Conseil d’État - Décision n° 353193 du 12 mars 2014 concernant la délibération de la CNIL n° 2011-203 du 21 septembre 2011 à l’encontre de la société PAGES JAUNES

Conseil d’État

N° 353193

ECLI:FR:CESSR:2014:353193.20140312

Mentionné aux tables du recueil Lebon

10ème et 9ème sous-sections réunies

M. Thierry Carriol, rapporteur

Mme Delphine Hedary, rapporteur public

SCP PIWNICA, MOLINIE, avocats

Lecture du mercredi 12 mars 2014

REPUBLIQUE FRANCAISE

AU NOM DU PEUPLE FRANCAIS

Vu la requête sommaire et le mémoire complémentaire, enregistrés les 7 octobre 2011 et 9 janvier 2012 au secrétariat du contentieux du Conseil d’Etat, présentés pour la société Pages Jaunes Groupe, dont le siège est 7, avenue de la Cristallerie à Sèvres (92317 cedex) ; la société demande au Conseil d’Etat :

- d’annuler la délibération n° 2011-203 du 21 septembre 2011 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL), a, d’une part, prononcé un avertissement à son encontre et, d’autre part, décidé de rendre public cet avertissement ;
- de mettre à la charge de l’Etat la somme de 4 000 euros au titre des dispositions de l’article L. 761-1 du code de justice administrative ;

Vu les autres pièces du dossier ;

Vu la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;

Vu le code des postes et des communications électroniques ;

Vu la loi n° 78-17 du 6 janvier 1978, modifiée notamment par la loi n° 2011-334 du 29 mars 2011 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 ;

Vu la décision du 26 mars 2012 par laquelle le Conseil d’Etat, statuant au contentieux n’a pas renvoyé au Conseil constitutionnel la question prioritaire de constitutionnalité posée par la société Pages Jaunes Groupe ;

Vu le code de justice administrative ;

Après avoir entendu en séance publique :

- le rapport de M. Thierry Carriol, Maître des Requêtes en service extraordinaire,

- les conclusions de Mme Delphine Hedary, rapporteur public ;

La parole ayant été donnée, avant et après les conclusions, à la SCP Piwnica, Molinié, avocat de la société Pages Jaunes Groupe ;

1. Considérant que, par une décision du 20 mai 2010, prise sur le fondement du f du 2° de l’article 11 et de l’article 44 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, le président de la Commission nationale de l’informatique et des libertés (CNIL) a décidé de faire procéder par des agents de cette commission à des vérifications sur le traitement mis en œuvre par la société requérante ; que les contrôles sur place ont été opérés les 27 mai et 1er juin 2010 et ont donné lieu à l’établissement de procès-verbaux ; que, sur la base de ces constatations, le président de la CNIL a désigné, sur le fondement des dispositions de cette même loi dans la rédaction issue de la loi du 6 août 2004, un membre de la commission chargé d’établir un rapport en vue de l’éventuelle mise en œuvre d’une procédure de sanction prévue à l’article 45 de la loi ; que ce rapport a été notifié à la société requérante le 3 mars 2011, annonçant un prochain examen de l’affaire par la formation restreinte de la CNIL ; que le 8 avril 2011, le secrétaire général de la CNIL a informé la société requérante qu’en raison de l’entrée en vigueur de la loi du 29 mars 2011, modifiant la loi du 6 janvier 1978, la séance de la formation restreinte était reportée ; que le président de la CNIL a, par une décision du 18 avril 2011, désigné un nouveau rapporteur ; que, le 6 mai 2011, la CNIL a informé la société Pages Jaunes Groupe de l’inscription de son affaire à la séance du 9 juin 2011 de la formation restreinte, et lui a indiqué que le rapporteur initial de l’affaire n’y siégerait pas ; que, par une délibération n° 2001-203 du 21 septembre 2011, la formation restreinte de la CNIL a infligé à la société Pages Jaunes Groupe, sur le fondement des dispositions de la loi du 6 janvier 1978 dans sa rédaction issue de la loi du 29 mars 2011, un avertissement qu’elle a décidé de rendre public ; que la société Pages Jaunes Groupe demande l’annulation de cette décision ;

Sur la légalité externe :

En ce qui concerne le principe d’impartialité et d’indépendance :

2. Considérant qu’aux termes du premier paragraphe de l’article 6 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales : " Toute personne a droit à ce que sa cause soit entendue (...) publiquement (...) par un tribunal indépendant et impartial établi par la loi, qui décidera, soit des contestations sur ses droits et obligations de caractère civil, soit du bien-fondé de toute accusation en matière pénale dirigée contre elle " ;

