Deliberation de la formation restreinte n du 6 octobre 2011 portant avertissement a l'encontre de la societe FONCIA GROUPE

Transcription

1 CN1L Deliberation de la formation restreinte n du 6 octobre 2011 portant avertissement a l'encontre de la societe FONCIA GROUPE La Commission nationale de l'informatique et des libertes, reunie en sa formation restreinte sous la presidence de Mme Claire DAVAL ; Etant aussi presents MM. Jean-Marie COTTERET, Claude DOMEIZEL, Sebastien HUYGHE et Dominique RICHARD, membres ; Vu la Convention n 108 du Conseil de ('Europe du 28 janvier 1981 pour Ia protection des personnes a I'egard du traitement automatise des donnees a caractere personnel ; Vu la loi n du 6 janvier 1978 relative a l'informatique, aux fichiers et aux libertes, modifiee par la loi n du 29 mars 2011, notamment ses articles 45 et 46 ; Vu le decret n du 20 octobre 2005 pris pour ]'application de Ia loi n du 6 janvier 1978 relative a l'informatique, aux fichiers et aux libertes, modifie par le decret n du 25 mars 2007 ; Vu la deliberation n du 23 mai 2006 fixant le reglement interieur de la Commission nationale de l'informatique et des libertes ; Vu la decision n C du 22 avril 2010 du President de Ia Commission nationale de l'informatique et des libertes ordonnant une mission de verification aupres de la societe FONCIA GROUPE ; Vu le proces-verbal de controle sur place n du 6 mai 2010, signe contradictoirement par la societe ; Vu le rapport de M. Jean-Paul AMOUDRY, commissaire rapporteur, notifie par porteur Ia societe FONCIA GROUPE, le 13 mai 2011, joint au courrier de convocation a la séance de la formation restreinte du 16 juin 2011 ; Vu le courrier adresse a la Presidente de la formation restreinte par Maitre conseil de la societe FONCIA GROUPE, le 15 juin 2011, indignant que Ia societe, n'ayant pas eu connaissance de la convocation a Ia séance en raison d'un dysfonctionnement interne, sollicitait «la fixation d'un nouveau calendrier pour la date de communication des observations en reponse de la societe ainsi que pour la date de la séance» ; Vu le courrier adresse a Maitre dar la Presidente de Ia formation restreinte, le 16 juin 2011, lui indignant sa decision de maintien de la séance de la formation restreinte de cc meme jour ; Vu les premieres observations orales presentees par Maitre ors de Ia seance de Ia formation restreinte du 16 juin 2011, et le renouvellement de sa demande de renvoi de ]'audience ; Commission Nationale de l'irdonnoficine of des tikeries 8 rue Vivienne CS PARIS Cedex 02 - Tel: Fax: REPUBLIQUE FRANCAISE

2 Vu la decision de la formation restreinte d'acceder a cette demande de renvoi, apros en avoir (Inhere, lors de la séance du 16 juin 2011 ; Vu le courrier adresse le 21 juin 2011 par Ia Presidente de la formation restreinte It Maitre, ('informant de ('inscription de I'affaire a I'ordre du jour de Ia séance du 5 juillet 2011 a 14h30 ; Vu le inernoire complementaire adresse par le conseil de la societe, le 27 juin 2011, en vue de la séance de la formation restreinte du 5 juillet 2011 ; Vu les autres pieces du dossier ; Ayant entendu, lors des reunions de Ia formation restreinte du 16 juin et du 5 juillet 2011 : - M. Jean-Paul AMOUDRY, commissaire, en son rapport ; - Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ; - Maitre et Maitre -, conseils de la societe FONCIA GROUPE, en la presence des representants de cette derniere ; Les representants de la societe mise en cause ayant pris la parole en dernier, A adopte Ia decision suivante : 1. FAITS ET PROCEDURE Ia societe FONCIA GROUPE (ci-apres 0 la societe ) est une holding specialisee dans l'administration de biens immobiliers (syndic de copropriete, gestion locative et transactions), detenue par le groupe BPCE (Banque populaire et Caisse d'epargne). Elle possede un reseau de 600 agences iminobilieres (franchises et filiales) reparties sur l'ensemble du territoire francais. En application de la decision no C du 22 avril 2010 du president de la Commission nationale de I'informatique et des libertes (ci-apres a CNIL» ou «la Commission >9, une delegation de la CNIL a procede a une mission de controle sur place, le 6 mai 2010, aupres de la societe. La delegation s'est attach& a examiner plusieurs traitements de donnees a caractere personnel mis en reuvre au sein de la societe, notamment celui relatif a l'administration des biens et celui afferent a Ia gestion des transactions. Elle a tele& que la societe propose aux agences finales et franchisees des outils métiers utilises dans le cadre de ces traitements, et qu'a cc titre die pilote, gere, maintient et heberge l'ensemble des bases de donnees associees a ces outils. Lors de cc contrele, la delegation a notamment procede a une extraction des zones commentaires de l'outil «TOTALIMMO» utilise pour les operations de vente ct de location, afin de recenser les biens disponibles. Lors de ]'analyse des fiches relatives a des operations de location et de transaction, contenues dans les bases de donnees des filiales de la societe, des commentaires de nature reprehensible ont ate recenses par la delegation. 2

