CE, 10e et 9e sous-sect. réunies, 23 mars 2015, n° 357556

LE CONSEIL : - Vu la procédure suivante : Par une requête sommaire et un mémoire complémentaire, enregistrés le 13 mars et le 13 juin 2012 au secrétariat du contentieux du Conseil d'Etat, la Société Groupe DSE France demande au Conseil d'Etat : 1°) d'annuler la délibération n° 2011-384 du 12 janvier 2012 par laquelle la Commission nationale de l'informatique et des libertés (CNIL) a prononcé à son encontre une sanction pécuniaire de 20 000 euro assortie d'une publication sur les sites internet de la CNIL et de Légifrance ; 2°) de mettre à la charge de l'Etat la somme de 3 000 euro au titre des dispositions de l'article L. 761-1 du Code de justice administrative ; Vu les autres pièces du dossier ; Vu : la Constitution, notamment son Préambule ; la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ; la directive 95-46 CE du 24 octobre 1995 ; la directive 2002-58-CE du du 12 juillet 2002 ; le Code des postes et des télécommunications ; la loi n° 78-17 du 6 janvier 1978 ; la loi n° 2004-575 du 21 juin 2004 ; le décret n° 2005-1309 du 20 octobre 2005 ; le Code de justice administrative ; Après avoir entendu en séance publique : le rapport de Mme Isabelle Lemesle, maître des requêtes, les conclusions de M. Edouard Crépey, rapporteur public ; La parole ayant été donnée, avant et après les conclusions, à la SCP Rousseau, Tapie, avocat de la Société Groupe DSE France ;

1. Considérant que, par une délibération du 12 janvier 2012, la formation restreinte de la Commission nationale de l'informatique et des libertés (CNIL) a infligé à la Société Groupe DSE France, société d'expertise immobilière, une sanction pécuniaire de 20 000 euro qu'elle a décidé de rendre publique, pour avoir procédé à une prospection commerciale par des messages courts - dits " SMS " - sans avoir préalablement recueilli l'accord explicite des prospects au moment de la collecte de leur numéro de téléphone ni respecté leur droit à l'information, non plus que leur droit d'opposition résultant des dispositions de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; que la Société Groupe DSE France demande l'annulation de cette décision ;

Sur la régularité de la décision attaquée :

2. Considérant qu'aux termes du I de l'article 45 de la loi du 6 janvier 1978: " La formation restreinte de la Commission nationale de l'informatique et des libertés peut prononcer, après une procédure contradictoire, un avertissement à l'égard du responsable d'un traitement qui ne respecte pas les obligations découlant de la présente loi. Cet avertissement a le caractère d'une sanction.- Le président de la commission peut également mettre en demeure ce responsable de faire cesser le manquement constaté dans un délai qu'il fixe (...) - Si le responsable du traitement se conforme à la mise en demeure qui lui est adressée, le président de la commission prononce la clôture de la procédure. - Dans le cas contraire, la formation restreinte peut prononcer à son encontre, après une procédure contradictoire, les sanctions suivantes : - 1° Une sanction pécuniaire (...) " ; qu'aux termes de l'article 46 de la loi du 6 janvier 1978 : " Les sanctions prévues au I (...) de l'article 45 sont prononcées sur la base d'un rapport établi par l'un des membres de la Commission nationale de l'informatique et des libertés (...). Ce rapport est notifié au responsable du traitement, qui peut déposer des observations et se faire représenter ou assister. Le rapporteur peut présenter des observations orales à la formation restreinte (...)." ; qu'aux termes de l'article 75 du décret du 20 octobre 2005 pris pour l'application la loi du 6 janvier 1978 : " Le rapport prévu par l'article 46 de la loi du 6 janvier 1978 (...) est notifié au responsable du traitement par lettre remise contre signature, ou remise en main propre contre récépissé ou acte d'huissier. - Le responsable du traitement dispose d'un délai d'un mois pour transmettre à la commission ses observations écrites (...) " ; qu'aux termes de l'article 76 du même décret : " Le responsable du traitement est informé de la date de la séance de la commission à l'ordre du jour de laquelle est inscrite l'affaire le concernant et de la faculté qui lui est offerte d'y être entendu, lui-même ou son représentant, par lettre remise contre signature, ou remise en main propre contre récépissé ou acte d'huissier. Cette lettre doit lui parvenir au moins un mois avant cette date " ;

