CE, 10e et 9e sous-sect. réunies, 11 mars 2015, n° 368624

Vu la requête sommaire et le mémoire complémentaire, enregistrés les 17 mai et 19 août 2013 au secrétariat du contentieux du Conseil d'Etat, présentés pour la société TUTO4PC, dont le siège est au 14 rue Lincoln à Paris (75008) ; la société TUTO4PC demande au Conseil d'Etat : 1°) d'annuler la décision n° 2012-032 du 16 octobre 2012 de la présidente de la Commission nationale de l'informatique et des libertés la mettant en demeure d'adopter diverses mesures relatives à un traitement de données à caractère personnel ; 2°) d'annuler la décision du 18 mars 2013 de la présidente de la Commission nationale de l'informatique et des libertés rejetant son recours gracieux ; 3°) de mettre à la charge de l'Etat la somme de 4 000 euro sur le fondement de l'article L. 761-1 du Code de justice administrative ; Vu les autres pièces du dossier ; Vu la note en délibéré, enregistrée le 11 février 2015, présentée pour la société TUTO4PC ; Vu le Code des postes et des communications électroniques, notamment son article L. 34-5 ; Vu la loi n° 78-17 du 6 janvier 1978 ; Vu le Code de justice administrative ; Après avoir entendu en séance publique :- le rapport de M. Jacques Reiller, conseiller d'Etat, - les conclusions de Mme Aurélie Bretonneau, rapporteur public ; La parole ayant été donnée, avant et après les conclusions, à la SCP Piwnica, Molinié, avocat de la société TUTO4PC ;

Sur la légalité externe des décisions attaquées :

1. Considérant qu'aux termes de l'article L. 34-5 du Code des postes et des communications électroniques : " Est interdite la prospection directe au moyen de système[s]automatisé[s] de communications électroniques (...) ou de courriers électroniques utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe. Constitue une prospection directe l'envoi de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l'image d'une personne vendant des biens ou fournissant des services.(...) La Commission nationale de l'informatique et des libertés veille, pour ce qui concerne la prospection directe utilisant les coordonnées d'un abonné ou d'une personne physique, au respect des dispositions du présent article en utilisant les compétences qui lui sont reconnues par la loi no 78-17 du 6 janvier 1978 (... )" ; qu'aux termes du I de l'article 45 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : " (...) Le président de la commission [nationale de l'informatique et des libertés] peut également mettre en demeure [le] responsable [du traitement ] de faire cesser le manquement constaté dans un délai qu'il fixe (...)/ Si le responsable du traitement se conforme à la mise en demeure qui lui est adressée, le président de la Commission prononce la clôture de la procédure./ Dans le cas contraire, la formation restreinte peut prononcer à son encontre, après une procédure contradictoire, les sanctions suivantes : 1° Une sanction pécuniaire, dans les conditions prévues par l'article 47, à l'exception des cas où le traitement est mis en œuvre par l'Etat ; 2° Une injonction de cesser le traitement, lorsque celui-ci relève des dispositions de l'article 22, ou un retrait de l'autorisation accordée en application de l'article 25 " ;

2. Considérant qu'il ressort des pièces du dossier que la société TUTO4PC propose des logiciels gratuits dont l'acceptation par l'utilisateur des conditions générales de fonctionnement entraîne l'installation du moteur de recherche de la société sur le terminal de l'utilisateur, l'envoi de publicités récurrentes, adaptées en fonction du suivi des connexions de l'utilisateur, et la cession de données personnelles à des tiers ; qu'à la suite d'une mission de contrôle qui s'est déroulée au siège de la société les 21 mai et 12 août 2012, la présidente de la Commission nationale de l'informatique et des libertés, sur le fondement de l'article 45 de la loi du 6 janvier 1978, a mis en demeure, par une décision du 16 octobre 2012, la société TUTO4PC, sous un délai de deux mois, de notamment : " recueillir le consentement spécifique des personnes physiques concernées avant de traiter leurs coordonnées à des fins de prospection directe électronique ; (...) cesser d'inscrire ou de lire des informations dans l'équipement terminal de communications électroniques d'un internaute sans avoir obtenu préalablement l'accord de celui-ci ; (...) cesser de collecter et de traiter des données à caractère personnel (ex. : des adresses IP et des identifiants uniques) à l'insu des personnes concernées et de manière déloyale ; cette demande concerne notamment tous les ordinateurs sur lesquels une adresse de page d'accueil, des composantes publicitaires ou des composantes de suivi de la navigation ont été inscrites sans que les finalités de l'inscription et de la lecture aient fait l'objet d'une information et d'un accord préalables de l'internaute " ; que la société, qui déclare s'être conformée à cette mise en demeure, en demande l'annulation en tant qu'elle porte sur le consentement spécifique et sur les obligations qui lui sont faites au regard des tiers cessionnaires des fichiers de clients qu'elle a ainsi constitués ;