3 Sur la foi des constats effectues lors de ce controle, le President de la Commission a dosigne M. Jean-Paul AMOUDRY, Commissaire, membre de Ia CNIL, en qualito de rapporteur, afin d'engager A l'encontre de la societe une procedure de sanction fond& sur le I de ('article 45 de la loi du 6 janvier 1978 modifiee. A ('issue de son instruction, estimant que la societe avait manqué a plusieurs obligations lui incombant en application de la loi du 6 janvier 1978 modifiee, le rapporteur detailla chacun des manquements reproches a la societe dans un rapport notifie par porteur a la societe le 13 mai Aux termes de ce rapport, le rapporteur a demande a la formation restreinte de la Commission de prononcer a l'encontre de la societe un avertissement, dont it a par ailleurs sollicito qu'i I soit rendu public. La societe, par courricr en date du 27 juin 2011, a adresse Ala Commission ses observations sur le rapport. Elle a egalement presente ses observations orales lors de la séance de la formation restreinte du 16 juin 2011, puis lors de la séance du 5 juillet MOTIFS DE LA DECISION 1. Sur la qualite de responsable de traitement de la societe FONCIA GROUPE L'article 3 de la loi du 6 janvier 1978 modifiee en aocit 2004 dispose que «le responsable d'un traitement de donnees a caractere personnel est, same designation expresse par les dispositions legislatives ou reglementaires relatives a ce traitement, la personne, 1 'autorite pub/ique, le service oul'organisme qui determine seslinalites et ses moyens». L'article 35 de cette meme loi dispose, quanta lui, que «tout personne trailant des donnees a caractere personnel pour le compte du responsable du traitement est consider& comme un sous-traitant au seas de la presente loi». En premier argument de defense, la societe affirme qu'aucun des commentaires releves lors du controle ne correspond aux activites de la societe FONCIA GROUPE proprement dite, ceux-ci figurant exclusivement dans les traitements realises au sein des filiales du groupe. Si, scion elle, la societe FONCIA GROUPE de-tient bien un connote capitalistique sur les filiales, elle n'exerce en revanche aucun controle d'activite ou de gestion sur leurs actions. De plus, elle invoque le fait qu'elle n'exerce pas d'activite de location ou de gestion de copropriete, mais des activites de «support» pour les entites et de relations-investisseurs, pour lesquelles elle n'utilise pas les applications litigieuses. Elk n'aurait, a ce titre, aucune relation avec les proprietaires, les bailleurs ou encore les locataires, ces relations &ant du ressort et de Ia responsabilito des agences. En outre, la societe indique que «les donnees collectees par les agences ne sant pas integrees dans une base unique centralisee Mins& par FONCIA GROUPE pour des finalites propres mais dans des environnements logiques separes logiquement on chacune des agences dispose de son propre environnement etanche, rendant impossible le fait, pour une agence, d'acceder aux donnees d'une ware agence». 3

