La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TURK ;
Etant aussi présents, M. Guy ROSIER, vice-président délégué, M. François GIQUEL, vice-président, Mlle Anne DEBET, membre, M. Bernard PEYRAT, membre et M. Hubert BOUCHET, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2008-120 du 20 mai 2008 de la Commission nationale de l'informatique et des libertés mettant en demeure la société X, notifiée le 20 juin 2008 ;
Vu le rapport de M. MASSOT, commissaire rapporteur, notifié par huissier à la société X le 3 octobre 2008 ;
Vu les autres pièces du dossier ;
Après avoir entendu, lors de la réunion du 6 novembre 2008 :
- M. Jean MASSOT, commissaire, en son rapport ;
- Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations ;
- Maître S., avocat de la société X ;
Maître S. ayant pris la parole en dernier ;

FAITS ET PROCEDURE
1. La société X est un distributeur, au moyen du site internet éponyme, de produits de loisirs et culturels (disques, logiciels, livres...) ainsi que d'équipement (ameublement, électroménager, prêt-à-porter...). Son chiffre d'affaires pour l'année 2007 était de 660 millions d'euros.
La Commission nationale de l'informatique et des libertés (ci-après CNIL ) a été saisie, depuis janvier 2008, de onze plaintes de personnes ayant rencontré des difficultés pour exercer leur droit d'opposition à figurer dans un traitement de données à caractère personnel auprès de la société X.
En janvier 2008, la CNIL a reçu trois premières plaintes de personnes ayant tenté de se désabonner, à plusieurs reprises, des listes de diffusion de la société X afin de ne plus recevoir de courriers électroniques publicitaires. Leurs demandes n'ayant pas été prises en compte, la Commission a alors adressé à la société X un courrier lui demandant de procéder à la radiation de ses fichiers commerciaux des informations relatives aux personnes concernées. Les 11 et 25 février 2008, la société X a expliqué à la CNIL que les désinscriptions demandées en janvier 2008 n'ont pas pu être correctement enregistrées en raison d'un problème dû à son module de désabonnement, qui a été résolu à compter du 1er février 2008. Elle assurait également que les adresses électroniques des plaignants avaient bien été supprimées des fichiers commerciaux.
A partir du 6 février 2008, la CNIL a cependant reçu huit nouvelles plaintes de personnes ayant rencontré les mêmes difficultés pour exercer leur droit d'opposition à ne plus recevoir de courriers électroniques publicitaires de la société X.
Les plaignants ont en effet tenté, à plusieurs reprises, de se désabonner tant en utilisant le lien internet de désinscription figurant au bas des messages reçus qu'en effectuant une demande par courrier postal, en appelant un numéro de téléphone surtaxé ou en envoyant un courriel.
2. En conséquence, la Commission a mis en demeure, par sa délibération n° 2008-120 du 20 mai 2008, la société X, sise [...], sous un délai d'un mois à compter de la notification, de :
- prendre toutes mesures de nature à garantir qu'il soit tenu compte, de manière efficace, systématique et immédiate, du droit d'opposition exercé par toute personne concernée à recevoir de la prospection commerciale, en application de l'article 38 de la loi du 6 janvier 1978 ;
- préciser à la Commission l'origine des adresses électroniques des personnes démarchées par courriel et les modalités du recueil de leur consentement préalable à l'envoi de ces courriels ;
- justifier auprès de la CNIL que l'ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
L'avis de réception adressé avec la mise en demeure atteste que celle-ci a été remise le 20 juin 2008. Pourtant, la société X n'a adressé aucune correspondance à la CNIL en réponse.
3. Un rapport proposant une sanction pécuniaire de 30 000 euros rendue publique a été notifié par huissier à la société X le 3 octobre 2008, à laquelle était jointe la convocation à l'audience du 6 novembre 2008. Le rapport de sanction faisait, notamment, état des différents manquements constatés à la loi informatique et libertés .

MOTIFS DE LA DECISION
4. Lors de l'audience de sanction du 6 novembre 2008, la société X a présenté à la formation restreinte de la CNIL les différentes mesures qu'elle a prises pour pallier les manquements constatés dans la mise en demeure du 20 mai 2008.
Un manquement au droit d'opposition
5. La Commission rappelle que l'article 38 de la loi du 6 janvier 1978 dispose que toute personne physique a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable de traitement.
Dans sa mise en demeure du 20 mai 2008, la CNIL a demandé à la société X de prendre toutes mesures de nature à garantir qu'il soit tenu compte, de manière efficace, systématique et immédiate, du droit d'opposition exercé par toute personne concernée à recevoir de la prospection commerciale, en application de l'article 38 de la loi du 6 janvier 1978.
6. Le rapporteur a constaté que la société X n'avait pas mis en place de procédure permettant de prendre en compte, de manière efficace et immédiate, le droit d'opposition des personnes sollicitées dans le cadre d'opérations d'envoi de courriers électroniques à caractère publicitaire qui demandent la suppression de leurs coordonnées des fichiers commerciaux de la société.
Il a relevé que les demandes effectuées auprès de la société n'étaient pas prises en compte, nonobstant la panne du système de désabonnement de la société en janvier 2008 qui n'a pas permis de prendre en compte les oppositions à recevoir de la prospection par courriel adressées pendant cette période.
