Le 28 juillet dernier, la CNIL a annoncé avoir mis en demeure 8 entreprises propriétaire de sites de rencontre rencontre pour de sérieux manquements à la Loi Informatique et Libertés. Principal grief de la Commission envers celles-ci, le traitement des données personnelles sensibles jugé comme étant lacunaire.
Des contrôles prévus de longue date
Ce ne sont pas moins de 13 sites de rencontre qui ont été visés par les mises en demeure de la CNIL, parmi lesquels l’on retrouve des noms bien connus tels que Meetic ou AdopteUnMec. Celles-ci font suite à une volonté de la Commission, annoncée fin 2014, de procéder à des contrôles de conformité à la Loi Informatique et Libertés pour les sites de rencontre.
La raison à cela est assez évidente puisque ces sites ont connu un essor remarquable ces dernières années et regroupent désormais des millions d’utilisateurs. La principale problématique identifiée par la CNIL, et cela bien avant avoir procédé aux contrôles, était qu’un nombre très important de données personnelles sensibles étaient renseignées par les utilisateurs de ces plateformes de rencontre afin de pouvoir être mis en relation avec des personnes disposant plus ou moins du même profil.
Seulement, les données personnelles sensibles font l’objet d’une protection particulière prévue par l’article 8 de la Loi Informatique et Libertés puisque leur traitement est, selon son premier alinéa, interdit. Cela n’est toutefois qu’un principe qui souffre de nombreuses exceptions offrant la possibilité de mettre en place un traitement de données à caractère personnel sensibles, mais cela est soumis à une autorisation préalable de la CNIL qui fait fi d’une grande vigilance en la matière eu égard à la dangerosité de telles données.
Pas de sanctions… pour l’instant ?
Le contrôle de la CNIL a mis en lumière de très nombreux manquements à la législation en vigueur concernant les données personnelles. Ainsi, 4 griefs principaux ont été retenus :
- Il est notamment reproché aux sites visés par la mise en demeure de ne pas demander l’avis exprès de ses membres quant à la collecte de leurs données personnelles sensibles et de ce que cela implique. De manière générale, les internautes ne sont pas assez informés sur les droits qu’ils ont quant à leurs données personnelles, notamment les données sensibles, et pourquoi celles-ci sont particulièrement protégées. L’affaire « Ashley Madison » a parfaitement mis cela en lumière en montrant les conséquences que peuvent avoir la divulgation de donnes personnelles sensibles.
- Les sites conservent les données personnelles des anciens membres alors même que ceux-ci ont demandé leur désinscription ou ne fréquentent plus le site depuis une durée suffisamment longue pour laisser à penser qu’ils ne font plus partie de la communauté. Ce grief découle des caractéristiques que doit revêtir un traitement des données à caractère personnel, tel que cela est prévu par la loi Informatique et Libertés. En effet, la conservation des données issues du traitement n’est possible que pour la finalité pour laquelle celui-ci a été mis en place et pour une durée limitée. Conserver ce genre de données alors que la personne n’est plus inscrite sur le site est donc totalement illégal.
- Tout traitement de données personnelles sensibles doit faire l’objet d’une autorisation préalable auprès de la CNIL. Dans le cas présent, certains traitements de telles données qui avaient pour but de filtrer l’accès aux services proposés par le site n’avaient pas fait l’objet d’une autorisation de la part de la CNIL et étaient donc illégaux.
- Enfin, les sites qui collectent des données personnelles, quelles qu’elles soient, ont pour obligation d’informer les utilisateurs des droits dont ils disposent. Il s’agit des droits d’accès à leurs données afin de savoir ce que le site a collecté comme information sur leur personne, de rectification des données incorrectes et de suppression. Cette information n’était que très lacunaire sur les sites de rencontre épinglés, de même que leur politique d’utilisation des cookies qui ne faisait pas l’objet d’une information suffisamment détaillée auprès de l’internaute.
Pour le moment, aucune sanction n’a été prise à l’encontre des sociétés visées par la mise en demeure. Celle-ci ne vise qu’à les informer de leurs manquements envers la loi et les inviter à procéder aux formalités et aux modifications nécessaires en vue de s’y conformer. Elles disposent de trois mois pour agir et faire preuve de bonne volonté, faute de quoi la CNIL pourra passer à l’offensive et prendre des sanctions.
Thomas SCHMIDT Etudiant en M2 Droit de l’économie numérique car passionné par les nouvelles technologies qui sont désormais au cœur de la société et qui soulèvent de nouvelles problématiques, notamment juridiques et éthiques. Au-delà de ça, je suis également féru de sport, et particulièrement le football que je pratique en club. J’ai la chance de pouvoir mettre mes compétences en la matière au service des parieurs sur www.mediapronos.com en proposant mes analyses pour la Ligue 1.