4 De cc fait, elk soutient qu'elle ne saurait etre consider& comme determinant les finalites et les moyens des traitements litigieux, ni donc comme responsable de traitement an sens de ('article 3 susmentionne. De surcroit, la societe invoque le contrat regissant ses relations avec les entites integrees et franchisees du groupe pour soutenir qu'elle ne traite les donnees figurant dans les applications litigieuses que pour le compte de celles-ei, et conformement a lours instructions. Les prestations qu'elle effectue a ce titre doivent donc, scion elle, etre considerees comme de simple sous-traitance au sens de I'article 35 de la loi, les agences de FONCIA GROUPE devant de ce fait en assumer seules la responsabilite. Sur cc point, la formation restreinte releve ce qui suit. - La notion de responsable de traitement doit etre interpret& in concreto, afin de prendre en compte l'ensemble des elements permettant d'attribuer cette qualite a une entite identifide. Telle est la position constante de la CNIL sur le sujet, comme du groupe de coordination des autoritos europeennes de protection des donnees, dit «Groupe de Particle 29» ou «G29». - En ]'occurrence, la formation restreinte releve que la convention de prestation de service groupe regissant les relations entre la societe holding FONCIA GROUPE et ]'ensemble des societes du groupe, invoquee contradictoirement par la societe, mentionne clairement la «position de tete» que celle-ci detient par rapport aces dernieres. La meme convention indique que, beneficiant de (e la centralisation d'informations» et d'une «vision globale 11, la societe FONCIA GROUPE pent iffburnir aux filiales les differentes prestations de gestion, de direction, de coordination et de controle dont ales peuvent avoir besoin dans les cadre de l'organisation et de l'exercice de leurs metiers». En outre, cette convention prevoit que la societe FONCIA GROUPE, dans le cadre de la prestation de services informatiques qu'elle fournit aux societes du groupe, «sera scut maitre de la definition des moyens [materiels et humainsj a notamment du choix de ceux de ses prepose.s ou mandataires a Aire intervenir, sans que les filiales puisseni interferer de quelque maniere que ce soit dans ce choix». - Elle constate, en tout etat de cause, qu'il n'est pas conteste que les commentaires trouves par la delegation de Ia CNIL etablissent ('existence de detaillances en matiere de moderation et de controle des mentions enregistrees par ses filiales et son personnel, ainsi que ('absence de sensihilisation de ce personnel aux principes de la loi <4 Informatique et Libertes». Une idle responsabilite, a ]'evidence, incotnbe a la societe ayant le controle de la definition des finalites et des moyens du traitement, c'est-a-dire au responsable de ce traitement. De fait, Ia societe a apporte diverses mesures correctives a ('application litigieuse. A cette fin, elle a insert' un avertissement dans les zones de commentaires, precisant que celles-ci ne peuvent contenir que des donnees factuelles et non-reprehensibles au titre de Ia loi du 6 janvier 1978 modifiee. Elle a egalement cree et deploye un outil d'analyse sernantique des zones commentaires fonctionnant sur la base d'un dictionnaire de mots interdits, mis a jour et actualise, et effectue un rappel sur les zones commentaires dans la note de reference CNIL «groupc Si la societe soutient avoir mis en place ces mesures en sa qualite de sous-traitant de ses filiales, la formation restreinte considere au contraire qu'il est impossible de soutenir que la 4

5 societe FONCIA GROUPE n'a agi en ('occurrence que sous l'autorite et la responsabilite de ses 137 filiales, dont elle se contenterait d'executer les instructions. - Par ailleurs, Ia formation restreinte constate que la societe a souscrit aupres des services de la Commission, en son nom et pour son propre comptc, un engagement de conformite a la norme simplifiee n 21 relative a la gestion et aux negotiations de biens immobiliers. La societe soutient que tette declaration concerne d'autres traitements que ['application litigieuse, dont elle ne precise par ailleurs pas la nature, et conteste que cet engagement de conformite puisse reveler sa qualite de responsable de traitement en l'espece. Si la formation restreinte ne saurait se fonder sur ce seul point pour entrer en vole de condamnation, elle releve toutefois que cet argument contredit celui donne par ailleurs par Ia societe, consistant soutenir que n'a pas d'activito propre de gestion de copropriete, de gestion locative, de location, ni de vente. - Enfin, la formation restreinte releve qu'il ne ressort aucunement de ['instruction que les commentaires litigieux auraient ete saisis sous la responsabilite d'une entite du groupe autre que la societe FONCIA GROUPE. A cet egard, elle releve que Ia sedate s'est opposee, lors de l'audience du 5 juillet 2011, a ['examen contradictoire en séance des copies informatiques effectuees par la delegation de controle, alors que celles-ci auraient ete de nature a etablir ce point de maniere irrefutable. Dans ces conditions, la formation restreinte considere qu'il ressort taut des controles que de ('instruction que la societe FONCIA GROUPE dispose d'un veritable controle sur la base de donnees «TOTALIMMO», et qu'elle determine de maniere autonome la maniere dont sont traitees les informations qui soot enregistrees dans ces bases. Des lors, la societe FONCIA GROUPE se verra imputer la responsabilite du traitement litigieux. 2. Sur le grief de non-respect de ('obligation dc vciller a l'adcquation, a la pertinence et au earactere non excessif des donnees Aux termes du 3 de ('article 6 de la loi n du 6 janvier 1978 modifiee, «les donnees caractere personnel colleades doivent etre adequates, pertinentes et non excessives au regard des finalites pour lesquelles elles sont collectees et de leurs traitements ulterieurs». La formation restreinte estime qu'il est parfaitement legitime de proceder a la collecte d'informations relatives aux personnes proposant ou recherchant un bien immobilier, en vue d'adapter les prestations foumies par la societe aux situations individuelles et de faciliter Ia relation commerciale avec la clientele. En revanche, elle ne saurait admettre que soient enregistres des commentaires excessifs et inapproprios sur ces personnes, qui seraient susceptibles de porter gravement atteinte a leur vie privee. Or, parmi les commentaires concernant les clients de Ia societe qui ont ate releves lots du controle, un grand nombre d'entre eux s'avere etre a tout le moms inappropries et subjectifs, voire insultants, comme par exemple : «travaille dans to SkUnie a 3 Linens dont 2 rotvellers, to.fetnelle nest pas deelaree et son voisin serail an policier done non», «gros con», a enquete du SRPJ en cours, problemes d'alcool et expulsion d'un logement», «la be est 5

