Décision n° 2011-037 du 22 décembre 2011 mettant en demeure X 

Nature: Mise en demeure

La Présidente de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, modifiée, notamment son article 45 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, 
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu les plaintes n°11004323 du 11 février 2011 et n°11026304 du 12 octobre 2011 ;
Vu la décision n° 2011-261C du 27 septembre 2011 de la présidente de la Commission nationale de l'informatique et des libertés de procéder à une mission de contrôle auprès de X ;
Constate les faits suivants :
X est un établissement public à caractère industriel et commercial assurant exclusivement la location de logements sociaux. 
Rattaché à la ville de [...], X gère environ 125 000 logements [...].
Il s'organise autour de six directions territoriales, elles-mêmes divisées en une trentaine de sites administratifs, disposant chacun d'un secteur de proximité au sein duquel les gardiens d'immeuble jouent le rôle d'interface privilégiée avec les locataires.
Environ 1 200 gardiens d'immeuble sont employés par X.
Le 11 février 2011, la Commission nationale de l'informatique et des libertés (ci-après la "CNIL" ou la "Commission"), a été saisie par une association de locataires qui s'est inquiétée du fait que les gardiens d'immeubles aient accès à des informations relatives aux impayés de loyer ou aux coordonnées de compte bancaire des locataires (plainte n°11004323).
Dans le cadre de l'instruction de cette plainte, le Directeur général de X a adressé un courrier à la Commission indiquant notamment que les salariés concernés ont suivi une formation et sont habilités [à avoir accès à telles informations] conformément à leur contrat de travail et à l'accord collectif d'entreprise relatif aux gardiens de X.
Depuis, la Commission a également été saisie de faits similaires par un autre groupement de locataires de X qui s'inquiétait tout particulièrement d'un projet visant à permettre à tous les gardiens de X d'accéder à des données personnelles relatives à la vie privée des locataires (plainte n°11026304).
En application de la décision n° 2011-261C du 27 septembre 2011 de la Présidente de la Commission, une délégation de la CNIL a procédé à des missions de contrôle sur place dans les locaux du siège de X le 4 octobre 2011, dans les locaux de [...] le 19 octobre 2011 et au sein de deux loges de gardien d'immeuble les 27 et 28 octobre 2011.
La délégation a concentré ses vérifications sur le traitement de données à caractère personnel ayant pour finalité la gestion locative, principalement mis en œuvre par l'intermédiaire de l'outil informatique [...] .
Ce traitement a fait l'objet d'une déclaration enregistrée le 12 juillet 2010 auprès de la Commission (dossier n°863276). Parmi les destinataires déclarés, figurent les personnes habilitées en interne selon les termes de cette déclaration.
La délégation a constaté que ce traitement permet d'une part, d'assurer la gestion locative stricto sensu, de l'entrée dans les lieux du locataire jusqu'à sa sortie, et d'autre part, de traiter des réclamations des locataires par le biais de l'application spécifique [...] CONTENTIEUX dont les profils d'accès sont plus restreints que ceux résultant du logiciel [...].
La délégation a été informée, qu'en 2010, X a lancé une vague d'informatisation des loges des gardiens, afin que ceux-ci disposent notamment du logiciel de gestion locative [...]. Cette informatisation doit se poursuivre au cours de l'année 2012.
La délégation a été informée que 700 à 750 gardiens sont concernés par cette opération d'informatisation sur la base du volontariat. En revanche, 105 gardiens ont refusé expressément l'informatisation de leur loge.
Au 15 juin 2011, 306 loges étaient équipées sur un total d'environ 1 200.
La délégation a été informée que 322 gardiens ont reçu une formation spéciale relative à l'outil informatique devant équiper leur loge.
La délégation a constaté que les gardiens d'immeuble de X accèdent, à partir de leur profil, à des données relatives aux locataires. La nature et l'étendue des informations auxquelles chaque gardien a accès varient selon qu'elles concernent des locataires situés dans ou en dehors de son secteur géographique.
- S'agissant des locataires situés en dehors de son ressort, la délégation a constaté que le gardien dispose d'un accès à la liste de l'ensemble des locataires de X au moyen de la saisie d'un nom.
Lors d'une recherche effectuée à partir du nom [...], la délégation a pu constater que le gardien avait accès à une liste répertoriant tous les homonymes concernés comportant, pour chaque locataire, les nom, prénom, date de naissance, adresse, dates d'entrée dans les lieux et de sortie éventuelle.
