Délibération

Délibération n° 2008-163 du 12 juin 2008 prononçant une sanction pécuniaire à l'encontre de la société Neuf Cegetel

12 Juillet 2008 - Thème(s) : Internet

La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TÜRK ;

Etant aussi présents, M. Guy ROSIER, vice-président délégué, M. François GIQUEL, vice-président, Mlle Anne DEBET, membre, M. Bernard PEYRAT, membre et M. Hubert BOUCHET, membre ;

Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu  la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;

Vu  la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;

Vu  la délibération n° 2008-064 du 6 mars 2008 de la Commission nationale de l'informatique et des libertés mettant en demeure la société Club Internet, notifiée le 31 mars 2008 ;

Vu la plainte ;

Vu  le rapport de M. de GIVRY, commissaire rapporteur, notifié par huissier à la société Neuf Cegetel le 9 mai 2008 ;

Vu  les autres pièces du dossier ;

Après avoir entendu, lors de la réunion du 12 juin 2008 :
- M. Emmanuel de GIVRY, commissaire, en son rapport ;
- Mme Catherine POZZO di BORGO, commissaire adjoint du Gouvernement, en ses observations ;
- M.M directeur général de la société Neuf Cegetel ;
- M. A, juriste à la direction juridique de la société Neuf Cegetel ;
- Maître G., avocat de la société Neuf Cegetel .

Maître G. ayant pris la parole en dernier ;

I- Faits et procédure

A) Faits

1.  Mlle B., abonnée de la société CLUB INTERNET (ci-après « la société »), a souhaité exercer son droit d'accès auprès de ce fournisseur d'accès à internet, à plusieurs reprises.

La plaignante a demandé une première fois par courriel du 29 juillet 2007 que ses données à caractère personnel figurant dans les traitements mis en œuvre par la société CLUB INTERNET, lui soient transmises.

Le 31 juillet 2007, la société CLUB INTERNET a d'abord expliqué ne pas être en mesure de lui communiquer ces informations pour des raisons de confidentialité et de sécurité.

La requérante continuant à faire valoir son droit d'accès dans ses courriels des 3 et 5 août 2007, la société CLUB INTERNET a finalement expliqué pouvoir lui communiquer par téléphone ses données à caractère personnel, en appelant un numéro surtaxé, ce que la requérante a refusé de faire. Elle a par ailleurs signalé, le 5 août 2007, sa décision de saisir la Commission Nationale de l'Informatique et des Libertés (ci-après « CNIL »).

Melle B. a par la suite reçu un courrier papier en date du 15 août 2007 dans lequel la société CLUB INTERNET lui a délivré les informations qu'elle leur avait transmis lors de son abonnement, à savoir ses nom, prénom, adresse, numéro de carte bancaire et date de l'ouverture de son compte auprès de la société CLUB INTERNET.

Mlle B. a alors relevé par courriel en date du 18 août 2007 qu'il ne s'agissait pas d'une copie de l'intégralité de ses données à caractère personnel. Elle a précisé que les informations étaient erronées et incomplètes, dans la mesure où rien ne lui avait été communiqué sur ses facturations, ses paiements, ses communications et relations avec le service clientèle de la société.

N'ayant pas obtenu de réponses précises répondant à ses attentes de la part de la société CLUB INTERNET, Mlle B. a saisi la CNIL le 16 août 2007.

Dans un courrier du 26 septembre 2007, la CNIL a demandé à la société CLUB INTERNET de faire parvenir à la requérante une copie de l'ensemble des données la concernant, conformément à l'article 39 de la loi du 6 janvier 1978 modifiée.

La société CLUB INTERNET n'a apporté aucune suite à la demande de la Commission, réitérée dans ses courriers des 6 novembre et 18 décembre 2007.

B) Procédure

2.  En conséquence, par délibération n° 2008-064 du 6 mars 2008, la formation restreinte de la Commission a mis en demeure la société Club Internet, sous un délai d'un mois à compter de la notification de la décision (le 31 mars 2008) de :
- adresser à Melle B. la copie de l'intégralité des documents contenant des données à caractère personnel la concernant figurant dans le ou les fichiers de la société, conformément aux demandes formulées par la CNIL dans ses courriers ;
- informer la Commission sur les raisons pour lesquelles la demande de Melle B. d'exercer son droit d'accès n'a pas été prise en compte ainsi que celles pour lesquelles aucune réponse n'a été apportée aux courriers adressés par la CNIL
- communiquer à la CNIL l'intégralité des procédures mises en œuvre au sein de la société CLUB INTERNET visant à respecter les dispositions des articles 32 (droit à l'information), 38 (droit d'opposition), 39 (droit d'accès) et 40 (droit de rectification) de la loi du 6 janvier 1978 ;
- justifier auprès de la CNIL que l'ensemble des demandes précitées ont bien été respectées, et ce dans le délai imparti.

3.  En réponse à la mise en demeure, la société Neuf Cegetel a adressé, le 1er avril 2008, à la CNIL un courrier à l'en-tête « Neuf-Club internet », la société Neuf Cegetel ayant absorbé entre temps la société Club Internet, lui communiquant copie d'une lettre adressée à Melle B. mais n'apportant aucune réponse sur les autres points de la mise en demeure.