6 pour le Jils, it est adulte handicape et fail une formation de plombier au gretta», «locataire enceinte», «cas social», «Locataire indelicat (prison)!!», a Son marl est &cede, son enfant un mois plus Lard... Encore un peu sous le choc 11, «. tante de mr dont it sera heriiier au daces de celle ci (96 ans en maison de rewrite)», o etudiante dam tom avec garant», «.folle! En depression 11, «semble avoir la maladie d'alzheimer», a Etat( le.gerement alcoolisee...», «i1 senuzit l'akool lors de la visite» ou encore «seule dans la vie (sa fille est de:cedee)». La formation restreinte constate que ces commentaires portent une appreciation subjective sur les clients et prospects de la societe et sont parfois meme insultants a leur egard. De facon generale, its portent gravement atteinte a la vie privoe des personnes, qui ne sauraient tolerer quo des informations aussi intimes soient retranscrites dans les fichiers de la societe. La formation restreinte considere done que ces commentaires sont excessifs au sens du 3 de Particle 6 de la loi n du 6 janvier 1978 modifiee. La societe, si one ne conteste pas la materialite des faits reproches, se defend en revanche de toute violation des termes de cet article en contestant sa qualite de responsable du traitement TOTALIMMO», et en soutenant par consequent que ces commentaires ne lui seraient pas imputables. La formation restreinte a déjà otabli que la societe FONCIA GROUPE devait etre tenue responsable des traitements effectues dans le cadre de cet outil métier utilise par ses filiales, qu'elle pilote, ere, maintient et hoberge dans leur ensemble. Dans ces conditions, elle considere que la societe n'a pas respecte l'obligation qui lui incombait de veiller a Padequation, a la pertinence et au caractere non excessif des donnees dans la base «TOTALIMMO». 3. Sur le grief de non-respect de ('interdiction de collecter ou de traiter des donnees relatives a la sante des personnes ou faisant apparaitre leurs opinions religieuses Aux termes de l'article 8 de la loi du 6 janvier 1978 modifiee, it est interdit de collecter ou de trailer des donnees a caractere personnel qui font apparaitre, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicate des personnes, ou qui sont relatives a la sante ou a la vie sexuelle de celles-ci. Toutefois, ne sont pas soumis a cette interdiction a les traitements pour lesquels la personne concernee a donne son consentement expres vauf dans le cas of, la loi prevail que!'interdiction visee au I ne peut 'etre levee par le consentement de la personne concernee (1 )», ni a les traitements portant sur des donnees d caractere personnel rendues publiques par la personne concernee (4 )». En l'espece, it n'est pas conteste que de nombreux commentaires pouvant etre qualifies de donnees «sensibles >> an sens de cette disposition ont ate releves dans la base TOTALIMMO )0, notamment : a locataire enceinte», «semble avair la maladie d'alzheimer 11, «Monsieur a la maladie de parkinson et des problemes pour parler 11, maladie genetique», «mme est depressive», «marl malade amiante», «elle a attrape une maladie au Senegal», «Mine,nrothese hanche et Mr a eu cancer gorge, deputy difficultes respiraloires», «Sa maman est decedee en futile, 2009 (Maladie de Charcot)», «recherche un T3 proche Magalas pour se rapprocher de leur fllle (atteinte d'un cancer) 11, a Famille de fiats fres pratiquant», ou encore «proprietaire est pretre a la retraite 6