3. Considérant qu’aux termes du I de l’article 45 de la loi du 6 janvier 1978 : " La formation restreinte de la Commission nationale de l’informatique et des libertés peut prononcer, après une procédure contradictoire, un avertissement à l’égard du responsable d’un traitement qui ne respecte pas les obligations découlant de la présente loi. Cet avertissement a le caractère d’une sanction. " ; qu’elle peut également prononcer des sanctions pécuniaires pouvant aller jusqu’à 300 000 euros ; qu’en vertu de l’article 46 de la même loi : " les décisions prononçant une sanction peuvent faire l’objet d’un recours de pleine juridiction devant le Conseil d’Etat. " ; que la formation restreinte de la CNIL, lorsqu’elle est saisie d’agissements pouvant donner lieu à l’exercice de son pouvoir de sanction, doit être regardée comme décidant du bien-fondé d’accusations en matière pénale au sens de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ; qu’il s’ensuit, et alors même qu’elle n’est pas une juridiction au regard du droit interne, que le moyen tiré de ce qu’elle aurait statué dans des conditions qui ne respecteraient pas le principe d’impartialité rappelé à l’article 6 de la convention peut, eu égard à la nature, à la composition et aux attributions de cet organisme, être utilement invoqué à l’appui d’un recours formé devant le Conseil d’Etat à l’encontre de sa décision ;

4. Considérant que, tant la délibération attaquée que les actes de procédure postérieurs au 31 mars 2011 sur lesquels elle repose, sont fondés sur les dispositions des articles 13, 17, 45 et 46 de la loi du 6 janvier 1978, dans leur rédaction issue de la loi du 29 mars 2011 sur le Défenseur des droits ; que ces dispositions assurent la séparation des fonctions d’instruction et de sanction au sein de la CNIL ; qu’il résulte de l’instruction que la requérante a été informée, dans le cadre de la procédure contradictoire, de l’entrée de vigueur de ces nouvelles dispositions, de la désignation par voie de conséquence d’un nouveau rapporteur, de la circonstance que le premier rapporteur désigné, élu membre de la formation restreinte chargée de se prononcer sur les sanctions prévues par l’article 45 de la loi du 6 janvier 1978, ne siégerait pas au sein de cette dernière, ainsi que de la composition de celle-ci ; que ni le président, ni aucun des deux rapporteurs n’a participé à la délibération ; que, par suite, les moyens tirés de la violation du premier paragraphe de l’article 6 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ne peuvent qu’être écartés ;

En ce qui concerne le respect des droits de la défense :

5. Considérant qu’aux termes de l’article 46 de la loi du 6 janvier 1978 : " Les sanctions prévues au I et au 1° du II de l’article 45 sont prononcées sur la base d’un rapport établi par l’un des membres de la Commission nationale de l’informatique et des libertés, désigné par le président de celle-ci parmi les membres n’appartenant pas à la formation restreinte. Ce rapport est notifié au responsable du traitement, qui peut déposer des observations et se faire représenter ou assister. Le rapporteur peut présenter des observations orales à la formation restreinte mais ne prend pas part à ses délibérations (...) " ;

6. Considérant qu’il résulte de l’instruction que, par une décision du président de la CNIL du 18 avril 2011, M. B...A...a été régulièrement désigné pour préparer le rapport sur la base duquel la formation restreinte de la CNIL devait se prononcer sur le projet de sanction envisagé à l’encontre de la société Pages Jaunes Groupe ; que ce rapport a été notifié à cette dernière par une lettre du 6 mai 2011, remise par porteur, qui lui laissait un délai d’un mois pour produire ses observations, l’invitant à prendre connaissance des pièces du dossier avec le conseil de son choix ; que M. B...A...a présenté son rapport lors de la séance de la formation restreinte du 5 juillet 2011 qui a donné lieu à la délibération du 21 septembre 2011 ; que, par suite, la société Pages Jaunes Groupe n’est pas fondée à soutenir que les droits de la défense auraient été méconnus et que la décision attaquée serait entachée d’irrégularité, pour n’avoir pas été prise sur le fondement du rapport entendu lors de cette séance ;

Sur la légalité interne de la délibération en tant qu’elle prononce un avertissement :

