demande d'accès, saisir la CNIL pour que cette dernière se prononce sur le caractère communicable des données.
Les transferts de données contenus dans la base de données Diams/HyperMark auront vocation à permettre la gestion, le suivi et la coordination des procédures d'enregistrement et d'opposition, des procédures contentieuses et précontentieuses, notamment initiées par l'une ou l'autre des Sociétés sur la base des informations collectées par l'une ou l'autre des Sociétés, et ce afin d'assurer une gestion cohérente des marques et noms de domaines des Sociétés sur le long terme.
Les données seront transférées vers les services juridiques et comptables des sociétés  CUPFSA (Panama), CHANEL KK (Japon), CHANEL Inc. (USA) et The CHANEL Company Ltd (USA).
Les transferts seront encadrés par les clauses contractuelles européennes issues de la décision 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement.
Dans ces conditions, la Commission

Le président