« Le 23 septembre dernier, après avoir été saisie d’une plainte émanant d’une association d’anciens élèves, la CNIL a dénoncé au parquet la société « AlinéA » qui commercialise via son site internet une base de données regroupant des informations à caractère personnel relatives aux anciens élèves de grandes écoles.

L’instruction de la CNIL a révélé que cette société, sans l’accord de l’ensemble des associations d’anciens élèves, avait scanné leurs annuaires papiers afin de les exploiter numériquement.

Ce mode de collecte est bien évidement contraire aux dispositions de la loi du 8 janvier 1978, dans la mesure où le responsable du traitement a collecté des informations personnelles sur des personnes ayant pu lors de leur inscription sur l’un des annuaires s’opposer à toute transmission de leurs données à des tiers (article 26 de la loi).

Or « le fait (…) de procéder à un traitement d’informations nominatives concernant une personne physique malgré l’opposition de cette personne, lorsque cette opposition est fondée sur des raisons légitimes, est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende¹. ».

Lors de l’instruction de cette plainte, la société mise en cause a pourtant indiqué « qu’elle a contacté l’ensemble des personnes présentes dans la base de données dont elle commercialise l’accès afin de leur permettre d’exercer leurs droits d’opposition ou de modification, sans pour autant s’engager à modifier sa méthode de collecte ».

Cependant, la CNIL n’a reçu aucun élément précis et probant concernant la méthode utilisée pour recueillir les consentements des intéressés, et ce malgré une demande expresse de sa part.

La société en cause a donc été dénoncée au parquet pour :

- collecte illicite et déloyale,

- délit d’entrave à l’action de la CNIL (un an d’emprisonnement et 15 000 € d’amende.

Désormais, le déroulement de l’instruction est entre les mains du Procureur de la République qui dispose de l’opportunité des poursuites.

•••

A l’avenir, les délits d’entrave à l’action de la CNIL devraient fortement diminuer puisque le projet de loi modifiant la loi de 1978² prévoit pour cette dernière de nouveaux pouvoirs (article 45) :

- La CNIL pourra mettre en demeure un responsable de traitement de faire cesser le manquement constaté dans un délai qu’elle fixe,

- Et s’il ne se conforme pas à cette mise en demeure, la CNIL pourra prononcer, après une procédure contradictoire :

 une sanction pécuniaire (150 000 €, en cas de récidive dans les 5 ans : 300 000 € ou 5 % du CA dans la limite de 300 000 € pour les personnes morales),

 une injonction de cesser le traitement,

 en cas d’urgence, décider l’interruption du traitement ou le verrouillage de certaines données pour une durée maximale de 3 mois, ou en informer le Premier Ministre pour qu’il prenne les mesures nécessaires dans les 15 jours,

 en cas d’atteinte grave et immédiate aux droits et libertés, le Président de la CNIL pourra saisir directement le juge de l’urgence afin de voir ordonner sous astreinte toute mesure de sécurité nécessaire à la sauvegarde de ces droits.

¹Article 226-18 du Code Pénal.

²Projet de loi du 01 avril 2003 relatif à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

 »