3. Considérant qu'il ne résulte pas de ces dispositions que le délai ouvert au responsable du traitement pour formuler des observations écrites en réponse au rapport qui lui a été notifié par la CNIL doive être cumulé avec celui dans lequel il est informé de la date de la séance à l'ordre du jour de laquelle est inscrite l'affaire qui le concerne ;

4. Considérant qu'il résulte de l'instruction que, par une lettre recommandée distribuée le 27 octobre 2011, d'ailleurs visée dans la délibération litigieuse, la société requérante d'une part, a reçu le rapport proposant de prononcer une sanction à son encontre, en application des dispositions précitées de l'article 45 de la loi du 6 janvier 1978, et, d'autre part, a été informée de l'inscription de ce projet de sanction à l'ordre du jour de la formation restreinte du 1er décembre 2011, à laquelle il lui a été proposé d'être entendue ou de se faire représenter ;

5. Considérant qu'il suit de là que la société requérante n'est pas fondée à soutenir que le principe du respect des droits de la défense aurait été méconnu, faute pour la CNIL de l'avoir régulièrement informée de la date de la réunion de sa formation restreinte, ce qui l'aurait empêchée d'y présenter ses observations, et d'avoir fixé cette dernière en méconnaissance des délais fixés par les articles 75 et 76 du décret du 20 octobre 2005 ;

Sur le bien-fondé de la décision attaquée :

En ce qui concerne l'application de l'article L. 34-5 du Code des postes et télécommunications électroniques :

6. Considérant qu'il résulte de l'instruction que la société requérante a procédé à une prospection commerciale par SMS à partir de fichiers acquis auprès de sociétés spécialisées dans la " pige immobilière ", activité consistant à collecter des données issues d'annonces publiées, sans que les particuliers, dont les coordonnées téléphoniques avaient été ainsi collectées sur internet dans des annonces immobilières, aient exprimé leur consentement à recevoir cette prospection directe par le moyen de SMS ;

7. Considérant que c'est à tort que la CNIL s'est fondée sur la rédaction de l'article L. 34-5 du Code des postes et télécommunications électroniques issue de l'ordonnance n° 2011-1012 du 24 août 2011, pour estimer que la société requérante avait méconnu l'interdiction de procéder à la prospection directe par voie électronique sans le recueil préalable du consentement des prospects, les faits reprochés ayant commencé avant l'entrée en vigueur de ces dispositions et la mise en demeure ayant été prononcée par la CNIL à l'encontre de la société requérante avant elle ;

8. Considérant, toutefois, qu'aux termes de l'article L. 34-5 du Code des postes et télécommunications électroniques, dans sa rédaction applicable en l'espèce : " Est interdite la prospection directe au moyen d'un automate d'appel, d'un télécopieur ou d'un courrier électronique utilisant, sous quelque forme que ce soit, les coordonnées d'une personne physique qui n'a pas exprimé son consentement préalable à recevoir des prospections directes par ce moyen " ; que la directive du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques énonce, dans son considérant 40, qu'il " importe de protéger les abonnés contre toute violation de leur vie privée par des communications non sollicitées effectuées à des fins de prospection directe, en particulier au moyen (...) de courriers électroniques, y compris les messages courts (SMS) " et définit dans son article 2 h) le courrier électronique comme " tout message sous forme de texte (...) envoyé par un réseau public de communications qui peut être stocké dans le réseau ou dans l'équipement terminal du destinataire jusqu'à ce que ce dernier le récupère " ; qu'en application des dispositions du dernier alinéa de l'article 1er de la loi du 21 juin 2004 pour la confiance dans l'économie numérique, qui transpose cet article : " On entend par courrier électronique tout message, sous forme de texte, de voix, de son ou d'image, envoyé par un réseau public de communication, stocké sur un serveur du réseau ou dans l'équipement terminal du destinataire, jusqu'à ce que ce dernier le récupère " ;