7. Considérant qu’aux termes de l’article 6 de la loi du 6 janvier 1978 : " Un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : / 1° Les données sont collectées et traitées de manière loyale et licite ;/ 2° Elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités (...) ;/3° Elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ; /4° Elles sont exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées (...) " ; qu’aux termes de l’article 32 : " I.- La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l’a été au préalable, par le responsable du traitement ou son représentant : /1° De l’identité du responsable du traitement et, le cas échéant, de celle de son représentant ; /2° De la finalité poursuivie par le traitement auquel les données sont destinées ; /3° Du caractère obligatoire ou facultatif des réponses ; /4° Des conséquences éventuelles, à son égard, d’un défaut de réponse ; /5° Des destinataires ou catégories de destinataires des données ; /6° Des droits qu’elle tient des dispositions de la section 2 du présent chapitre ; /7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d’un Etat non membre de la Communauté européenne. / Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1°, 2°, 3° et 6°. (...) / III.- Lorsque les données à caractère personnel n’ont pas été recueillies auprès de la personne concernée, le responsable du traitement ou son représentant doit fournir à cette dernière les informations énumérées au I dès l’enregistrement des données ou, si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données. /Lorsque les données à caractère personnel ont été initialement recueillies pour un autre objet, (...) Ces dispositions ne s’appliquent pas non plus lorsque la personne concernée est déjà informée ou quand son information se révèle impossible ou exige des efforts disproportionnés par rapport à l’intérêt de la démarche " ;

8. Considérant que la société conteste chacun des cinq manquements retenus par la formation restreinte dans la délibération attaquée ;

En ce qui concerne le premier motif, tiré de la collecte déloyale des données et de l’absence d’information des personnes quant à l’indexation de leurs profils sur les réseaux sociaux :

9. Considérant qu’il est constant que les membres des réseaux sociaux " Copains d’avant ", " Facebook ", " Twitter ", " Trombi ", " Linkedin " et " Viadeo " n’ont été informés de l’extraction de leurs données à caractère personnel vers le service d’annuaire " Pages Blanches " ni au moment de l’enregistrement des données, ni lorsque celles-ci ont été communiquées pour la première fois à un tiers ; que la circonstance que, dans le cadre de leur politique de confidentialité, certains de ces réseaux sociaux auraient averti leurs membres de la possible indexation de ces données par des moteurs de recherche ne saurait faire regarder ceux-là comme déjà informés, au sens des dispositions précitées du III de l’article 32 de la loi du 6 janvier 1978, de la possible agrégation de leurs données à caractère personnel à un service d’annuaire ; qu’eu égard à l’intérêt qui s’attache au respect des libertés et droits fondamentaux des vingt-cinq millions de personnes touchées par le traitement litigieux, et notamment au respect de leur vie privée, la société Pages Jaunes Groupe n’est pas fondée à soutenir que l’information de ces personnes, dont elle avait les coordonnées, exigeait des efforts disproportionnés par rapport à l’intérêt de la démarche au sens des dispositions précitées du III de l’article 32 ; qu’il suit de là que la formation restreinte de la CNIL n’a pas fait une inexacte application des dispositions du 1° de l’article 6 de la loi du 6 janvier 1978 en estimant que les données à caractère personnel extraites de réseaux sociaux en vue de leur mention dans le service d’annuaire " Pages Blanches " n’ont pas été collectées de manière loyale et licite, faute de consentement explicite et éclairé des intéressés ;

En ce qui concerne le deuxième motif, tiré de l’illicéité du filtrage des profils " Facebook " à des fins d’exclusion des non-résidents français et du non-respect de la finalité initiale du service " Pages Blanches " :

10. Considérant qu’aux termes du II de l’article R. 10-4 du code des postes et des communications électroniques : " L’usage des listes obtenues par application du quatrième alinéa de l’article L. 34 à d’autres fins que la fourniture d’annuaires universels ou de services universels de renseignements téléphoniques est interdit (...) " ;

11. Considérant qu’il résulte de l’instruction que la société Pages Jaunes Groupe a procédé à l’extraction de données à caractère personnel de l’annuaire universel afin de les croiser avec les données issues de " Facebook ", de sorte qu’en soient éliminés les profils des personnes ne résidant pas en France ; qu’un tel traitement n’est pas compatible avec la finalité initiale de fourniture d’annuaires universels pour laquelle ces données avaient été collectées ; que, par suite, la formation restreinte de la CNIL n’a pas inexactement qualifié les faits de l’espèce en estimant que l’extraction des données de l’annuaire universel aux fins de filtrage des profils " Facebook " était illicite au sens du 1° de l’article 6 de la loi du 6 janvier 1978 et ne respectait pas la finalité initialement assignée au traitement au sens du 2° de ce même article ;

En ce qui concerne le troisième motif, tiré du non-respect de la mise à jour des données :