La délégation a également constaté que le gardien ne pouvait pas consulter les informations figurant dans le compte du locataire dès lors qu'il se situait en dehors de son ressort.
- S'agissant des locataires situés dans son ressort géographique, la délégation a constaté que le gardien avait accès, à partir de l'onglet gestion locative , aux comptes des locataires comportant, en particulier, les données suivantes : leur situation familiale, leur profession, leur date de naissance, leur relevé d'identité bancaire, et le détail de leur compte locatif (échéance de loyers et prélèvements).
De même, au moyen du même onglet "gestion locative", le gardien accède à une liste de comptes de locataires faisant l'objet d'une exemption dans le règlement de leur loyer, qui mentionne également des motifs d'exemption. Apparaissent notamment les mentions : "lettre contentieuse" ou "prov. créances douteuses". 
La délégation a constaté qu'à partir de la consultation de la liste des locataires concernés par une exemption de loyers, et en particulier du motif "lettre contentieuse", le gardien accède au numéro du compte locataire, au nom, prénom, à la date de début et de fin de l'exemption et au motif de l'exemption.
Outre l'informatisation des loges, la délégation s'est également attachée à vérifier le traitement et le contenu des dossiers de locataires, lors d'une mission de contrôle effectuée dans les locaux de [...]. 
La délégation a été informée que lorsque la demande de logement est validée par la Commission d'attribution de X, le dossier est directement transmis par une correspondance interne de X au secteur de proximité dont le locataire dépend.
La délégation a pu prendre connaissance de plusieurs dossiers de locataires sous format papier. 
La délégation a été informée que les dossiers des locataires ayant quitté X étaient conservés un an dans le bureau des chargés de gestion locative avant d'être transmis au service des archives de X.
La délégation a cependant constaté la conservation d'un dossier d'un précédent locataire en date de l'année 1994 dans le dossier d'un locataire actuel, comprenant des données à caractère personnel et notamment les pièces suivantes : le congé donné à X par le précédent locataire, les échanges de correspondances avec X, un état des lieux, une attestation de responsabilité générale et une note de service relative à une plainte d'un autre précédent locataire en date de l'année 1982.
- S'agissant de la gestion des réclamations et des contentieux avec les locataires, la délégation a constaté que ces dernières étaient intégrées dans l'application [...] CONTENTIEUX du logiciel [...].
La délégation a été informée que les réclamations d'ordre technique sont d'abord traitées par le gardien. Par ailleurs, les réclamations liées à des troubles du voisinage recueillies par le gardien sont transmises au secteur de proximité pour traitement.
La délégation a été informée que les gardiens ont la possibilité d'avertir leur hiérarchie de tout contentieux avec un locataire, soit oralement auprès du responsable de secteur concerné, soit via leur messagerie électronique installée sur leur poste de travail pour les loges informatisées, soit en passant par l'application [...].
La délégation a pu constater, lors de la mission de contrôle réalisée le 27 octobre 2011 dans une loge de gardien située [...], que la gardienne de l'immeuble utilisait sa messagerie professionnelle pour communiquer à sa hiérarchie, la responsable du secteur de proximité, les demandes de travaux et réclamations.
Les zones commentaires et bloc-notes extraites de l'application [...] font apparaître la présence d'informations relatives à la santé des personnes ("séropositif", "cancer", "alzeimer"), la présence d'informations relatives aux infractions, ("de violence dans le travail notamment harcèlement sexuel", "vit ailleurs accusé de viol par Mme et a gagné le procès voir dossier" , "violence avec arme par destination de M. [A] le patron", "22 08 11 reçu M. remis dépôt plainte suite violence conjugal et éviction"), ainsi que des commentaires tels que "n'est pas de nationalité française", "alcoolique".
La délégation s'est également attachée à vérifier les mesures de sécurité mises en œuvre au sein de X.
Elle a constaté que les gardiens des immeubles appartenant à X accèdent à des données à caractère personnel traitées dans le cadre de la gestion locative de l'application [...].
La délégation a constaté que la gestion des traces sur l'application [...] est uniquement d'ordre technique, elle indique la résolution d'incidents, la recherche d'erreurs, la date et l'heure de connexion.
La délégation a été informée qu'il n'y avait pas de traces de la consultation des fiches des locataires. Il n'est pas possible d'identifier la personne qui accède à une fiche, ni de vérifier l'opération qui a pu être réalisée sur la fiche, que cette fiche ait été simplement lue ou amendée.