9. Considérant qu'il résulte de ce qui précède que la prospection par SMS litigieuse entrait dans le champ de l'interdiction posée par l'article L. 34-5 du Code des postes et des télécommunications électroniques, avant même sa modification par l'ordonnance du 24 août 2011 ; que, par suite, la mention erronée, par la délibération attaquée, du texte issu de cette modification est sans incidence sur son bien-fondé ;

En ce qui concerne le respect du droit à l'information :

10. Considérant qu'aux termes de l'article 32 de la loi du 6 janvier 1978 : " I.-La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant : - 1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ; - 2° De la finalité poursuivie par le traitement auquel les données sont destinées ; - 3° Du caractère obligatoire ou facultatif des réponses ; - 4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ; - 5° Des destinataires ou catégories de destinataires des données ; - 6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre ; - 7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne. - Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1°, 2°, 3° et 6° (...) - III.-Lorsque les données à caractère personnel n'ont pas été recueillies auprès de la personne concernée, le responsable du traitement ou son représentant doit fournir à cette dernière les informations énumérées au I dès l'enregistrement des données ou, si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données. - Lorsque les données à caractère personnel ont été initialement recueillies pour un autre objet, les dispositions de l'alinéa précédent ne s'appliquent pas aux traitements nécessaires à la conservation de ces données à des fins historiques, statistiques ou scientifiques, dans les conditions prévues au livre II du Code du patrimoine ou à la réutilisation de ces données à des fins statistiques dans les conditions de l'article 7 bis de la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques. Ces dispositions ne s'appliquent pas non plus lorsque la personne concernée est déjà informée ou quand son information se révèle impossible ou exige des efforts disproportionnés par rapport à l'intérêt de la démarche " ;

11. Considérant qu'il résulte de ces dispositions, qui transposent les articles 10 et 11 de la directive du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, éclairées par les travaux préparatoires à l'adoption de la loi du 21 juin 2004 qui les a insérées dans la loi du 6 janvier 1978, que le législateur a entendu imposer aux responsables du traitement de données à caractère personnel la même obligation, que ces données aient été collectées directement ou indirectement ;

12. Considérant qu'il résulte de l'instruction que les données à caractère personnel acquises par la société requérante en vue de l'activité de prospection commerciale mentionnée au point 6 ne l'ont pas été auprès des personnes concernées et que les deux traitements successifs qu'elles ont subi procèdent d'une collecte indirecte ; que sauf à établir que les personnes concernées étaient déjà informées ou que leur information était impossible, ou encore qu'elle exigeait des efforts disproportionnés par rapport à l'intérêt de la démarche, les responsables respectifs de ces deux traitements devaient respecter l'obligation d'information posée par l'article 32 de la loi du 6 janvier 1978 ; qu'en l'espèce, la société requérante n'établit pas que le respect du droit à l'information imposé par la loi aurait été matériellement impossible ou qu'elle aurait exigé de sa part des efforts disproportionnés par rapport à l'intérêt de la démarche ;

13. Considérant que la délibération litigieuse relève que la société requérante a manqué à son obligation d'information à l'égard des personnes dont les données ont été collectées, avant comme après la mise en demeure dont elle a été l'objet, sans qu'elle puisse se prévaloir utilement de la dérogation tenant au caractère impossible d'une telle information dans le cadre d'une prospection commerciale par SMS ; que le fait que la citation qui précède ce constat ne mentionne que les dispositions du I de l'article 32 de la loi du 6 janvier 1978 est sans incidence sur le bien-fondé de cette délibération ;

