La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ;
Etant aussi présents MM. Jean-Marie COTTERET, Jean-François CARREZ et Claude DOMEIZEL, membres ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la Directive n°95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n°2011-004 du 19 mai 2011 de la Présidente de la Commission nationale de l'informatique et des libertés mettant en demeure l'Union Régionale des Syndicats X ;
Vu la décision n° 2011-269C du 12 octobre 2011 de la Présidente de la Commission nationale de l'informatique et des libertés de faire procéder à une mission de vérification auprès de l'Union Régionale des Syndicats X ;
Vu la plainte enregistrée le 9 août 2010 auprès de la Commission nationale de l'informatique et des libertés sous la référence n°10018855 ;
Vu le rapport de M. Bernard PEYRAT, commissaire rapporteur, notifié par lettre recommandée avec accusé de réception à l'Union Régionale des Syndicats X, le 12 décembre 2011, joint au courrier de convocation à la séance de la formation restreinte du 19 janvier 2012 ;
Vu le courrier du Secrétaire général de la Commission, en date du 22 décembre 2011, notifié à l'Union Régionale des Syndicats X par lettre recommandée avec accusé de réception, informant l'organisme du report de l'audience du 19 janvier 2012 à 15 heures 30 au 26 janvier 2012 à 15 heures ;
Vu les autres pièces du dossier ;
Ayant entendu, lors des réunions de la formation restreinte du 26 janvier 2012 :
- M. Bernard PEYRAT, Commissaire, en son rapport ;
- Mme Catherine POZZO DI BORGO, Commissaire du Gouvernement adjointe, en ses observations ;
Aucun représentant de l'Union Syndicale mise en cause ne s'étant présenté à l'audience, ni n'ayant fourni d'observations en défense ;
A adopté la décision suivante :

FAITS ET PROCEDURE
Le 9 août 2010, la Commission nationale de l'informatique et des libertés (ci-après la CNIL ou la Commission) a été saisie d'une plainte émanant de Madame X, salariée de l'Université, relative aux difficultés rencontrées dans l'exercice de son droit d'opposition auprès du Syndicat X.
Cette plainte était consécutive à l'envoi de plusieurs courriels de prospection syndicale non sollicités sur son adresse de messagerie électronique professionnelle. Plusieurs demandes d'opposition exprimées par la plaignante auprès du syndicat étant restées sans réponse, celle-ci a saisi la Commission par courrier en date du 7 août 2010.
Par courrier en date du 1er octobre 2010, le service des plaintes de la CNIL a demandé au syndicat de préciser les moyens par lesquels il a pris connaissance de l'adresse de messagerie électronique de la plaignante et de confirmer la radiation de cette dernière de ses listes de destinataires de courriels. A défaut de réponse, un premier courrier de relance a été adressé par lettre recommandée du 20 octobre 2010, reçue par le syndicat le 22 octobre, puis un deuxième courrier a été adressé par lettre recommandée le 24 novembre 2010, reçu le 29 novembre. Le syndicat n'a pas répondu à ces courriers.
Au vu de ces faits, le Président de la CNIL a mis en demeure le syndicat, par sa décision n° 2011-004 du 19 mai 2011, dans un délai d'un mois à compter de sa notification, de :
- préciser les moyens par lesquels il a pris connaissance de l'adresse électronique des personnels de l'Université de Lille 1 et veiller à ne pas collecter des données à caractère personnel de manière déloyale ou illicite, en particulier ne pas collecter d'adresse électronique à des fins de prospection syndicale à l'insu des personnes concernées ;
- préciser les raisons pour lesquelles le droit d'opposition de la plaignante n'a été pris en compte que tardivement ;
- prendre toute mesure de nature à garantir qu'il soit tenu compte, de manière immédiate et systématique, du droit d'opposition exercé par toute personne concernée en application de l'article 38 de la loi du 6 janvier 1978 ;
- indiquer les raisons pour lesquelles les courriers de services de la Commission des 1er octobre, 20 octobre et 24 novembre 2010 sont restés sans réponse ;
- justifier que l'ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
Cette mise en demeure, adressée en lettre recommandée avec accusé de réception le 27 mai 2011, a été reçue par le syndicat le 6 juin 2011.
Ni la mise en demeure, ni la relance adressée également par lettre recommandée avec accusé de réception le 29 août 2011 et reçue le 30 août, n'ont fait l'objet de réponse.
Au vu de ces faits, la Présidente de la Commission, par décision n° 2011-269C du 12 octobre 2011, a décidé de faire procéder à une mission de vérification auprès du syndicat. Son secrétaire général a donc été convoqué à une audition dans les locaux de la Commission par courrier du 13 octobre 2011. Celui-ci n'ayant pas déféré à la convocation ni n'ayant fait connaître à la Commission le motif de son absence, un procès-verbal de carence a été rédigé.
Ce procès-verbal de carence a été notifié au représentant du syndicat par courrier recommandé avec accusé de réception. Le courrier de la Commission précisait qu'en l'absence de réponse, sous 15 jours, à ses précédents courriers en date des 1er octobre 2010, 20 octobre 2010, 24 novembre 2010, 27 mai 2011, 29 août 2011, 13 octobre 2011 et 27 octobre 2011, la Présidente désignerait un rapporteur et que la formation contentieuse de la CNIL pourrait envisager l'éventuel prononcé d'une sanction à son encontre.