Sur la qualification de ces faits au regard de la loi du 6 janvier 1978
Un manquement à l'obligation d'accomplir les formalités préalables à la mise en œuvre de traitements
X met en œuvre, par l'intermédiaire de l'application [...], un traitement de gestion des réclamations portant notamment sur des données relatives à des infractions, condamnations et mesures de sûreté relatives à ses locataires dans le cadre de ses missions de sécurité et de tranquillité des locaux.
Or, si un tel traitement est envisageable au regard de l'article 9 de la loi du 6 janvier 1978 modifiée, X étant une personne morale de droit privé gérant un service public agissant dans le cadre des ses attributions légales, c'est à la condition d'en obtenir l'autorisation préalable auprès de la Commission. Néanmoins, aucune demande d'autorisation n'a été déposée par X à ce sujet.
Les faits précités constituent un manquement aux obligations du chapitre IV de la loi n° 78-17 du 6 janvier 1978 modifiée prévoyant l'accomplissement de formalités préalables auprès de la CNIL avant la mise en œuvre d'un traitement automatisé de données à caractère personnel.
En vertu de l'article 226-16 du code pénal "Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu'aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni de cinq ans d'emprisonnement et de 300 000 € d'amende".
Un manquement à l'obligation de veiller au caractère adéquat, pertinent et non excessif des données
Certains commentaires figurant dans l'application [...] apparaissent non pertinents et inadéquats au regard de la finalité de gestion locative. Les mentions subjectives telles que "comportement agressif", "tentative de suicide", "personne très difficile à vivre de tempérament agressif et violent très procédurier", "alcoolique", "n'est pas de nationalité française", "ancien SDF addiction boisson", "Mr. est violent", "violence conjugale" ne paraissent pas utiles à la mise en œuvre d'un tel traitement. 
Les faits précités constituent un manquement aux obligations découlant du 3° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 qui dispose que "les données à caractère personnel collectées doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs". 
Un manquement à l'obligation de définir une durée de conservation des données
Bien que X ait indiqué à la délégation conserver pendant une durée d'une année les dossiers sous format papier des locataires ayant quitté X avant de les archiver, la délégation, en procédant par sondage, a constaté la présence du dossier datant de 1994 d'un précédent locataire comportant des données nominatives intégrées dans le dossier d'un locataire actuel.
Les faits précités constituent un manquement aux obligations découlant du 5° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 qui dispose que "les données à caractère personnel sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées". 
Il convient de relever que ces faits sont susceptibles de constituer l'infraction prévue à l'article 226-20 du code pénal qui punit de cinq ans d'emprisonnement et de 300 000 € d'amende, le fait de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, sauf si cette conservation est effectuée à des fins historiques, statistiques ou scientifiques dans les conditions prévues par la loi.
Un manquement à l'interdiction de collecter ou de traiter des données à caractère personnel qui sont relatives à la santé des personnes
X enregistre des commentaires sur la santé des locataires et de leur entourage familial. S'il apparait légitime de connaitre des informations générales d'ordre médical afin notamment d'attribuer un logement plus adapté en cas de mobilité réduite, l'enregistrement détaillé des pathologies ou des traitements médicaux apparait contraire aux dispositions précitées. Les mentions telles que "séropositif", "cancer", "personne cardiaque", "sous chimiothérapie", "alzeimer aveugle", "maladie de parkinson", "souffrant d'une pathologie respiratoire et chronique", "dépression hôpital psychiatrique", "fils cancer Mme malade des poumons", "cancer des intestins opération du cerveau" ne peuvent légitimement apparaître dans un tel traitement. 
Les faits précités constituent un manquement à l'article 8 de la loi du 6 janvier 1978 modifiée, qui interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci.
Un manquement à l'obligation d'assurer la sécurité des données
- Sur l'accès aux données à caractère personnel des locataires par des tiers non autorisés :
Selon la déclaration effectuée auprès de la Commission, le traitement [...] dont la finalité est la gestion locative s'adresse au personnel habilité dont devraient faire partie, selon X, les gardiens d'immeuble disposant d'une loge informatisée.
En l'espèce, la délégation a constaté que les gardiens ont accès, aux données des locataires relatives à leur situation familiale, à leur date de naissance, à leur profession, au détail de leur compte locatif (montant des loyers et charges, échéances et prélèvements) et à leur relevé d'identité bancaire.