12. Considérant qu’il résulte de l’instruction que la mise à jour des données à caractère personnel exigeait des délais allant de plusieurs mois à plus d’un an ; que, par suite, la formation restreinte de la CNIL n’a pas fait une inexacte application des dispositions du 4° de l’article 6 de la loi du 6 janvier 1978, en estimant qu’alors même que la société Pages Jaunes Groupe avait fait état de son intention de réduire le délai entre deux mises à jour, celle-ci ne pouvait être regardée comme ayant pris les mesures appropriées pour que les données collectées inexactes ou incomplètes soient effacées ou rectifiées ;

En ce qui concerne le quatrième motif, tiré du non-respect des droits des personnes :

13. Considérant qu’aux termes de l’article 38 de la loi du 6 janvier 1978 : " Toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement (...) " ; qu’aux termes de l’article 40 de la même loi : " Toute personne physique justifiant de son identité peut exiger du responsable d’un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite (...) " ; que l’article 94 du décret du 20 octobre 2005 pris pour l’application de la loi du 6 janvier 1978 fait obligation au responsable du traitement, lorsque la demande formulée sur le fondement des articles 38 à 40 de cette loi est imprécise ou incomplète, d’inviter le demandeur à lui fournir, dans le délai de deux mois qui suit sa demande, les éléments lui permettant de procéder aux opérations qui lui sont demandées ;

14. Considérant qu’il résulte de l’instruction, en premier lieu, que les personnes dont les données à caractère personnel étaient extraites de réseaux sociaux pour être agrégées au service d’annuaire " Pages Blanches " n’étaient informées de leur droit d’opposition que si elles consultaient ce service ; qu’en deuxième lieu, le droit d’opposition ne pouvait être exercé de manière effective et durable, eu égard à la complexité de la procédure et à la circonstance que les demandes imprécises ou incomplètes n’étaient pas traitées ; qu’en troisième lieu, l’exercice du droit de rectification n’était pas garanti, le responsable du traitement estimant qu’il en était exonéré du fait du caractère indirect de la collecte des données ; qu’ainsi, la formation restreinte de la CNIL, qui est légalement tenue de garantir, sous le contrôle du juge, l’effectivité du droit d’accès, de rectification et d’opposition, n’a pas commis d’erreur de droit en estimant que la société Pages Jaunes Groupe avait méconnu les dispositions des articles 38 et 40 de la loi du 6 janvier 1978 ;

En ce qui concerne le cinquième et dernier motif, tiré du non-respect de l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données :

15. Considérant qu’il est constant que la société Pages Jaunes Groupe collectait les adresses IP associées aux contenus, date et heure des requêtes effectuées sur son portail ; qu’elle justifie cette collecte de données par la nécessité de répondre aux demandes d’information des autorités administratives et judiciaires ; que, toutefois, une telle collecte porte atteinte aux droits fondamentaux des personnes ; que, ne répondant à aucune obligation légale, elle ne peut être regardée comme étant en relation directe avec l’objet même du traitement ; que, par suite, c’est à bon droit que la formation restreinte de la CNIL a considéré que cette collecte de données inadéquates méconnaissait les dispositions du 3° de l’article 6 de la loi du 6 janvier 1978 ;

16. Considérant qu’il résulte de ce qui précède que la société Pages Jaunes Groupe n’est pas fondée à demander l’annulation de l’avertissement qui lui a été infligé par la formation restreinte de la CNIL ;

Sur la légalité de la délibération en tant qu’elle décide de rendre public l’avertissement :

17. Considérant que la formation restreinte a décidé de rendre publique cette sanction comme le lui permettait le deuxième alinéa de l’article 46 de la loi du 6 janvier 1978 ; que, si la société requérante invoque les dispositions de l’article 78 du décret du 20 octobre 2005 qui prévoyaient, dans leur rédaction alors applicable, que cette publication devait intervenir dans le délai d’un mois à compter du jour où la sanction est devenue définitive, les conditions matérielles d’exécution de cette sanction sont sans incidence sur le bien fondé de la sanction ; que, dans ces conditions, les conclusions de la société requérante dirigées contre la délibération en tant qu’elle décide de rendre public l’avertissement doivent être écartées ;

Sur les conclusions tendant à l’application de l’article L. 761-1 du code de justice administrative :

18. Considérant que ces dispositions font obstacle à ce que soit mise à la charge de l’Etat, qui n’est pas la partie perdante, la somme que la société Pages Jaunes Groupe demande au titre des frais exposés par elle et non compris dans les dépens ;

DECIDE :

Article 1er : La requête de la société Pages Jaune Groupe est rejetée.

Article 2 : La présente décision sera notifiée à la société Pages Jaunes Groupe et à la Commission nationale de l’informatique et des libertés.

Copie en sera adressée pour information au Premier ministre et à la garde des sceaux, ministre de la justice.