Alors que les contrôles de la Cnil se multiplient, les sociétés craignent les conséquences d’un tel contrôle sur leur image.

En effet, les conséquences d’une publication détaillant les manquements d’une société à la loi Informatique et libertés font souvent bien plus de dégâts qu’une amende.

Garant du respect de la loi Informatique et libertés, la Cnil semblait opérer en deux temps.

Tout d’abord, la Cnil procès au contrôle qui se conclut, le cas échéant, par une mise en demeure de solutionner dans un délai donné tous les manquements que la Cnil a pu relever.

Ensuite, si la personne contrôlée ne se met pas en conformité à la loi, elle est par exemple passible :

• d’un avertissement,
• de l’interruption passagère de la mise en œuvre du traitement,
• d’une sanction pécuniaire pouvant aller jusqu’à 150 000 €, et en cas de récidive,  jusqu’à  300 000 €.

Ce n’est qu’après cela que les sanctions sont publiées. En effet, l’article 46 de la loi Informatique et libertés permet à la Cnil de rendre publiques les sanctions qu’elle prononce.

Il convient de noter que les mises en demeure peuvent également être publiées. Pourtant la Cnil ne le fait généralement pas.

Or, le 17 janvier dernier, la Cnil a changé son processus habituel d’investigation et a décidé de rendre publique la mise en demeure du 22 décembre 2011 prise à l’encontre de l’Office Public de l’Habitat PARIS HAPITAT – OPH, notamment au regard de l’importance de la société contrôlée, de la gravité des manquements constatés et du nombre de personnes concernées.

Dans cette affaire, l’OPH PARIS HABITAT collecte les données de ses locataires sur l’application IKOS pour la bonne gestion des logements. Dans ce cadre, seules les personnes travaillant au sein du service chargé de la gestion locative peuvent avoir accès aux informations sur les locataires, ce qui apparait pertinent. En revanche, les personnes en charge du gardiennage ne sont pas parties à la gestion locative. A ce titre, elles ne sont pas, par principe, habilitées à consulter les données des locataires.

Les associations de locataires se sont ainsi étonnées du fait que les gardiens aient accès à ces données. Fort de cela, elles ont porté plainte auprès de la Cnil.

La Cnil a ainsi contrôlé l’OPH PARIS HABITAT.

Une fois sur place, la Cnil a pu découvrir que des données inappropriées sont collectées et conservées dans les dossiers des locataires. Elle a ainsi pu relever des appréciations non pertinentes et inadéquates du type :

           – Données relatives à leurs habitudes de vie voire à des infractions : « alcoolique », « personne très difficile à vivre de tempérament agressif et violent très procédurier », « violence conjugale », « ancien SDF addiction boisson »

           - Données relatives à la nationalité : « n’est pas de nationalité française »

           - Données de santé : « séropositif », « cancer », « personne cardiaque »,   « sous chimiothérapie », « Alzheimer aveugle », « maladie de parkinson », « souffrant d’une pathologie respiratoire et chronique », « dépression hôpital psychiatrique », « fils cancer Mme malade des poumons », « cancer des intestins opération du cerveau »

Habituellement, la Cnil ne publie pas ce niveau de détail d’information, mais eu égard à la gravité des manquements constatés, elle décidé de rendre publique la simple mise en demeure, en faisant ainsi déjà une sanction en terme d’image pour l’OPH PARIS HABITAT :

            - « Cette publicité a été décidée au regard de l’importance des manquements constatés, du statut de l’office HLM contrôlé et du nombre de locataires concernés. Cette publicité permet également à la CNIL d’informer l’ensemble des locataires des droits dont ils disposent et de rappeler aux offices HLM leurs obligations concernant le respect de la vie privée des personnes dont ils assurent l’hébergement. »

L’OPH PARIS HABITAT doit, dans un délai de deux mois, se conformer à la loi et de ce fait  respecter les droits et libertés ainsi que la vie privée de ses locataires. A défaut, des sanctions pourront être prononcées.

Il est intéressant de rappeler qu’en 2010, tout secteur confondu, près de 19% des contrôles de la Cnil étaient issus des plaintes des personnes dont les données sont collectées.

Afin de minimiser le risque de plainte, il est conseillé notamment d’encadrer les personnes qui collectent les données et celles qui saisissent ces données sur le système informatique de l’entreprise. Cet encadrement passe par la formation de ces personnes qui se conclut par la remise d’un guide de rédaction des « commentaires et observations ».

D’autres moyens peuvent être mis en œuvre en fonction de votre secteur d’activité et de vos besoins.