La CNIL vient de se faire l’écho d’un arrêt rendu en décembre dernier par la cour d’appel de Bordeaux. Et pour cause, les juges ont condamné à 10 000 euros d’amende avec sursis le responsable de plusieurs annuaires en ligne ayant violé des dispositions de la loi « Informatique et Libertés », notamment en ne respectant pas le droit d’opposition des personnes. Explications. 

L’arrêt de la cour d’appel de Bordeaux diffusé hier par la CNIL est censé souligner deux choses. D’une part, qu’outre ses propres pouvoirs de sanction, l’institution peut transmettre à la justice des affaires d’une certaine gravité. Et d’autre part que les magistrats peuvent eux aussi punir des personnes coupables d’atteintes à la loi « Informatique et Libertés », éventuellement de manière plus sévère que la CNIL.

En l’occurrence, l’affaire litigieuse avait débuté en 2011, suite à la réception par la CNIL de pas moins de 150 plaintes. Toutes visaient plusieurs sites internet (dont Webinbox, Habitant-ville, Eopin.info, I décideur et Frenchcity) gérés par un seul et même responsable, Laurent R. « Ces sites diffusaient, pour chaque ville, des annuaires comportant les noms des habitants, leurs coordonnées, y compris des numéros de téléphone sur liste rouge » explique l’autorité administrative.

Collecte illicite de données personnelles sur le Web

Problème : ces données personnelles étaient publiées sans le consentement des individus concernés. Se trouvaient d’ailleurs parmi ces données des informations sensibles, comme les coordonnées d'une victime de violences conjugales ou d’un fonctionnaire de police. En fait, Laurent R. avait réussi à mettre au point un logiciel capable de collecter des données déjà diffusées sur d’autres sites Internet, tels que « l’annuaire universel », Google, l’INSEE, le Journal des associations, etc. Après avoir remis en forme les informations ainsi récupérées, ces dernières étaient publiées à nouveau sans que le responsable des sites ne s’embarrasse de formalités particulières...

La CNIL avait préféré transmettre directement le dossier au Parquet

N’arrivant pas à obtenir le retrait des données litigieuses suite à « de nombreuses démarches », la CNIL a finalement préféré saisir le Procureur de la République. Ce dernier a demandé à la police judiciaire de mener une enquête, laquelle s’est soldée par une première condamnation de Laurent R. par le tribunal correctionnel de Bordeaux, le 26 novembre 2012. Se prononçant sur le litige en seconde instance, la cour d’appel de Bordeaux a confirmé les fautes du prévenu le 18 décembre dernier, lequel a finalement écopé de 10 000 euros d’amende avec sursis.

L’intéressé a été reconnu coupable de nombreuses infractions : « collecte de données à caractère personnel par un moyen frauduleux, déloyal ou illicite », « traitement de données à caractère personnel malgré l'opposition légitime de la personne concernée », « abus de confiance », « traitement automatisé de données à caractère personnel sans déclaration préalable auprès de la CNIL », « divulgation illégale volontaire de données à caractère personnel nuisibles (vie privée, considération) », comme l’indique l’extrait de la décision publiée sur le site de la CNIL (voir ici).

Il est enfin intéressant de remarquer qu’au regard des sanctions que peut habituellement prononcer la CNIL, celle de la cour d'appel de Bordeaux semble finalement bien plus clémente. En effet, en janvier dernier, l’institution a infligé une amende de 10 000 euros - sans sursis -à une association gérant un annuaire en ligne et qui refusait elle aussi d’effacer des données concernant des professionnels s’étant pourtant opposées à cette rediffusion. Seul un motif de manquement avait cependant servi à la gardienne des données pour décider de cette sanction, alors que la liste était bien plus longue dans l'affaire de Bordeaux (pour en savoir plus, voir notre article).