3. Considérant, en premier lieu, que la mise en demeure, qui précise de manière détaillée les agissements de la société et les motifs pour lesquels ils sont regardés comme contraires aux dispositions de l'article L. 34-5 du Code des postes et des communications électroniques, relatives au consentement préalable spécifique à la réception de prospections directes, est suffisamment motivée ; que le moyen tiré de l'insuffisance de cette motivation ne peut ainsi qu'être écarté ;

4. Considérant, en deuxième lieu, que le consentement spécifique exigé par les dispositions de l'article L. 34-5 du Code des postes et communications électroniques ne peut résulter que du consentement exprès de l'utilisateur, donné en toute connaissance de cause et après une information adéquate sur l'usage qui sera fait de ses données personnelles ; qu'alors même que, comme le soutient la société, l'information serait suffisante et les conditions générales d'utilisation claires et explicites, le consentement donné à ces dernières pour l'ensemble des finalités d'un traitement, dont l'usage des données personnelles de l'utilisateur, ne saurait être regardé comme valant consentement spécifique, au sens et pour l'application de l'article L. 34-5 précité ; qu'ainsi, la société n'est fondée ni à exciper de l'illégalité de la norme simplifiée n° 48 explicitant les modalités du consentement spécifique, au sens de l'article L. 34-5, et imposant que l'utilisateur puisse marquer son assentiment de manière distincte en cochant une case spécifique d'approbation de l'usage auquel il consent de ses données personnelles, ni à soutenir que la Commission nationale de l'informatique et des libertés aurait commis une erreur d'appréciation en regardant comme dépourvu de caractère spécifique à la finalité d'usage des données personnelles le consentement global donné aux conditions générales d'utilisation de la société TUTO4PC ;

5. Considérant, en troisième lieu, que la mise en demeure enjoint également à la société TUTO4PC de " prendre toutes les mesures nécessaires pour que les coordonnées, collectées par la société sans recueillir un tel consentement, ne soient plus utilisées, notamment par les sociétés IBASE et MAIL-BACK, à des fins de prospection directe électronique " ; que, contrairement à ce que soutient la société, cette injonction, qui vise à corriger la situation créée par la société pour l'avenir, n'a aucun caractère rétroactif et ne remet pas en cause l'exécution des contrats en cours ; qu'elle a seulement pour objet d'imposer à la société d'informer les cessionnaires de données personnelles qu'elle ne s'est pas acquittée de ses obligations légales en la matière, afin que ceux-ci, dûment informés de l'illégalité de l'usage des données qu'ils ont acquises, puissent soit se conformer eux-mêmes à la loi en recueillant le consentement spécifique des intéressés, soit suspendre l'utilisation de ces données jusqu'à ce que la société TUTO4PC ait procédé à cette régularisation, soit cesser d'utiliser ces données, et ainsi être en mesure de tirer toutes les conséquences de cette situation dans le cadre de leurs relations contractuelles avec TUTO4PC ; qu'ainsi, la Commission nationale de l'informatique et des libertés n'a nullement excédé les pouvoirs de mise en demeure à fin de faire cesser les manquements observés, qu'elle tient de l'article 45 de loi du 6 janvier 1978 ;

6. Considérant qu'il résulte de tout ce qui précède que la requérante n'est pas fondée à demander l'annulation des décisions attaquées ;

7. Considérant que les dispositions de l'article L. 761-1 du Code de justice administrative font obstacle à ce qu'une somme soit mise à la charge de l'Etat, qui n'est pas, dans la présente instance, la partie perdante ;

DECIDE

Article 1er : La requête de société TUTO4PC est rejetée. Article 2 : La présente décision sera notifiée à la société TUTO4PC et à la Commission nationale de l'informatique et des libertés. Copie en sera adressée pour information au Premier ministre.