Optical Center n’a pas réussi à faire annuler la sanction de 50 000 euros infligée par la CNIL. Mais l’entreprise a obtenu du Conseil d’État l’anonymisation de la publication de cette sanction d’ici deux ans.

En novembre 2015, la CNIL avait infligé 50 000 euros d’amende à Optical Center. L’autorité reprochait à ce spécialiste des paires de lunettes de ne s’être qu’en partie mis en conformité avec une première mise en demeure adressée un an plus tôt.

Dans ce dossier, tout était parti d’une plainte d’une personne qui « dénonçait la communication par téléphone de son mot de passe par la société ». Le 22 juillet 2014, la CNIL avait procédé à un contrôle plus approfondi de la société dont sa gestion des données personnelles. Elle avait notamment mis à l’index l’« absence de sécurisation de la page d’accueil permettant à l’utilisateur de se connecter à son compte et de la page lui permettant de modifier son mot de passe ». Il fut encore reproché un manquement quant à la sécurité et la confidentialité des données gérées par l’un de ses sous-traitants.

Les sanctions de publication de la CNIL doivent être proportionnées 

Malgré une mise en demeure et plusieurs demandes complémentaires, Optical Center ne parvenait pas à répondre aux exigences de la CNIL. Au final, le spécialiste des produits d’optique avait écopé d’une sanction pécuniaire de 50 000 euros et surtout une peine « infamante », la publicité de la décision.

L’entreprise nous avait indiqué à l’époque avoir corrigé l’ensemble de ces problèmes, mais elle avait dans le même temps attaqué cette délibération devant le Conseil d’État. Plusieurs moyens ont été soulevés, aussi bien sur des points formels relatifs que sur le fond du dossier. Tous ont été repoussés le 19 juin dernier, sauf celui relatif au caractère disproportionné de la sanction infligée par la CNIL.

Ce n’est pas tant le montant de la sanction – jugé non excessif par la juridiction – que le moyen relatif à la publicité qui a fait défaut. Cette publicité-sanction est prévue par l’article 46 de la loi du 6 janvier 1978 au terme duquel « la formation restreinte peut rendre publiques les sanctions qu’elle prononce (…) Elle peut également ordonner leur insertion dans des publications, journaux et supports qu’elle désigne aux frais des personnes sanctionnées »

Or, contrairement aux prunes sonnantes et trébuchantes, le législateur n’a pas prévu ici de faire respecter ici le principe de proportionnalité. Mais peu importe : même dans le silence de la loi, pour le Conseil d’État, la CNIL « se trouve nécessairement soumise (…) au respect » d’un tel principe.

Toujours d’après la haute juridiction, « la légalité de cette sanction s’apprécie, notamment, au regard du support de diffusion retenu et, le cas échéant, de la durée pendant laquelle cette publication est accessible de façon libre et continue ». Et celui-ci de considérer qu’au regard de la renommée et l’importance de la société, « la sanction complémentaire contestée, qui vise à renforcer le caractère dissuasif de la sanction principale en lui assurant une publicité à l’égard du public, est justifiée, dans son principe, au regard de la gravité et de la persistance des manquements constatés aux dispositions de la loi du 6 janvier 1978 ».

Une décision qui devra être anonymisée d'ici deux ans

Néanmoins, la décision de la CNIL n’est pas sortie indemne. Son tort ? Ne pas avoir précisé la durée du maintien de cette publication sur son propre site et celui de Légifrance. Le couperet tombe : « en omettant de fixer la durée pendant laquelle la publication de la sanction resterait accessible de manière non anonyme sur ces deux sites, et quand bien même la Commission fait valoir que l’ensemble des décisions de sanctions et de mises en demeure ayant une ancienneté supérieure à deux ans ont été anonymisées sur les deux sites et que toutes le seront à l’expiration de ce délai, la formation restreinte de la CNIL doit être regardée comme ayant infligé une sanction complémentaire excessive, car sans borne temporelle ».

 « Il y a lieu, dans les circonstances de l’espèce, de limiter à deux ans le maintien en ligne de la sanction non anonymisée sur les deux sites considérés » concluent souverainement les juges, dont l’arrêt mentionne a priori sans limites de temps, le nom d’Optical Center.