4. Sur la base de ces faits, une proposition de sanction pécuniaire a été notifiée par huissier à la société Neuf Cegetel le 9 mai 2008, à laquelle était jointe la convocation à l'audience du 12 juin 2008. Le rapport de sanction faisait état du manquement constaté à la loi « informatique et libertés » relatif au droit d'accès.

La société Neuf Cegetel a adressé le 28 mai 2008 ses observations écrites en réponse au rapport de M. de GIVRY.

II- Motifs de la décision :

5.  Le rapporteur a considéré que la société Neuf-Cegetel, qui a repris les activités de Club internet, n'avait pas respecté les dispositions de l'article 39 de la loi du 6 janvier 1978 modifiée. En effet, si la société a délivré à Melle B. quelques unes des informations personnelles demandées, la mise en demeure de la CNIL portait sur l'intégralité des documents contenant des données à caractère personnel sur la plaignante. Les éléments concernant la facturation et les paiements ne lui ont ainsi pas été transmis. Le courrier adressé à Melle B. comportait uniquement le récapitulatif de ses contacts (date et heure de l'appel ainsi que le motif et la solution apportée).

Par ailleurs, le rapporteur a souligné que la réponse de la société du 1er avril 2008 ne comportait aucune explication sur les raisons pour lesquelles la demande de Melle B. n'a pas été prise en compte, ni pour lesquelles aucune réponse n'a été apportée aux courriers adressés par la CNIL.

La société Neuf-Cegetel, dans son courrier du 28 mai 2008 et lors de l'audience du 12 juin 2008, en réponse au rapport de sanction, a indiqué que les dysfonctionnements constatés étaient dus à la période d'acquisition de Club internet par Neuf-Cegetel et que l'application aux clients de Club internet des procédures CNIL de Neuf Cegetel avait imposé des changements importants ayant eux-mêmes engendré des difficultés techniques dans la transmission de l'information et la centralisation des réponses aux abonnés.

La Commission prend acte des difficultés organisationnelles qui ont pu affecter les deux sociétés au moment de leur rapprochement mais considère que cela n'empêchait nullement d'apporter une réponse complète à la demande de Melle B., ni de justifier auprès de la Commission par un simple courrier les raisons pour lesquelles les demandes successives de la plaignante, ainsi que celles de la CNIL, n'avaient pas été prises en compte. La Commission rappelle que ces demandes étaient formulées dans sa mise en demeure du 6 mars 2008.

La Commission constate, à la lumière des éléments fournis par la société Neuf Cegetel qu'un courrier contenant l'ensemble des éléments sollicités n'a été adressé par la société à Melle B. que le 28 mai 2008.

6. Le rapporteur a également souligné que la société n'avait apporté aucun élément permettant de considérer qu'elle avait mis en place un système efficace de gestion du droit d'accès de ses abonnés.

La société a détaillé à la formation restreinte de la CNIL, lors de l'audience du 12 juin 2008, les mesures, figurant déjà dans son courrier du 28 mai 2008, afin de garantir le droit d'accès. Elle a également précisé la procédure de contrôle interne mise en place ainsi que les mesures prises pour permettre un exercice immédiat du droit d'opposition en matière de prospection commerciale par courriel ou par téléphone. La société a également produit à l'appui de son courrier du 28 mai 2008 les mesures d'information de ses abonnés sur les droits offerts par la loi du 6 janvier 1978 modifiée. Elle a aussi adressé deux projets de chartes « données personnelles » destinées aux prospects et aux clients.

La Commission rappelle qu'elle a déjà décidé, par une délibération n° 2007-046 du 15 mars 2007 une sanction pécuniaire de 10 000 euros contre la société Neuf-Cegetel pour ne pas avoir répondu complètement à une mise en demeure de la CNIL portant également sur une difficulté d'exercice du droit d'accès par un client. A cette occasion, la société avait, dans un courrier du 1er mars 2007, déjà présenté les mêmes mesures à la Commission. S'il n'est pas anormal que ces mesures soient identiques plus d'un après, elle constate, notamment, que les chartes « données personnelles », annoncées dans le courrier du 27 mars 2008, étaient déjà des projets en mars 2007 (point 2.2.3 du courrier du 1er mars 2007).

La Commission relève, par conséquent, à la lumière des faits qui lui ont été soumis, qu'elle ne dispose que de faibles garanties sur la réelle mise en œuvre des mesures annoncées par la société Neuf Cegetel.

8. La Commission estime que les observations, tant écrites qu'orales, ainsi formulées par la société neuf Cegetel ne sont pas de nature à supprimer totalement le manquement au respect de l'article 39 de la loi du 6 janvier 1978 modifiée justifiant le prononcé d'une sanction.

PAR CES MOTIFS, conformément à l'article 45 de la loi du 6 janvier 1978 modifiée, la CNIL décide de :
- prononcer à l'encontre de la société Neuf Cegetel une sanction pécuniaire de 7000 euros ;
- publier la présente décision sur son site internet et sur la base « Légifrance ».

Le Président

  Alex TÜRK