La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TÜRK ;
Etant aussi présents M. Guy ROSIER, vice-président délégué, M. François GIQUEL, vice-président, Mlle Anne DEBET, membre et M. Bernard PEYRAT, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2007-133 mettant en demeure la société X, adoptée par la CNIL le 14 juin 2007 ;
Vu notamment les plaintes n° 07009731, 07010121, 07013255 et 07011662 ;
Vu le rapport de M. Jean MASSOT, commissaire, notifié par huissier à la société X le 18 octobre 2007 et les observations en réponse reçues le 16 novembre 2007.
Après avoir entendu, lors de la réunion du 22 novembre 2007, M. Jean MASSOT, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Après avoir entendu, lors de la réunion du 22 novembre 2007, les observations orales de Maître A, avocat, et les représentants de la société X et de la société Y, ceux-ci ayant pris la parole en dernier.
Constate les faits suivants :
1. La Commission nationale de l'informatique et des libertés ("CNIL") a été saisie, à de nombreuses reprises (44 plaintes depuis février 2005), par des plaignants ayant reçu des messages publicitaires adressés par télécopie sous le nom commercial Z , de la part de la société X, sise [...], spécialisée dans le commerce de détail d'habillement.
Il ressortait des éléments communiqués par les plaignants que ces derniers ont tenté, plusieurs fois et en vain, d'exercer leur droit d'opposition à ne plus recevoir de sollicitations commerciales de la part de la société X.
La lecture du message commercial adressé par la société X précisait pourtant : "en conformité avec la loi n° 7817 (CNIL), vous pouvez vous désinscrire de nos listes de diffusion en nous retournant ce fax au [...]".
Par un courrier en date du 23 avril 2007, relatif à la plainte n° 07009731, la CNIL a rappelé à la société qu'il convenait de faire droit à la demande d'opposition formulée par le requérant. Aucune réponse n'a été adressée à la Commission.
Par délibération n° 2007-133 du 14 juin 2007, la Commission a donc mis en demeure la société X, sise [...], sous un délai de dix jours à compter de la notification de la délibération de :
- procéder à l'accomplissement des formalités préalables auprès de la CNIL pour tout traitement automatisé de données à caractère personnel mis en œuvre ;
- cesser toute prospection commerciale par télécopie auprès des personnes qui n'auront pas préalablement donné leur accord pour être démarchées, en application des dispositions du 1° de l'article 6 de la loi du 6 janvier 1978 et de l'article L.34-5 du code des postes et des communications électroniques ;
- supprimer les coordonnées des requérants ayant exercé leur droit d'opposition ;
- apporter toute garantie que, pour l'avenir, les droits des personnes dont les données à caractère personnel font l'objet d'un traitement automatisé à des fins commerciales soient respectés, en particulier le droit d'opposition prévu par l'article 38 de la loi ;
- indiquer par quels moyens la société X s'est procurée les numéros de télécopieurs de ses prospects et apporter toute garantie qu'une telle collecte a bien été réalisée conformément aux dispositions de la loi informatique et libertés.
2. Par un courrier en date du 26 juillet 2007, envoyé par recommandé avec avis de réception, la CNIL a notifié à la société X la délibération la mettant en demeure. La société n'ayant jamais réclamé la lettre qui lui était adressé, celle-ci a été retournée à la Commission. Par télécopie en date du 3 septembre 2007, accompagnée d'un courrier simple, la CNIL a une nouvelle fois adressé la notification de la mise en demeure à la société X.
La Commission a donc décidé de la lui remettre en mains propres. Le document en date du 19 septembre 2007, cacheté par la société X, atteste qu'elle a bien reçu le pli de la CNIL, relatif à la notification de la mise en demeure.
3. La société X n'a alors donné aucune suite. Le 28 septembre 2007, la CNIL a reçu un courrier de la société Y, seul document adressé en réponse à la mise en demeure de la société X, comme si cette dernière considérait que la société Y était le responsable de traitement, contrairement à ce qui ressortait de la mise en demeure.