7 La societe soutient que l'enregistrement de ces donnees dans la base ne saurait lui etre reproche. Selon elk, it ne serait pas demontre que ces commentaires n'ont pas eta donnas directement par les personnes concernees dans le but de faciliter ('execution de la prestation ou d'expliquer a l'agence le contexte de (cur demande et de leurs attentes. De ce fait, Its personnes auraient consenti a ce que les donnees litigieuses fassent l'objet d'un traitement, qu'elles auraient egalement elles-memes rendues publiques, au sens des 1 et 4 du II de l'article 8 de la loi du 6 janvier 1978 modifiee. Sur ce point, la formation restreinte releve ce qui suit. Elle rappelle, au prealable, que l'article 8 susvise, qui vise a accorder une protection renforcee A des donnees considerees comme «sensibles», ne fait aucunement obstacle au fait d'enregistrer dans la base des informations relatives a des exigences specifiques, liees a un imperatif d'ordre medical tel que par exemple un handicap necessitant un rez-de-chaussee, un ascenseur ou une douche. En revanche, elle ne saurait admettre que la societe enregistrc Ia pathologic affectant precisoment la personne concernoe, en l'absence du consentement espies de celle-ci. A eel egard, Ia societe ne saurait serieusement soutenir que les personnes ayant donne oralement des informations aux commerciaux de la societe auraient, de ce fait, consenti I'enregistrement de leurs donnees dans l'outil «TOTALIMMO». La formation restreinte rappelle, a cet egard, que Ia notion dc << consentement expres», dans un tel contexte, doit s'entendre comme la manifestation d'un consentement ecrit, libre et eclaire. Elle constate en l'espece que Ia societe n'a aucunement justifie de l'existence dc tels documents. De memo, elk slime qu'il est impossible de considerer quc des informations communiquecs dans un tel contexte puissent etre interpretees comme ayant eta «rendues publiques» au sens de l'article En effet, la circonstance que les personnes fournissent des informations relevant de lour vie privet a des commerciaux de Ia societe ne revele pas pour autant Ia conscience qu'cllcs auraient que des donnēes sensibles les concernant soient enregistrees de maniere perenne dans un outil informal ique. Dans ces conditions, la societe ne peut valablement invoquer les exceptions des 1 et 4 du II de Particle 8 de la loi du 6 janvier 1978 modifiee. En outre, et en tout &at de cause, l'enregistrement de donnees de sante relatives a l'entourage familial des personnes concernees dans un tel outil-metier n'a aucune justification objective, pas davantage que celui de donnees relatives a la religion des personnes. Des lors, la formation restreinte considere que l'enregistrement dcs donndes litigieuses est contraire a Particle 8 de la loi n du 6 janvier 1978 modifiee. - Sur les manquements constates et la publicite de la decision Sans qu'il soil besoin de statuer sur les autres manquements, Ia formation restreinte considere que Ia societe FONCIA GROUPE a viola les dispositions susvisees de Ia loi du 6 janvier 1978 modifiee. 7

8 Elle prend acte du fait que la societe a mis en wuvre diverses mesures visant a provenir tout nouvel enregistrement de commentaires litigieux dans la base «TOTALIMMO» a l'avenir. Toutefois, compte tenu de Ia sensibilite des donnees traitees et de ('importance de provenir le renouvellement de tels manquements en l'espece, la formation restreinte decide d'adresser un avertissement a I'encontre de la societe. En outre, considerant que Ia societe n'a juge bon de ne reagir au rapport adresse par la CNIL que fres tardivement, en se contentant d'invoquer un dysfonctionnement interne pour expliquer son silence et de missionner un avocat Ia veille de l'audience pour assurer sa defense, la formation restreinte considere que la societe a agi avec une particuliere Dans ces conditions, elle decide egalement d'ordonner la publicite de sa decision. PAR CES MOTIFS Conformement aux articles 45 et suivants de la loi du 6 janvier 1978 modifiee, la formation restreinte de la CNIL, apres en avoir delibere, decide : - De prononcer un avertissement A I'encontre de la societe FONCIA GROUPE ; - De rendre publique sa decision. La Presidente Claire DAVAL 8