Aux termes de l'accord collectif d'entreprise relatif aux gardiens de X en date du 20 novembre 2000, les activités principales des gardiens sont l'entretien du patrimoine, les relations avec les locataires et la surveillance technique et la maintenance. 
Il est également prévu, au titre de ses missions, que le gardien assure la gestion locative , à savoir : assurer et participer aux états des lieux d'entrée et de sortie des logements, collecter les titres de paiements, contribuer aux actions de recouvrement et collecter et diffuser des documents administratifs.
On doit relever que la gestion locative d'un immeuble ne peut qu'être accessoire à l'activité d'un gardien dont les fonctions sont définies par l'article L. 7211-2 du code du travail qui précise qu' "est considéré comme concierge, employé d'immeubles, femme ou homme de ménage d'immeuble à usage d'habitation, toute personne salariée par le propriétaire ou par le principal locataire et qui, logeant dans l'immeuble au titre d'accessoire au contrat de travail, est chargée d'en assurer la garde, la surveillance et l'entretien ou une partie de ces fonctions".
La fonction, accessoire, de gestion locative attribuée aux gardiens de X telle que prévue par l'accord collectif d'entreprise du 20 novembre 2000 doit donc être limitée à la collecte, pour transmission à X, de documents administratifs ou des paiements et à l'information des locataires en cas de retards de paiements.
En aucun cas, cette fonction ne saurait conférer aux gardiens la qualité de tiers autorisés aux données traitées par X dans le cadre de sa gestion locative et, ainsi, leur permettre d'accéder à des informations relatives à la vie privée des locataires telles que leur situation familiale, leur date de naissance, leur profession, le détail de leur compte locatif (montant des loyers et charges, échéances et prélèvements) et leur relevé d'identité bancaire.
- Sur la sécurité du traitement [...] :
La délégation a constaté que l'application [...] ne comporte pas de mesures de traçabilité des actions. 
Il n'est dès lors pas possible d'identifier a posteriori un accès frauduleux aux données personnelles, ni d'en déterminer l'origine, alors même que les données relatives à la vie privée des locataires doivent rester confidentielles et ne doivent pas pouvoir être altérées.
Les faits précités constituent un manquement à l'article 34 de la loi n° 78-17 du 6 janvier 1978 disposant que "Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès".
Il convient de rappeler que l'article 226-17 du code pénal dispose également que : "Le fait de procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l'article 34 de la loi n°78-17 du 6 janvier 1978 précitée est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende".
En conséquence, la Présidente de la CNIL met en demeure X, situé [...], sous un délai de deux mois à compter de la notification de la présente délibération, de : 
- procéder à une demande d'autorisation s'agissant du traitement de données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté ; excepté le cas dans lequel X est victime d'une infraction, limiter le traitement aux données strictement nécessaires pour assurer la sécurité et la tranquillité des locaux ; en tout état de cause, veiller à l'exactitude de ces données, notamment en mentionnant leur origine ;
- supprimer, et ne plus enregistrer dorénavant, de commentaires non adéquats, non pertinents et excessifs sur les locataires ;
- ne plus enregistrer d'informations détaillées sur la santé des locataires et de leur entourage familial ;
- procéder à l'archivage des données dont la conservation n'est pas justifiée, en particulier s'agissant des traitements manuels relatifs à la gestion locative des locataires n'occupant plus les lieux depuis plus d'un an ;
- prendre des mesures de sécurité pour remédier aux lacunes relevées par la délégation de la Commission et assurer la sécurité des traitements de données à caractère personnel mis en œuvre ; en particulier, ne plus transmettre à des tiers non autorisés, à savoir les gardiens d'immeuble, des données à caractère personnel qui ne doivent être traitées que par le personnel habilité de X dans le cadre de la gestion locative, et veiller à ce qu'un système de traçabilité soit mis en place sur l'application [...] ;
- justifier que l'ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l'issue de ce délai, si X s'est conformé à la présente mise en demeure, la Présidente de la CNIL considérera que la procédure est close et lui adressera un courrier en ce sens. 
À l'inverse, si, au vu de l'ensemble des éléments qui auront été portés à sa connaissance, la Présidente constate que X ne s'est pas conformé à la présente mise en demeure, elle désignera un rapporteur qui pourra demander à la formation restreinte de prononcer l'une des sanctions prévues par l'article 45 de la loi du 6 janvier 1978 modifiée. 
 
 
La Présidente,
 
Isabelle FALQUE-PIERROTIN