Source: https://www.nxtbook.fr/newpress/celog/celog-expertises-1603_411/index.php?startid=108
Timestamp: 2019-12-14 14:03:47+00:00
Document Index: 194654233

Matched Legal Cases: ["l'article 34", "l'article 34", "l'article 45", "l'article 77", "l'article 34", "l'article 34", "l'article 35"]

Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mars 2016 - n°411 - 108
DÉCISION DU 30 DÉCEMBRE 2015
(VOIR LE COMMENTAIRE P. 89)
Par une requête, un mémoire complémentaire et deux mémoires en réplique, enregistrés les 7 octobre et 18 décembre 2014,
et les 6 mars et 27 juillet 2015 au secrétariat
du contentieux du Conseil d'Etat, la société
Orange demande au Conseil d'Etat :
1. d'annuler
n° 2014-298 du 7 août 2014 par laquelle la
formation restreinte de la Commission
nationale de l'informatique et des libertés
(Cnil) a prononcé à son encontre un avertissement rendu public ;
2. de mettre à la charge de l'Etat
la somme de 5 000 euros au titre
de l'article L. 761-1 du code de
■la convention européenne de sauvegarde des droits de l'homme et des
■la Charte des droits fondamentaux
■la loi n° 78-17 du 6 janvier 1978 ;
2005-1309
20 octobre 2005 ;
■le code de justice administrative ;
Après avoir entendu en séance
■le rapport de M. Jacques Reiller,
■les conclusions de Mme Emilie
Bokdam-Tognetti, rapporteur public ;
La parole ayant été donnée, avant
et après les conclusions, à la
SCP Piwnica, Molinié, avocat de la
société Orange ;
Vu la note en délibéré, enregistrée
le 8 décembre 2015, présentée par la
1. Considérant qu'il résulte de l'instruction que, le 18 avril 2014, une
intrusion illicite sur le serveur d'une
société sous-traitante de la société
Gutenberg, prestataire de services
de la société Orange, a permis d'accéder aux données à caractère
personnel de 1,3 million de clients et
prospects de cette dernière ; que cet
incident a été notifié par la société
Orange à la Commission nationale
de l'informatique et des libertés (Cnil)
le 25 avril 2014, conformément aux
dispositions de l'article 34 bis de la
loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
qu'à la suite des constatations opérées
par une mission de contrôle conduite
par une délégation de la Cnil dans les
locaux de ces trois sociétés, une procédure de sanction a été ouverte, visant
la société Orange ; qu'au terme de la
procédure contradictoire, la formation restreinte de la Cnil a prononcé
contre la société Orange, le 7 août 2014,
un avertissement pour méconnaissance des obligations prévues par
l'article 34 de la loi du 6 janvier 1978,
qu'elle a décidé de rendre public ;
adjoint ainsi que des représentants de
la société Orange ; qu'aucun texte ni
aucun principe n'imposaient que cette
délibération mentionne également
que la formation restreinte a statué
hors la présence du rapporteur et du
commissaire du Gouvernement ; qu'au
surplus, en l'absence de tout élément
en ce sens produit par la société
requérante, il ne résulte pas de l'instruction que l'obligation prévue par
les dispositions précitées du décret
du 20 octobre 2005 ait été méconnue ;
qu'ainsi le moyen tiré de ce que la délibération attaquée aurait été irrégulièrement prise ne peut qu'être écarté ;
2. Considérant, en premier lieu,
qu'aux termes du premier alinéa du I
de l'article 45 de la loi du 6 janvier 1978,
dans sa rédaction issue de la loi du
29 mars 2011 relative au Défenseur
des droits : « La formation restreinte
de la Commission nationale de l'informatique et des libertés peut prononcer, après une procédure contradictoire, un avertissement à l'égard du
responsable d'un traitement qui ne
respecte pas les obligations découlant de la présente loi. Cet avertissement a le caractère d'une sanction. » ;
que le troisième alinéa de l'article 77
du décret du 20 octobre 2005 pris
pour l'application de la loi n° 78-17
du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801
du 6 août 2004, dans sa rédaction
issue du décret du 29 décembre 2011
relatif aux pouvoirs de contrôle et
de sanction de la commission nationale de l'informatique et des libertés
dispose : « La formation restreinte
statue hors la présence du rapporteur
et du commissaire du Gouvernement » ;
4. Considérant, en deuxième lieu,
que les deux premiers alinéas du II de
l'article 34 bis de la loi du 6 janvier 1978
disposent : « En cas de violation de
données à caractère personnel, le fournisseur de services de communications
électroniques accessibles au public
avertit, sans délai, la Commission
libertés. / Lorsque cette violation peut
porter atteinte aux données à caractère personnel ou à la vie privée d'un
abonné ou d'une autre personne
physique, le fournisseur avertit
également, sans délai, l'intéressé. » ;
3. Considérant qu'il ressort des
mentions de la délibération attaquée
que, lors de la séance du 3 juillet 2014
de la formation restreinte, ont été
entendus le commissaire rapporteur,
5. Considérant, par ailleurs, qu'aux
termes du premier alinéa de l'article 34
de la même loi, dans sa rédaction applicable : « Le responsable du traitement
est tenu de prendre toutes précautions utiles, au regard de la nature
des données et des risques présentés
par le traitement, pour préserver la
sécurité des données et, notamment,
empêcher qu'elles soient déformées,
endommagées, ou que des tiers non
autorisés y aient accès. » ; qu'enfin,
aux termes de l'article 35 de la même
loi : « Les données à caractère personnel ne peuvent faire l'objet d'une
opération de traitement de la part d'un
sous-traitant, d'une personne agissant sous l'autorité du responsable du