Les manquements à la Loi « Informatique et Libertés » détectés par les agents de la DGCCRF seront désormais signalés à la CNIL, en particulier lorsqu’ils concernent la collecte illicite de données ou des données sensibles. La loi, instaurée le 6 janvier 1978, impose des conditions strictes concernant le traitement des données personnelles, notamment la licéité, la finalité, la proportionnalité et la sécurité des informations collectées. Les responsables de traitement doivent garantir que les données sont recueillies de manière loyale et utilisées pour des finalités clairement définies et légitimes. De plus, ils ont l’obligation de protéger la sécurité des données contre toute forme de déformation ou d’accès non autorisé. Sur la base des informations fournies par le SNE, la CNIL a le pouvoir d’effectuer des contrôles et d’imposer des sanctions en cas de non-conformité. Ces sanctions peuvent aller d’un simple avertissement à des amendes pouvant atteindre 150 000 euros. La possibilité de rendre ces sanctions publiques est particulièrement redoutée par les entreprises, car cela peut gravement nuire à leur image de marque. En 2009, sur neuf sanctions infligées, six ont été publiées, entraînant une large couverture médiatique. Ce nouvel accord de coopération entre la DGCCRF et la CNIL vise à renforcer le contrôle sur les sites marchands et à assurer une meilleure protection des données des consommateurs.
D’après le dossier de presse publié conjointement, les manquements à la Loi « Informatique et Libertés » constatés par les agents de Service national d’enquête (SNE) de la DGCCRF seront transmis à la Cnil dès lors qu’ils porteront sur des collectes illicites de données ou sur des collectes de données sensibles, un défaut de proportionnalité entre les données collectées et les finalités du traitement, un défaut de mesures propres à assurer la sécurité des données collectées ou l’absence d’information aux personnes dont les données sont collectées.
En effet, la loi Informatique et Libertés du 6 janvier 1978 prévoit des conditions de licéité des traitements de données à caractère personnel au nombre desquelles figurent les principes de licéité (« Les données sont collectées et traitées de manière loyale et licite »), de finalité (« Elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités »), de proportionnalité et de pertinence (« Elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs »), d’exactitude (« Elles sont exactes, complètes et, si nécessaire, mises à jour ») et de suppression (« Elles sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées »)[1].
En outre, la loi Informatique et Libertés fait également obligation au responsable du traitement de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.[2]
Sur la base des informations qui lui auront été transmises par le SNE, la CNIL pourra utiliser les pouvoirs de contrôle et de sanction qui lui sont attribués par la loi du 6 août 2004, modifiant la loi de 1978.
Pour mémoire, concernant les contrôles, la CNIL peut charger un ou plusieurs de ses membres ou des agents de ses services de procéder à des vérifications portant sur tous traitements et notamment recueillir, sur place ou sur convocation, tout renseignement et toute justification utiles pour les besoins du contrôle. Quant aux pouvoirs de sanction, il est à rappeler que la CNIL peut notamment prononcer un avertissement ou mettre en demeure le responsable du traitement de faire cesser le manquement constaté dans un délai qu’elle fixe, prononcer une sanction pécuniaire (jusqu’à 150.000 euros lors d’un premier manquement), mais également rendre publics les avertissements qu’elle prononce ou en cas de mauvaise foi du responsable du traitement, ordonner l’insertion des autres sanctions qu’elle prononce dans des publications, journaux et supports qu’elle désigne.
Cette dernière sanction est notamment la plus redoutée par nombre d’entreprises dans la mesure où elle peut nuire à l’image de marque vis-à-vis des consommateurs et du grand public. A titre d’exemple, en 2009, sur 9 sanctions prononcées, 6 ont été rendues publiques sur le site de la CNIL, et dès lors dans les autres médias (1 avertissement et 5 sanctions pécuniaires entre 5.000 euros et 40.000 euros)[3].
Ce nouvel accord de coopération va doncpermettre à la CNIL de renforcer ses contrôles relatifs aux sites marchands.
[1] Art. 6 Loi Informatique et Libertés.
[2] Art. 34 Loi Informatique et Libertés.
[3] Source : 30e RAPPORT D’ACTIVITÉ (2009) – Edition 2010
Vous avez besoin d'un avis personnalisé
ou d'une aide juridique ?
