GROUPE DE TRAVAIL SUR LA PROTECTION DES DONNEES A CARACTERE PERSONNEL - ARTICLE 29

Transcription

1 GROUPE DE TRAVAIL SUR LA PROTECTION DES DONNEES A CARACTERE PERSONNEL - ARTICLE /00/FR/FINAL WP 33 Groupe de travail sur la protection des données à caractère personnel - Article 29 Avis 5/2000 concernant l'utilisation des annuaires publics pour des services de recherche inversée ou multi-critère (Annuaires par numéros) Adopté le 13 juillet 2000 Le Groupe de Travail a été établi par l article 29 de la directive 95/46/EC. Il constitue le Corps consultatif indépendant de l UE sur la Protection des données et la vie privée. Ses tâches sont déterminées dans l article 30 de la directive 95/46/EC et dans l article 14 de la directive 97/66/EC. Le secrétariat est assuré par : La Commission européenne, DG Marché intérieur, Unité Libre circulation des informations et protection des données. Rue de la Loi 200, B-1049 Bruxelles/Wetstraat 200, B-1049 Brussel - Belgique - Bureau : C100-2/133 Adresse Internet :

2 Avis concernant L'utilisation des annuaires publics pour des services de recherche inversée ou multi-critère (Annuaires par numéros) 1. INTRODUCTION Dans le cadre du processus de libéralisation du secteur européen des télécommunications, de nouvelles sociétés offrent des services qui n'étaient précédemment fournis que par des opérateurs traditionnels de télécommunications. Par conséquent, de plus en plus fréquemment, de nouveaux produits sont proposés, y compris des annuaires téléphoniques sous format électronique. Ces annuaires contiennent les noms, adresses et numéros de téléphone de millions de citoyens européens des différents États membres. Ces annuaires sont lancés sur le marché dans différents pays européens et comprennent des informations à la fois sur les citoyens du pays dans lequel le service ou la société est situé(e) et sur les citoyens d'autres pays de l'ue. Les formats les plus largement utilisés pour la fourniture de ces produits sont les sites Web Internet et les CD-ROM. Une des principales innovations apportées par la publication électronique est la faculté d offrir, aisément et à faible coût, des possibilités étendues de traitement des informations incluses dans les annuaires téléphoniques. Ces possibilités font référence, essentiellement, à la faculté d'utiliser des critères de recherche plus vastes pour déceler des informations présentes dans l annuaire. En fait, ces produits offrent généralement des services de recherche inversée ou multicritère, c'est-à-dire que, outre les méthodes traditionnelles de recherche d'un annuaire téléphonique pour découvrir le numéro de téléphone d'un abonné spécifique selon son nom, ils mettent en œuvre de nouveaux services qui vont au-delà des méthodes traditionnelles de recherche, offrant des méthodes multiples d accès aux données à caractère personnel d'une personne déterminée, voire d'un groupe de personnes dont les données à caractère personnel correspondent aux critères de recherche. A titre d exemple des possibilités de ces nouveaux types de recherches, il est bon de mentionner qu'elles peuvent aller jusqu à révéler le nom et l'adresse d'un abonné au réseau téléphonique en indiquant son numéro de téléphone ou encore indiquer le nom et le numéro de téléphone des abonnés sur la base des données composant leur adresse. Ainsi, il devient techniquement possible d'obtenir les noms et les numéros de téléphone de toutes les personnes vivant dans une zone donnée (par exemple, une rue). Cette nouvelle fonctionnalité pourrait impliquer un changement significatif dans les perspectives de vie privée des citoyens en ce qui concerne les données à caractère personnel contenues dans les annuaires publics. En réalité, avant l'existence de ces nouveaux produits, lorsqu une personne communiquait son numéro de téléphone à un tiers, cela n impliquait pas, dans des circonstances normales, la possibilité de recueillir des informations supplémentaires sur la base de ces données, mais aujourd hui, ces produits étant présents sur le marché, la situation a radicalement changé : le simple fait de révéler, intentionnellement ou par hasard, un numéro de téléphone peut ouvrir la porte sur autant d informations que celles apparaissant généralement sur une carte de visite, y compris le nom et l'adresse complets, ainsi que, dans certains cas, la profession et la fonction. 2

