Nos anciens articles (mai 2015) – CNIL, anonymisation et décisions de justice : évitons la caricature !

Le 11 mars 2015, le Conseil d’Etat a enjoint la Commission Nationale Informatique et Libertés (CNIL) de procéder à l’anonymisation du nom d’une société citée dans une de ses décisions, la seule société X.[1]. En effet, cette dernière n’a pas fait l’objet de la sanction prononcée : elle n’opérait qu’en tant que fournisseur de la solution technique dont l’utilisation était l’objet du litige.

Cette solution a pu provoquer un certain trouble, c’est peu de le dire, lié au fait que la CNIL dispense elle-même les règles à adopter en matière d’anonymisation des décisions de justice.

Mais est-ce aussi simple ? Et la décision du Conseil d’Etat est-elle aussi surprenante ?

Tout d’abord, un bref rappel des faits…

Dans le cadre d’une procédure contre Total Raffinage marketing du fait de plusieurs manquements à la loi du 6 janvier 1978 dite « Informatique et libertés » modifiée relatifs à la mise en place d’un système de vote électronique, la formation restreinte de la CNIL a prononcé le 11 avril 2013 à l’encontre de cette société la publicité de sa délibération de sanction. Or, la société X., qui avait élaboré le système de vote électronique en litige, était intervenue lors de la procédure en présentant des observations. De ce fait, son nom apparaissait dans la décision publiée, avec tous les effets négatifs en termes d’image que cela pouvait entraîner.

En conséquence, cette société a demandé à la CNIL, par courrier en date du 24 juin 2013, de ne pas publier les mentions de la délibération la concernant. La présidente de la CNIL a rejeté sa demande le 19 août 2013, se déclarant incompétente pour se prononcer sur cette requête et se prévalant de l‘article 17 de la loi Informatique et libertés. La société X. a formé un recours en excès de pouvoir contre cette décision devant le Conseil d’Etat.

En l’espèce, le Conseil d’Etat a considéré que, si la formation restreinte de la CNIL était seule compétente pour réexaminer au besoin les sanctions qu’elle a prononcées, voire en corriger les effets (cf. art. 17 de la loi du 6 janvier 1978), elle n’est pas seule compétente pour examiner des demandes de sanction ou d’anonymisation hors du cadre de l’exercice de ses fonctions répressives. La présidente de la CNIL était donc pleinement compétente, et ne devait pas rejeter la demande de retrait de la publication ou d’anonymisation des éléments d’une société tierce citée, mais non poursuivie.

La CNIL sanctionnée pour ne pas avoir fait droit à une demande d’anonymisation, un paradoxe  ?

Rappelons que le 29 novembre 2001, la CNIL a publié une recommandation relative à la diffusion des données personnelles sur internet par les banques de données de jurisprudence, dans laquelle elle préconise l’anonymisation des indications relatives aux personnes physiques parties ou témoins au procès. En ce sens, leurs noms et adresses ne doivent pas être identifiables. Cette obligation résulte de l’article 7 de la loi du 6 janvier 1978, mais ne trouve à s’appliquer que lorsque la communication des décisions est faite au public, sans accès restreint (bien que sur ce dernier point, la position de la CNIL semble avoir évolué depuis le bilan tiré de sa recommandation de 2001, publiée le 19 janvier 2006).

A s’en tenir au simple aspect « Informatique et Libertés », l’anonymisation n’était donc pas requise pour une personne qui n’était que morale et non physique, sa dénomination sociale n’étant pas une donnée à caractère personnel.

Mais ce seul prisme de lecture fausse la compréhension globale de la situation et de l’arrêt étudié, le Conseil d’Etat ayant un point de vue beaucoup plus général sur la question.

Il n’y a pas que la loi Informatique et libertés dans la vie… Il y a aussi le principe de personnalité des peines !

En effet, si le Conseil d’Etat estime dans sa décision que « lorsqu’un tiers demande soit qu’il ne soit pas procédé à la publication des mentions le concernant figurant dans une décision de sanction prononcée par la CNIL dont le dispositif ne lui fait pas grief, soit l’anonymisation de telles mentions dans la version publiée de cette sanction, l’autorité compétente est tenue de faire droit à cette demande », ce n’est en réalité pas la première fois qu’il l’exprime concernant une personne injustement amalgamée avec celles réellement condamnées[2].