En ce qui concerne le respect du droit d'opposition :

14. Considérant que l'article 38 de la loi du 6 janvier 1978 dispose que toute personne physique a le droit, pour des motifs légitimes, de s'opposer sans frais à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement ;

15. Considérant qu'il résulte de l'instruction que les prospects ne pouvaient s'opposer au démarchage dont ils étaient l'objet qu'en adressant un SMS ou un appel téléphonique payants à des numéros figurant dans le message reçu, ou en remplissant un formulaire sur le site internet de la société requérante, sans que cette faculté ait été mentionnée dans les SMS de prospection ; que, par suite, la CNIL a pu estimer, à bon droit, que le droit d'opposition ne respectait pas les exigences de gratuité et d'effectivité fixées par l'article 38 de la loi du 6 janvier 1978 ;

En ce qui concerne le caractère proportionné de la sanction :

16. Considérant qu'aux termes de l'article 47 de la loi du 6 janvier 1978 : " Le montant de la sanction pécuniaire prévue au I de l'article 45 est proportionné à la gravité des manquements commis et aux avantages tirés de ce manquement. -Lors du premier manquement, il ne peut excéder 150 000 euro (...) " ;

17. Considérant que les faits reprochés, qui se sont déroulés au cours de plusieurs années, portent sur plusieurs centaines de milliers de SMS litigieux adressés chaque mois ; que les manquements relevés se rapportent à la violation de l'interdiction de prospection directe par SMS sans accord préalable des prospects, ainsi qu'à la méconnaissance du droit à l'information et du droit d'opposition ; que la société requérante, contrairement à ses allégations, ne s'est pas conformée à la mise en demeure qui lui a été notifiée le 23 juillet 2010 ; que, dès lors, la sanction pécuniaire de 20 000 euro que la CNIL lui a infligée n'est pas disproportionnée au regard de la nature et de la gravité des manquements reprochés ;

En ce qui concerne la publication de la décision attaquée :

18. Considérant que la CNIL a décidé de rendre publique la sanction qu'elle a prononcée à l'encontre de la société requérante, en application des dispositions des articles 47 et 78 de la loi du 6 janvier 1978 ; que la décision de publication, outre sa portée punitive, a pour objet de porter à la connaissance des intéressés tant les irrégularités qui ont été commises que les sanctions que celles-ci ont appelées ; qu'une telle décision trouvant, ainsi qu'il vient d'être dit, son fondement dans une loi dont il n'est pas soutenu qu'elle méconnaîtrait elle-même les normes supérieures qui s'imposent au législateur, la requérante qui, au demeurant, n'établit qu'elle aurait été poursuivie devant le juge pénal à raison des mêmes faits, n'est en toute état de cause pas fondée à soutenir que cette publication porte atteinte au principe de la présomption d'innocence ;

19. Considérant qu'il résulte de tout ce qui précède que la Société Groupe DSE France n'est pas fondée à demander l'annulation de la sanction qui lui a été infligée, ni l'annulation de la décision de publication de celle-ci ; que sa requête doit, par suite, être rejetée ;

Sur les conclusions tendant à l'application de l'article L. 761-1 du Code de justice administrative :

20. Considérant que ces dispositions font obstacle à ce que soit mise à la charge de l'Etat, qui n'est pas dans la présente instance la partie perdante, la somme que la société requérante demande au titre des frais exposés par elle et non compris dans les dépens ;

DECIDE

Article 1er : La requête de Société Groupe DSE France est rejetée.

Article 2 : La présente décision sera notifiée à la Société Groupe DSE France, à la Selarl Buisine Nanterme et à la Commission nationale de l'informatique et des libertés. Copie en sera adressée au Premier ministre.