3 Par ailleurs, le simple fait d avoir connaissance de la facturation détaillée d'un citoyen, sur laquelle seuls les numéros de téléphone appelés apparaissent, permettrait d'obtenir une liste des noms et adresses de toutes les personnes que ce citoyen a appelées au cours d'une période spécifique. De plus, l'existence d'une autre catégorie de produits contenant des informations géographiques telles que des plans de villes et des bases de données comprenant des photographies de tous les immeubles d'une ville, devrait être prise en considération. Ces informations peuvent aisément être associées à l'adresse apparaissant dans un annuaire téléphonique permettant une recherche multi-critère. Tout ceci, sans mentionner les possibilités énormes résultant de la combinaison de ces informations à celles en provenance d'autres sources, telles que les registres publiquement disponibles. Ainsi, le volume d'informations disponible suite au simple fait de disposer d un numéro de téléphone peut aller bien au-delà des attentes logiques du citoyen moyen ANALYSE JURIDIQUE La directive 97/66/CE concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des télécommunications 2 stipule dans son considérant 21 que "(...) considérant que les annuaires sont largement diffusés et accessibles au public; que, pour protéger la vie privée des personnes physiques et l'intérêt légitime des personnes morales, il importe que l'abonné soit à même de déterminer dans quelle mesure les données à caractère personnel qui le concernent sont publiées dans un annuaire; que les États membres peuvent limiter cette possibilité aux abonnés qui sont des personnes physiques ". En outre, l'article 11 établit le principe selon lequel les données à caractère personnel collectées dans des annuaires téléphoniques devraient être limitées "(...) à ce qui est nécessaire pour identifier un abonné particulier, à moins que l'abonné n'ait donné son consentement, sans la moindre ambiguïté, à ce que des données supplémentaires le concernant soient publiées. ". Outre cela, l'article 11 établit également que l'abonné "(...) doit avoir le droit d'obtenir gratuitement, sur demande, de ne pas figurer dans un annuaire, imprimé ou électronique, d'indiquer que les données le concernant ne peuvent pas être utilisées à des fins de prospection directe, que son adresse ne figure que partiellement dans l'annuaire et qu'aucune mention relative à son sexe n'y figure, lorsque cela se justifie du point de vue linguistique". En outre, la directive 95/46/CE relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel 3, dans son article 6.1 b), établit que les données à caractère personnel doivent être "collectées pour des finalités déterminées, 1 Les représentants des autorités autrichienne, danoise et portugaise en matière de protection des données ont exprimé l'opinion que dans leur pays les pratiques de recherche inversée n'ont à ce jour pas entraîné de problèmes spécifiques. Le représentant danois n'a pas pris part au vote. 2 Directive 97/66/CE du Parlement européen et du Conseil du 15 décembre 1997 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des télécommunications; JO L 24 du 30 janvier 1998, p. 1. Disponible à l'adresse: 3 Directive 95/46/EC du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; JO L 281 du 23 novembre 1995, p. 31. Disponible à l adresse : 3

4 explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités". En ce sens, le but des annuaires téléphoniques classiques est la communication du numéro de téléphone d'un abonné à partir de la connaissance du nom de cet abonné (l'adresse n est nécessaire que dans les cas d homonymes). Et l'utilisation de ces données à caractère personnel est limitée à ce but spécifique. Par conséquent, l utilisation de ces annuaires pour découvrir des données à caractère personnel concernant une personne physique à partir d'un certain numéro de téléphone pour lequel on ne connaît pas l abonné correspondant ou les noms et les numéros de téléphone de personnes vivant dans une zone déterminée, est une utilisation complètement différente et constitue donc un nouvel objectif qui n'est pas compatible avec l'objectif initial (voir l'article 6 b de la directive 95/46/CE) 4. Néanmoins, les recherches inversées peuvent s'avérer utiles et ne devraient pas être interdites en tant que telles. En vue de rendre ce traitement juste et légal, les conditions des directives doivent être satisfaites: Etant donné que l'utilisation des données à caractère personnel dans les annuaires publics pour des services de recherche inversée ou multi-critère est un nouvel objectif, les responsables du traitement des données doivent en informer les personnes concernées (articles 10 et 11 de la directive 95/46/CE). En outre, ce traitement doit satisfaire à l'un des critères fixés dans l'article 7 de la directive 95/46/CE pour être légitime. Selon l'article 7 f), un traitement pourrait être légitime s il est nécessaire pour les objectifs des intérêts légitimes poursuivis par le responsable du traitement des données ou les tiers, et si ces intérêts ne sont pas annulés par les intérêts de la personne pour protéger son droit fondamental. Afin d'établir l'équilibre des intérêts, les intérêts et les risques en jeu pour la vie privée doivent être identifiés et évalués. À cet égard, la directive 97/66/CE fournit des indications utiles. Pour autant qu il s agisse des informations minimales nécessaires pour identifier un abonné, ces informations peuvent être incluses dans des annuaires publics classiques à moins que l'abonné ne s y oppose. Néanmoins, dès qu il s agit d informations supplémentaires ou de fonctions complémentaires de l annuaire public, le consentement de la personne est requis. En ce qui concerne l'utilisation des annuaires publics pour des recherches inversées ou multi-critère, la situation est comparable et de plus, un tel traitement pourrait constituer une ingérence inattendue dans la vie privée. Il 4 Dans le même ordre d idées, le groupe de travail international sur la protection des données à caractère personnel dans le secteur des télécommunications (groupe de Berlin) a adopté lors de sa 23 ème réunion une position commune sur les annuaires par numéros, qui énonce que "l'existence des annuaires par numéros, sans règle spécifique de protection, peut donner lieu à de sérieuses menaces pour la vie privée". En outre, la position commune précise que la finalité d'un annuaire par numéros "(...) n'est pas la même que la finalité d'un annuaire téléphonique ; un annuaire téléphonique permet d'obtenir le numéro de téléphone d'une personne connue, à partir de son nom et d'un critère géographique, tandis que la finalité d'un annuaire par numéros est la recherche de l'identité et l'adresse des abonnés dont seul le numéro de téléphone est connu". De même, le groupe de Berlin affirme que la mise en œuvre d une recherche inversée dans un annuaire téléphonique sans le consentement de la personne concernée "(...) constitue une collecte abusive d'informations". Un avis encore plus circonstancié dans le même sens a été adopté par la Commission belge de protection des données en juin (Commission de la protection de la vie privée, recommandation N 01/1999 du 23 juin 1999, disponible à l adresse : 4

