L’affaire

CE, 10ème – 9ème chambres réunies, décision n°389448 du 28 septembre 2016

À l’occasion des dernières élections municipales à Rennes, un quotidien régional avait publié un article très critique à l’égard de la politique culturelle menée dans cette ville.

Souhaitant répondre à cet article, le directeur du théâtre national de Bretagne (TNB) avait envoyé un email aux abonnés rennais du théâtre dans lequel il valorisait le bilan de la politique culturelle décriée.

Par décision du 12 février 2015, la CNIL a sanctionné le TNB au motif que le courriel envoyé était contraire aux dispositions de l’article 6, 2° de la loi du 6 janvier 1978 modifiée.

Cet article dispose en effet que « Un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : […] 2° Elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités […] »

La CNIL avait relevé que le courriel du TNB n’avait ni pour but d’aborder la gestion des abonnements, ni d’adresser des informations culturelles, mais que le message revêtait le caractère d’une communication politique.

L’envoi de ce courriel était dès lors constitutif d’un détournement de la finalité du traitement en ce que la collecte des données personnelles des abonnés (dont leurs emails) n’avait pas été effectuée dans ce but.

La CNIL a donc prononcé un avertissement assorti de la publication de sa décision à l’encontre du TNB.

Le TNB a par la suite introduit un recours en annulation de cette décision devant le Conseil d’Etat.

La décision

Si l’autorité administrative valide dans un premier temps le raisonnement de la CNIL et le bien-fondé de sa décision de sanction, elle revient sur sa décision de publication de la sanction.

Ainsi, selon les termes de la loi :

– article 46 de la loi 6 janvier 1978 modifiée « La formation restreinte peut rendre publiques les sanctions qu’elle prononce. Elle peut également ordonner leur insertion dans des publications, journaux et supports qu’elle désigne aux frais des personnes sanctionnées ».

– article 78 du décret du 20 octobre 2005 : « […] Lorsque la formation restreinte décide de publier la décision de sanction, cette publication peut intervenir dès la notification de la décision de sanction à la personne concernée. […] »

Le Conseil d’Etat retient que « lorsque la CNIL prononce une sanction complémentaire de publication de sa décision de sanction, celle-là se trouve nécessairement soumise, et alors même que la loi ne le prévoirait pas expressément, au respect du principe de proportionnalité ; que la légalité de cette sanction s’apprécie, notamment, au regard du support de diffusion retenu et, le cas échéant, de la durée pendant laquelle cette publication est accessible de façon libre et continue ».

La juridiction administrative considère dès lors que la décision de la CNIL de publier la sanction prononcée sans fixer la durée pendant laquelle celle-ci serait accessible « doit être regardée comme ayant infligé une sanction sans borne temporelle » et « excessive ».

Le Conseil d’Etat a décidé d’annuler la décision de publication de la CNIL et a renvoyé devant celle-ci la question de la fixation de la durée durant laquelle la sanction restera publiée.

À retenir

C’est donc une bonne nouvelle pour toutes les personnes et entreprises ayant encore du mal à intégrer la conformité à la règlementation sur les données personnelles.

Pour autant cela ne couvre que le risque « réputationnel » et non le risque financier de la non-conformité, or celui-ci va s’accroitre significativement avec l’élévation du plafond des sanctions financières administratives. Contact : stephanie.faber@squirepb.com