Dans son communiqué du 2 décembre dernier, la Cnil prend acte des récentes décisions du Conseil d’Etat et annonce qu’elle va désormais procéder à l’information des personnes faisant l’objet d’un contrôle sur place de l’ensemble des éléments prévus à l’article 44 de la loi Informatique et libertés. Il en est ainsi notamment de leur droit à s’opposer ce contrôle et dans cette hypothèse, de la possibilité pour le président de la Cnil de saisir le président du tribunal de grande instance compétent afin que celui-ci autorise, par ordonnance, la mission de contrôle, y compris en faisant appel à la force publique. En effet, on se rappelle que dans deux arrêts rendus le 6 novembre 2009, le Conseil d’Etat intervient et pose une condition à la régularité des contrôles réalisés par la Cnil : les responsables de locaux professionnels doivent être informés de leur droit de s’opposer aux visites de la Cnil. Les faits sont identiques dans les deux espèces et peuvent être synthétisés par étapes :
- une société procédait à des opérations de prospection téléphonique ;
- plusieurs personnes contactées ont exercé leur droit d’opposition, souhaitant à être radié des listings de prospects de cette société ;
- en dépit de l’exercice de leur droit d’opposition, ces personnes étaient à plusieurs reprises recontactées par cette même société ;
- de nombreuses plaintes ont alors été déposées auprès de la Cnil ;
- la Cnil a procédé à une mission de contrôle dans les locaux professionnels de la société.
En effet, conformément à l’article 44 I de la loi Informatique et libertés, « Les membres de la Cnil (..) ont accès, de 6 heures à 21 heures, pour l’exercice de leurs missions, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en oeuvre d’un traitement de données à caractère personnel et qui sont à usage professionnel, à l’exclusion des parties de ceux-ci affectées au domicile privé. Le procureur de la République territorialement compétent en est préalablement informé ».
Au cours d’une première visite dans les locaux professionnels de la société, la Cnil a pu constater des infractions à la loi Informatique et libertés. Elle a ensuite mis en demeure la société de se conformer aux exigences de loi Informatique et libertés. Par courrier du 2 janvier 2006, la société a déclaré se conformer à cette mise en demeure. La Cnil a alors effectué un second contrôle le 9 février 2006 dans les locaux de la société mais cette dernière persistait à mettre en œuvre des traitements de données à caractère personnel sans se conformer à la loi Informatique et libertés. Dans le cadre d’une procédure contradictoire, une réunion a été organisée le 14 décembre 2006 pour que la société puisse s’expliquer et certains points ont ainsi pu être améliorés. Mais l’effectivité du droit d’opposition, fondé sur l’article 38 alinéa 2 de la loi Informatique et libertés, n’était toujours pas garantie.
Or, l’article 45-I de la loi Informatique et libertés prévoit que « si le responsable d’un traitement ne se conforme pas à la mise en demeure qui lui est adressée, la commission peut prononcer à son encontre, après une procédure contradictoire, les sanctions suivantes :
- une sanction pécuniaire, dans les conditions prévues par l’article 47, à l’exception des cas où le traitement est mis en oeuvre par l’État ;
- une injonction de cesser le traitement, lorsque celui-ci relève des dispositions de l’article 22, ou un retrait de l’autorisation accordée en application de l’article 25.
Dans ce contexte, la Cnil a prononcé une sanction pécuniaire de 30 000 euros à l’encontre de la société et enjoint la société de cesser la mise en œuvre du traitement de prospection commerciale. Aux fins de voir annuler cette sanction, la société a saisi le Conseil d’Etat aux motifs que la sanction repose sur des faits issus d’une procédure irrégulière. En effet, si la Cnil a le pouvoir de réaliser des missions de contrôle conformément à l’article 44-I de la loi Informatique et libertés, le responsable des locaux peut s’y opposer (article 44-II de la loi Informatique et libertés). Or, pour que l’exercice de ce droit d’opposition soit effectif, le responsable des locaux doit en être informé préalablement. A ce titre, le Conseil d’Etat a ajouté que :
- la seule mention que le contrôle était effectué en application de l’article 44 de la loi du 6 janvier 1978 modifiée ne saurait tenir lieu de l’information requise ;
- que, par suite, la société est fondée à soutenir que la sanction qui lui a été infligée, dès lors qu’elle reposait sur les faits constatés lors des contrôles effectués, a été prise au terme d’une procédure irrégulière ;
- et qu’elle doit pour ce motif être annulée.
A ce jour, la Cnil prend acte de ces décisions et procède à l’information des personnes faisant l’objet d’un contrôle sur place tout en affirmant « solennellement son intention de saisir systématiquement l’autorité judiciaire en cas d’opposition afin de permettre la vérification de la conformité des fichiers à la loi ». En effet, s’opposer à l’action de la Cnil peut être constitutif d’un délit d’entrave puni d’1 an de prison et 15 000 euros d’amende (art. 51 de la loi I&L). On se souvient que le tribunal correctionnel de Paris a condamné pour délit d’entrave, le 29 janvier 2009, le directeur général d’une société s’étant opposé au contrôle de la Cnil sans avoir qualité pour le faire. Le devoir d’information désormais imposé par les décisions du Conseil d’Etat du 6 novembre et la disposition de la loi réprimant le délit d’entrave présentent donc certaines difficultés d’articulation que seule la loi peut résoudre. C’est pourquoi la Cnil a saisi le Premier Ministre et la Chancellerie afin d’éclaircir ce point en envisageant une modification de la loi Informatique et libertés.
Cnil, rubrique Actualité, article du 2 décembre 2009.