La société Y a expliqué avoir mis en oeuvre un premier système de gestion des oppositions qui, en raison d'un problème technique, n'a pu prendre en compte qu'une partie des demandes de désinscription. Elle a ensuite précisé qu'un second numéro de télécopie a été mis en place, nécessitant une intervention humaine pour permettre de radier efficacement les personnes démarchées des listes de diffusion, sur la base desquelles s'effectue la prospection commerciale par télécopie de la société X.
4. Un rapport de sanction, qui a été proposée à la Commission, a été notifiée par huissier à la société X le 18 octobre 2007. Le rapporteur a rappelé, dans ses conclusions, que la société Y était le sous-traitant de la société X et non le responsable de traitement et souligné que la CNIL n'avait reçu aucune correspondance de la société X attestant qu'elle avait déclaré le traitement en cause, qu'elle avait supprimé les coordonnées des requérants ayant exercé leur droit d'opposition, qu'elle avait apporté toute garantie, pour l'avenir, les droits des personnes dont les données à caractère personnel font l'objet d'un traitement automatisé soient respectés. En tout état de cause, le rapporteur a considéré que le second système de gestion des oppositions mis en place par la société Y n'était pas satisfaisant, dans la mesure où la CNIL continuait à recevoir des plaintes de personnes démarchées par la société X.
Le 14 novembre 2007, la société X a adressé à la Commission ses observations en réponse.
5. Elle a précisé qu'elle traitait de manière loyale et licite les données à caractère personnel utilisées dans ses campagnes publicitaires par télécopie, dans la mesure où les coordonnées des personnes physiques démarchées figuraient sur des CD-ROM de prospection vendus dans le commerce et déclarés auprès de la CNIL par leurs éditeurs.
Lors de l'audience du 22 novembre 2007, la société X et son prestataire ont précisé n'avoir jamais eu l'intention de démarcher des personnes physiques et qu'ils n'étaient pas responsables du défaut de mises à jour des CD-ROM.
La Commission considère qu'au vu du nombre de demandes de désinscription - la société Y, ayant précisé lors de l'audience avoir recensé 8000 demandes d'opposition - la société X, responsable de traitement, aurait dû, le cas échéant avec l'aide son prestataire Y, mettre en place des mesures permettant d'éviter que les coordonnées de personnes physiques, notamment de professionnels exerçant sous leur nom personnel, ne figurent sur les listes de diffusion de télécopies publicitaires.
Si la société X a indiqué les moyens par lesquels elle s'est procurée les numéros de télécopieurs, elle n'a ainsi apporté aucune garantie permettant d'établir qu'elle collecte et traite les données à caractère personnel conformément à la loi du 6 janvier 1978 modifiée, et particulièrement de manière loyale et licite, aux termes du 1° de l'article 6 de la loi.
6. La Commission considère par ailleurs que la société X n'a apporté aucun élément de réponse attestant qu'elle aurait cessé toute prospection commerciale par télécopie auprès de personnes physiques n'ayant pas préalablement donné leur accord pour être démarchées.
7. La formation restreinte de la CNIL constate également que la société X n'a procédé à l'accomplissement d'aucune formalité préalable.
8. S'agissant du système de gestion des oppositions mis en place par le prestataire de la société X, il a été confirmé qu'une fois reçue la télécopie d'une personne souhaitant se désinscrire, une intervention manuelle est nécessaire pour la radier effectivement.
La Commission observe que si les coordonnées des personnes ayant exercé leur droit d'opposition ont pu être supprimées, il s'agit d'un système qui ne garantit pas la prise en compte automatique et immédiate des demandes d'opposition, compte tenu, en particulier, du nombre de télécopies adressées mensuellement et à la lumière du nombre de personnes demandant à être radiées (8000 depuis août 2007).
7. La Commission estime que la société X n'a pas répondu à l'ensemble des demandes figurant dans la mise en demeure dans le délai qui lui était imparti.
En conséquence, la Commission décide de faire application des dispositions des articles 45 et suivants de la loi du 6 janvier 1978 modifiée le 6 août 2004 et de prononcer à l'encontre de la société X sise [...], compte tenu de la gravité des manquements commis, une sanction pécuniaire de 5.000 euros qui sera rendue publique.
Le président,
Alex TÜRK.