ANNUAIREFRANCAIS.FR sanctionné pour n’avoir pas correctement traité les demandes de droits des internautes
La CNIL a sanctionné la société[1] en charge du site « ANNUAIREFRANCAIS.FR », le 15 septembre 2021, pour des manquements au RGPD, notamment l’obligation de traiter les demandes de droits des internautes et l’obligation de mettre en œuvre un registre des activités.
Le site « ANNUAIREFRANCAIS.FR » est, comme son nom l’indique, un annuaire qui recensait les entreprises françaises et qui détaillait, pour chacune d’elles, certaines informations administratives, comme le nom de l’entreprise ou son adresse. Le site était alimenté par la base de données publique des entreprises maintenue par l’INSEE.
Étant donné que certaines entreprises en France portent le nom de leur dirigeant, notamment celles associées aux autoentrepreneurs et aux professions libérales, le site « ANNUAIREFRANCAIS.FR » listait, dans certains cas, le nom, prénom et l’adresse physique des personnes. Seize de ces personnes ont demandé à l’éditeur, soit la modification, soit la suppression de leurs données, mais ces demandes n’avaient pas abouti.
La CNIL a rappelé à l’éditeur que « les informations relatives aux dirigeants » sont des données à caractère personnel au sens du RGPD[2], tout comme « les informations relatives à la raison sociale de l’entreprise, dès lors qu’il s’agit d’une entreprise en nom »[3], c’est-à-dire le nom des entreprises des autoentrepreneurs et de certaines professions libérales. Les personnes qui dirigeaient une telle structure pouvaient donc légitimement demander la modification ou la suppression de leurs données et l’éditeur était tenu de les traiter.
Lors du contrôle, la Commission française a également constaté que 135 demandes d’effacement n’avaient pas été traitées par l’éditeur « en raison de difficultés opérationnelles ».
Par ailleurs, la CNIL reproche aussi à l’éditeur :
- de ne pas avoir mis en œuvre un registre des activités du traitement, estimant que « le traitement mis en œuvre par la société n’est pas occasionnel puisqu’il constitue le cœur de son activité »[4] ;
- de ne pas avoir suffisamment coopéré avec les services de la Commission, car l’éditeur n’avait pas répondu à toutes les demandes, ou répondu « de manière insatisfaisante ou incomplète »[5].
Une sanction de 3 000 € a été prononcée à l’encontre de la société.
Lire :
Notes et références
- ↑La société en charge du site « ANNUAIREFRANCAIS.FR » est nommée SOCIÉTÉ NOUVELLE DE L’ANNUAIRE FRANÇAIS (SNAF). Elle est immatriculée au Registre du Commerce et des Sociétés de Paris sous le numéro 799 852 991 et est composée d’un unique salarié.
- ↑Le RGPD définit une donnée à caractère personnel comme « toute information se rapportant à une personne physique identifiée ou identifiable ». Le nom d’une personne peut permettre de l’identifier. Il doit donc être considéré comme une donnée personnel. Le fait que la personne soit un dirigeant d’entreprise n’est pas une exception à cette règle. Voir « Le nom d’une personne exerçant une activité professionnelle est-il une donnée à caractère personnel ? ».
- ↑Le nom d’une entreprise peut être, dans certains cas, être une donnée à caractère personnel. Voir « Le nom d’une entreprise ou d’une société est-il une donnée à caractère personnel ? ».
- ↑Le RGPD indique qu’un registre des activités du traitement doit être réalisé si le traitement effectué « n’est pas occasionnel » (source : RGPD, article 30-5). Le site « ANNUAIREFRANCAIS.FR » traitant principalement des données d’entreprise, la CNIL a considéré que le traitement n’était pas occasionnel. L’éditeur devait donc tenir un registre des activités du traitement.
- ↑Le RGPD demande que « le responsable du traitement et le sous-traitant ainsi que, le cas échéant, leurs représentants coopèrent avec l’autorité de contrôle » (source : RGPD, article 31). La société SNAF devait donc répondre correctement aux demandes de la CNIL.