Copies du procès-verbal de carence ainsi que de ce courrier ont par ailleurs été adressées au secrétaire général de Y, organisme duquel dépend le syndicat, par lettres recommandées avec accusés de réception.
Aucun des courriers susmentionnés n'a fait l'objet de réponse.
Sur la foi de ces constats, la Présidente de la Commission a désigné M. Bernard PEYRAT, Commissaire, membre de la CNIL, en qualité de rapporteur, afin d'engager à l'encontre de l'organisme une procédure fondée sur le I de l'article 45 de la loi du 6 janvier 1978 modifiée.
A l'issue de son instruction, le rapporteur a considéré que l'organisme mis en cause avait manqué à plusieurs obligations lui incombant en application de la loi du 6 janvier 1978 modifiée. En conséquence, un rapport a été notifié à ce dernier par lettre recommandée avec accusé de réception, le 12 décembre 2011, l'informant que le rapporteur sollicitait de la formation restreinte de la CNIL qu'elle prononce à son encontre une sanction pécuniaire publique de 5000 euros.

MOTIFS DE LA DECISION
A) Sur les manquements à l'obligation de procéder à une collecte loyale des données et à l'obligation de respecter le droit d'opposition des personnes
- Le 1° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 dispose que les données à caractère personnel sont collectées de manière loyale et licite.
Par ailleurs, l'article 38 de la loi du 6 janvier 1978 modifiée prévoit que toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement. Elle a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur (...).
- Il est établi que le syndicat a fait usage, à des fins de prospection syndicale, d'adresses de messageries électroniques professionnelles. Celles-ci constituent des données à caractère personnel au sens de la loi du 6 janvier 1978 modifiée, dès lors qu'elles contiennent des informations relatives à des personnes physiques identifiées ou qui peuvent être identifiées au sens de l'article 2 alinéa 2 de la loi précitée.
- Sur le fond, en premier lieu, la formation restreinte constate qu'il ressort des termes de la plainte que l'intéressée n'a jamais sollicité d'envois de messages de prospection syndicale sur son adresse des messagerie professionnelle et qu'elle n'a jamais été informée préalablement à cette prospection. Elle considère, dès lors, qu'elle ne peut écarter le grief de collecte déloyale formulé à l'encontre du syndicat.
- En second lieu, il est avéré que les demandes de la plaignante relatives à l'exercice de son droit d'opposition n'ont pas été immédiatement prises en compte par l'Union Régionale des Syndicats X. Ce n'est qu'après plusieurs demandes formulées en ce sens auprès du syndicat et après saisine la CNIL au début du mois d'août 2010 que la prospection a cessé.
Ces faits caractérisent dès lors un manquement à l'obligation d'assurer aux destinataires des messages de prospection un droit d'opposition effectif, contraire aux exigences posées par l'article 38, susvisé.
B) Sur le manquement à l'obligation de répondre aux demandes de la CNIL
En application des dispositions de l'article 21 alinéa 2 de la loi n° 78-17 du 6 janvier 1978 modifiée, les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche.
Or, il ressort des faits constatés que le syndicat s'est abstenu de répondre aux trois courriers lui ayant été adressés par les services de la Commission les 1er octobre, 20 octobre et 24 novembre 2010 dans le cadre de l'instruction de la plainte susvisée.
Le syndicat n'a pas davantage apporté de réponse à la mise en demeure qui lui a été adressée par la Présidente de la CNIL le 27 mai 2011.
Il n'a pas non plus réagi au courrier de relance qui lui a été envoyé le 29 août 2011.
De même, le responsable du syndicat, dûment convoqué pour une audition dans les locaux de la Commission, n'a pas déféré à cette convocation sans faire connaître les motifs de son absence.
Le secrétaire général de Y, n'a pas davantage répondu dans le délai qui lui était imparti dans le courrier que la Commission lui a envoyé le 17 novembre 2011.
Enfin, la formation restreinte constate que le syndicat n'a présenté de mémoire en défense suite à l'envoi du rapport de sanction et ne s'est pas présenté ni ne s'est fait représenter lors de l'audience de jugement du 26 janvier 2012.
L'ensemble de ces courriers de convocation et de demandes d'information ayant tous été envoyés par lettres recommandés avec accusés de réception, ceux-ci étant tous revenus signés à la CNIL, la formation restreinte ne peut que juger que le syndicat a fait preuve d'une réelle désinvolture, voire d'une manifeste mauvaise foi à l'égard de la Commission.
- Sur les manquements constatés
Au vu de ce qui précède, la formation restreinte constate que l'Union Régionale des Syndicats X est responsable de trois manquements à la loi du 6 janvier 1978 modifiée. Celle-ci n'a donc satisfait à aucune des exigences posées dans la mise en demeure du 19 mai 2001, précitée.
Dans ces conditions, la formation restreinte estime qu'il y a lieu de prononcer à son encontre une sanction pécuniaire de 5000 (cinq mille) euros.
- Sur la publicité de la décision
Compte tenu de l'abstention délibérée du syndicat de répondre aux différentes demandes, convocations et injonctions de la CNIL, la formation restreinte décide de rendre sa délibération publique.
PAR CES MOTIFS
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide :
- De prononcer une sanction pécuniaire de 5000 euros (cinq mille euros) à l'encontre de l'Union Régionale des Syndicats X ;
- De rendre publique sa décision sur le site internet de la CNIL et sur le site internet Légifrance.
La Présidente
Claire DAVAL