En effet, les plaintes reçues par la CNIL démontraient que la gestion des demandes de droit d'opposition à recevoir des courriels publicitaires est lacunaire voire inexistante pour trois raisons :
- un plaignant (M. F) s'étant désinscrit en 2006 a reçu à nouveau des sollicitations en 2007 puis en 2008 ;
- plusieurs plaignants ayant exercé leur droit d'opposition en janvier 2008 ont continué à recevoir des courriels publicitaires alors que la société a indiqué que son prestataire avait tenu compte, à la suite de l'incident de janvier 2008, des demandes parvenues durant cette période. On ajoutera que les demandes exercées par courrier (demande de Mme U adressée par courrier le 5/02/2008) n'ont pas été prises en compte ;
- les demandes postérieures à janvier 2008 demeurent sans effet (demande effectuée par Mme G par le lien de désabonnement le 20/02/2008 ; demande de M. L par courriels puis courrier du 20/03/2008).
En outre, il est apparu que les opérations nécessaires pour se désabonner en ligne sont complexes (nécessité d'entrer un mot de passe pour se désinscrire).
7. La société a ainsi indiqué, lors de l'audience du 6 novembre 2008, qu'elle avait adopté, depuis le 3 octobre 2008, plusieurs procédures destinées à faciliter l'exercice du droit d'opposition (lien hypertexte dans les conditions générales de vente, exercice du droit d'opposition à partir des pages internet de l'espace client, lien hypertexte dans les lettres d'actualité, possibilité d'exercer ce droit d'opposition par courrier). Elle a également renforcé l'effectivité de ses procédures par un meilleur contrôle technique de la base de données des clients et du module de gestion des lettres d'actualité et une amélioration des procédures de secours (suppression de l'adresse électronique [...] au profit de l'exercice du droit d'opposition par la seule voie postale en cas de dysfonctionnements des liens hypertextes des conditions générales de vente ou des lettres d'actualité).
8. La Commission prend acte, s'agissant de l'amélioration des procédures de secours en cas de dysfonctionnements des liens automatiques, des engagements pris pour assurer un traitement correct du courrier reçu, nonobstant le fait qu'une telle solution restreint les possibilités d'exercice du droit d'opposition, en particulier, pour une société dont l'activité est uniquement par internet.
Elle prend acte également de la future nomination d'un correspondant informatique et libertés mais une telle désignation n'est pas de nature à faire cesser les manquements constatés, en l'état, dans la mise en demeure du 20 mai 2008.
La Commission constate que la société a adopté diverses mesures destinées à améliorer l'exercice du droit d'opposition mais elle relève que la société n'indique pas en quoi le remplacement d'une adresse électronique par des liens hypertextes permettra d'améliorer techniquement et réellement la prise en compte du droit d'opposition. Il en va de même pour l'exercice du droit d'opposition dans l'espace personnel du client.
Elle relève également que la société a indiqué avoir amélioré le contrôle technique de la base de données sans préciser les mesures réellement prises.
Elle considère, par conséquent, que la société X ne s'est pas exactement conformée à la mise en demeure du 20 mai 2008 en ce qui concerne le manquement au droit d'opposition.
Un manquement à l'obligation de répondre aux demandes de la CNIL
9. La Commission rappelle que l'article 21 de la même loi dispose que les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche .
10. Le rapporteur a constaté que la société X n'avait apporté aucune réponse à la mise en demeure de la CNIL du 20 mai 2008.
11. La société X a indiqué, lors de l'audience du 6 novembre 2008, que la mise en demeure de la CNIL était bien parvenue dans ses services mais n'avait pas été remise à la personne compétente. Elle produit une attestation du directeur général délégué dans laquelle il indique ne pas avoir été en possession de cette mise en demeure.
La société a rappelé qu'elle avait cependant répondu aux précédents courriers de la CNIL.
12. La Commission constate que la mise en demeure a été régulièrement délivrée à la société X et que son absence de réponse est due à une défaillance de son organisation interne et met en évidence l'absence d'une procédure rigoureuse de traitement des demandes de la CNIL, d'autant plus grave au regard de la taille de la société et du nombre de clients concernés par cette activité.
Sur les manquements constatés
13. Si la société X a pris plusieurs mesures correctives afin de respecter les dispositions de la loi du 6 janvier 1978 modifiée, ces mesures n'en demeurent pas moins tardives et il apparaît que la société ne s'est pas conformée à la mise en demeure du 20 mai 2008 en ce qu'elle n'a pas fait cesser les manquements constatés.
En conséquence, la société X verra prononcer à son encontre une sanction pécuniaire d'un montant de 30 000 euros.
Sur la publicité de la délibération
14. Eu égard à la nature des manquements constatés, aucune circonstance de l'espèce n'est de nature à faire obstacle à ce que la délibération à intervenir soit rendue publique sur le site internet de la CNIL et sur le site internet Légifrance.
PAR CES MOTIFS
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide de :
- prononcer à l'encontre de la société X une sanction pécuniaire de 30 000 euros ;
- publier la présente décision sur son site internet et sur la base Légifrance .
La société X dispose d'un délai de deux mois à compter de la notification de la présente décision pour exercer à son encontre un recours devant le Conseil d'Etat.
A Paris, le
Le Président