La Commission nationale de l'informatique et des libertés,
Saisie par la SACEM d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion précontentieuse et contentieuse des redevances de droits d'auteur par les usagers sous contrat d'utilisation et du recouvrement des sommes dues par les usagers sans contrat ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 9-4° et 25-I°3 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Dominique RICHARD, commissaire en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
La Société des auteurs, compositeurs et éditeurs de musique (SACEM) a pour objet principal d'assurer la gestion des droits de représentation publique et de reproduction mécanique de ses membres.
Dans le cadre de cette mission, la SACEM souhaite mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion précontentieuse et contentieuse des redevances de droits d'auteur dues par les usagers sous contrat d'utilisation et du recouvrement des sommes dues par les usagers sans contrat, en vue d'une éventuelle procédure civile ou pénale.
Ce traitement s'inscrit dans le cadre de l'article 9-4° de la loi du 6 janvier 1978 modifié qui prévoit que les traitements de données relatives à des infractions, condamnations et mesures de sûreté peuvent être mis en œuvre par  Les personnes morales mentionnées aux articles L.321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d'atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d'assurer la défense de ces droits .
Ainsi, la Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-I-3° de ladite loi, qui soumet à autorisation les traitements automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Sur la finalité du traitement :
Le traitement mis en œuvre par la SACEM a pour finalité la gestion précontentieuse et contentieuse des redevances de droits d'auteur dues par les personnes sous contrat d'utilisation ainsi que le recouvrement des sommes dues par les usagers utilisant les œuvres sans avoir conclu de contrat d'utilisation.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur la nature des données traitées :
Les données traitées sont les suivantes :
- Etat civil / Identité : nom, prénom, adresse, date et lieu de naissance, situation familiale ;
- Vie professionnelle : situation professionnelle, n° Siren, fonctions ;
- Informations d'ordre économique : montant des sommes dues au titre des redevances de droit d'auteur, éventuelle procédure collective, cession du fonds de commerce (personne morale) ou procédure de surendettement (personne physique) ;
- Infractions et condamnations : renseignements issus des décisions de justice (qualification des infractions, montant des dommages-intérêts, dépens, etc.).
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Les données collectées relatives au recouvrement des créances sont supprimées dès leur régularisation.
A défaut de régularisation et pour les besoins d'éventuelles procédures judiciaires, les données sont conservées en archive pendant la durée de prescription légale de l'action en recouvrement, à savoir cinq ans (article 2224 du code civil).
La Commission considère que cette durée de conservation est proportionnée à la finalité poursuivie.
Sur les destinataires des données :
Les destinataires des données sont :
- le département juridique, les directions et délégations régionales et le service de perception de la SACEM ;
- la Société pour l'administration du Droit de Reproduction Mécanique des auteurs, compositeurs et éditeurs de musique (SDRM) : la SACEM lui a confié la gestion du droit de reproduction mécanique. Compte tenu de ce que la majorité des œuvres dont la SDRM assure la gestion appartiennent au répertoire de la SACEM ou des sociétés d'auteurs étrangères que cette dernière représente en France, et afin d'alléger les charges de gestion, le fonctionnement administratif et comptable de la SDRM est depuis 1974 assuré par les services de la SACEM, la première conservant toutefois son autonomie juridique et financière ;
- la Société pour la Perception de la Rémunération Équitable (SPRÉ) : la SPRÉ a été créée en 1985 pour collecter la rémunération équitable prévue aux articles L. 214-1 et suivants du code de propriété intellectuelle. Ne disposant pas de personnel pour en assurer la perception sur l'ensemble du territoire, c'est la SACEM qui procède à sa perception et comptabilisation dans certains secteurs d'activité (exemples : cafés, hôtels, restaurants). La Commission rappelle que, la SPRÉ ayant sous-traité la gestion de la rémunération équitable à la SACEM, elle reste responsable de traitement et doit, à ce titre, procéder aux formalités adéquates.
Sur l'information et les droits des personnes :
Afin d'informer les personnes concernées, les formulaires papier de demande d'autorisation et de déclaration en ligne ainsi que les courriers personnalisés adressés par la SACEM aux usagers, prévoient la mention suivante :
Les informations demandées sont toutes obligatoires et sont traitées par la SACEM, notamment dans le cadre de la facturation, la comptabilisation et le recouvrement, afin de percevoir les redevances de droit d'auteur et éventuellement la rémunération équitable prévue par l'article L. 214-1 du code de la propriété intellectuelle. Elles sont destinées à la SACEM et ses partenaires.
Vous disposez d'un droit d'accès, d'interrogation, de rectification et d'opposition dans les conditions prévues aux articles 38, 39 et 40 de la loi  Informatique et Libertés  du 6 janvier 1978 que vous pouvez exercer, par voie postale, auprès de la SACEM - Département des autorisations de diffusion publique - 225, avenue Charles de Gaulle, 92528 Neuilly-Sur-Seine Cedex.
La Commission considère que ces modalités d'information et d'exercice des droits sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
Les accès aux données par le personnel habilité à cet effet se font par l'utilisation d'un login et d'un mot de passe dont la complexité est conforme aux recommandations de la Commission. En outre, est utilisé un système d'authentification forte, délivrant des mots de passe à usage unique. Ces accès font l'objet d'une journalisation et les utilisateurs en sont informés dans la charte d'utilisation du système d'information.
Concernant les transferts de données, ceux-ci sont sécurisés par l'utilisation de réseaux virtuels privés, assurant ainsi la confidentialité des données.
Enfin, les données sont sauvegardées quotidiennement, assurant ainsi la pérennité des données.
La Commission considère que ces mesures sont proportionnées au regard de la finalité poursuivie.
Dans ces conditions, la Commission autorise la SACEM à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion précontentieuse et contentieuse des redevances de droits d'auteur dues par les personnes sous contrat d'utilisation ainsi que du recouvrement des sommes dues par les usagers utilisant ses œuvres sans contrat.
La Présidente
Isabelle FALQUE-PIERROTIN