En l’occurrence, cette solution a déjà pu être formulée à l’occasion d’une sanction prononcée par la Commission des sanctions de l’Autorité des Marchés Financiers (AMF). Le Conseil d’Etat avait alors retenu qu‘« alors même que celui-ci n’était pas poursuivi et n’était donc pas partie à la procédure (…) s’il était loisible à M. B de demander à l’Autorité des marchés financiers de ne pas publier ou de rendre anonymes les passages le concernant, et, le cas échéant, de former un recours contre le refus qui lui aurait été opposé (…) »[3].

Ces deux attendus de principe, sont fondés sur le principe général de personnalité des peines – nul n’est punissable que de son propre fait – déduit des articles 8 et 9 de la Déclaration des droits de l’homme de 1789, ou encore de l’article 6 §2 de la Convention européenne des droits de l’homme (CEDH). La Haute juridiction l’applique donc en matière de sanction administrative[4], au bénéfice des personnes tant physiques que morales. Application d’autant plus justifiée, depuis que cette même juridiction a reconnu à la CNIL, dans l’exercice de son pouvoir de sanction, la qualité de tribunal au sens de l’article 6 §1 de la Convention EDH[5]. Logique d’en conclure que les garanties du procès équitable doivent être respectées, y compris celles relevant de la matière pénale, au titre desquelles figure le principe de personnalité des peines.

En résumé, un simple principe que beaucoup considéreront comme du simple bon sens : si notre nom apparaît dans une décision de sanction qui n’est pas dirigée contre nous, alors pourquoi devrions-nous supporter l’opprobre qui s’attache à la publication de cette sanction ?

Et pourquoi, dans ce cas, opérer une différence entre le traitement réservé au nom d’une personne physique et celui réservé au nom d’une société ?

La loi du 6 janvier 1978 modifiée,  et la CNIL qui en est l’émanation, posent des règles fondamentales concernant la protection des données. Mais elles s’inscrivent dans un cadre juridique beaucoup plus vaste, et c’est ce dernier ensemble qui doit être pris en compte afin de déterminer la règle qu’il convient d’appliquer à une situation donnée.

De même, attention aux amalgames en considérant un peu rapidement que la CNIL ne respecterait pas ses propres règles en matière d’anonymisation. La question est ailleurs, comme on a pu le voir : il convient simplement de ne pas se laisser abuser par des termes (« anonymisation ») qui renvoient forcément, dans l’imaginaire collectif actuel des juristes, à la seule loi Informatique et libertés et aux seules données à caractère personnel.

Notons, pour finir, la confirmation apportée par cette décision du Conseil d’Etat : les entreprises, comme les personnes physiques mentionnées par les commissions de sanction des régulateurs (et non objets de la sanction), peuvent demander l’anonymisation ou la non-publication des passages les concernant dans les décisions de sanction où elles seraient citées.

Cet article a été co-écrit avec Muriel Talandier-Dupeyrot.

Crédit photo : © jdwfoto – Fotolia.com

[1] La société ayant été jusqu’au Conseil d’Etat pour obtenir l’anonymisation de la décision qui la cite, il nous paraît logique de ne la mentionner dans cet article que sous le nom de « société X. ».

[2] Notons par ailleurs que le Conseil d’Etat s’est prononcé le 12 mars 2014 sur la nature de la décision de publication d’une décision de la formation restreinte et lui reconnaît la qualité de sanction complémentaire. Il ne s’agit donc pas d’une sanction administrative autonome, mais elle revêt néanmoins le caractère de sanction administrative.

[3] CE, 13 juillet 2006 n°285081, disponible sur http://www.legifrance.gouv.fr/affichJuriAdmin.do?oldAction=rechJuriAdmin&idTexte=CETATEXT000008244761&fastReqId=1921789425&fastPos=1

[4] CE, 22 novembre 2000 n°207697, principe de personnalité des peines appliqué à la sanction constituée par un blâme, prononcée par le Conseil des marchés financiers (devenue AMF après sa fusion avec la COB).

[5] CE, 19 février 2008 n°311974, disponible sur http://www.legifrance.gouv.fr/affichJuriAdmin.do?oldAction=rechJuriAdmin&idTexte=CETATEXT000018573269&fastReqId=1584366693&fastPos=1