5 faut considérer que les intérêts de la personne à être protégée dépassent les intérêts du responsable du traitement des données ou des tiers. En conséquence, un tel traitement n est légitime que si la personne a donné son consentement informé avant toute inclusion de ses données à caractère personnel dans les annuaires publics pour des recherches inversées ou multi-critères (articles 7 a) et 2 h) de la directive 95/46/CE). Dans la pratique, cela signifie: Le consentement spécifique et informé de l'abonné doit être obtenu avant l'inclusion de ses données à caractère personnel dans tout type d'annuaire public (téléphonie classique, téléphonie mobile, courrier électronique, signatures électroniques, etc.) utilisé pour des recherches inversées ou multi-critère. Le responsable du traitement des données doit informer l'abonné notamment concernant - l'utilisation des données à caractère personnel dans les annuaires alphabétiques, - s il est prévu d utiliser ses données à caractère personnel dans des services de recherche inversée ou multi-critère, et dans quelle mesure (quel type de recherche multi-critère est autorisé), - son droit de modifier, à tout moment et gratuitement, sa décision d autoriser tout traitement de données spécifique. Le responsable du traitement des données doit aussi mettre en œuvre des mesures techniques et organisationnelles adaptées aux risques représentés par le traitement et la nature des données protégées (voir l'article 17 de la directive 95/46/CE). Cela signifie par exemple que la base de données devrait être conçue de manière à empêcher, dans la mesure du possible, les utilisations frauduleuses, telles que des modifications illégales des critères de recherche ou la possibilité de copier la base de données complète ou d'y accéder pour traitement ultérieur (les critères de recherche doivent être suffisamment précis pour n'autoriser que la présentation d'un nombre limité de résultats par page). Le résultat devrait être que le but auquel l'abonné a consenti, soit garanti également par les moyens techniques. Ces conditions ne s'appliquent pas uniquement aux opérateurs de télécommunications, mais également à d'autres acteurs, tels les éditeurs, ou encore à tous ceux qui souhaitent utiliser les données à caractère personnel pour la fourniture d'annuaires ou de services de recherche multi-critère 5. CONCLUSIONS Vu les considérations qui précèdent et en prenant en considération le cadre juridique offert par la directive 97/66/CE et la directive 95/46/CE, le groupe de travail sur la protection des personnes en ce qui concerne le traitement des données à caractère personnel déclare que le traitement des données à caractère personnel dans les annuaires par numéros ou les services de recherche multi-critère sans le consentement informé et sans ambiguïté de l abonné est abusif et illégal. Les conditions exposées plus haut doivent être réunies pour rendre un tel traitement légal. 5 Voir la définition du responsable du traitement des données dans l'article 2 d) de la directive 95/46/CE. 5

6 Le groupe de travail accueille favorablement et soutient sans réserve la proposition de projet de directive de la Commission européenne relative au traitement des données à caractère personnel et à la protection de la vie privée dans le secteur des communications électroniques 6, qui tient compte des diverses possibilités d'utilisation notamment des annuaires électroniques publics (telles que les fonctions de recherche par numéro). Le projet de directive exige de l'abonné que celui-ci donne son accord en connaissance de cause pour ce qui est d'inclure ou non ses données nominatives dans un annuaire public, finalité et volume des données étant spécifiés. La proposition de la Commission adapte ainsi les règles à la réalité étant donné que pour les nouveaux services de communication électronique tels que le GSM et le courrier électronique, la plupart des abonnés ne souhaitent pas rendre public leur numéro de téléphone mobile et adresse et que la plupart des prestataires de services ont en pratique respecté les souhaits de leurs abonnés pour de bonnes raisons commerciales. Le groupe de travail continuera de contribuer au débat sur toutes les questions concernant ce projet de directive 7. Fait à Bruxelles, le 13 juillet 2000 Pour le groupe de travail Le président Stefano RODOTA 6 Voir COM XXX (adopté le 12 juillet 2000). 7 Voir avis XXX sur la révision de la directive 97/66/CE, adopté le XXX. 6