28ème rapport d'activité 2007 de la Commission nationale de l'informatique et des libertés

C O M M I S S I O N
NATIONALE DE
L’INFORMATIQUE
ET DES LIBERTÉS
e28 RAPPORT
D’ACTIVITÉ
2007En application de la loi du 11 mars 1957 (article 41) et du Code de la propriété intellectuelle du
er1 juillet 1992, toute reproduction partielle ou totale à usage collectif de la présente publication est
strictement interdite sans autorisation expresse de l’éditeur. Il est rappelé à cet égard que l’usage
abusif et collectif de la photocopie met en danger l’équilibre économique des circuits du livre.
© La Documentation française – Paris, 2008
ISBN : 978-2-11-007052-4C O M M I S S I O N
NATIONALE DE
L’INFORMATIQUE
ET DES LIBERTÉS
e28 RAPPORT
D’ACTIVITÉ
2007
prévu par l’article 11 de la loi du 6 janvier 1978,
modifiée par la loi du 6 août 2004Sommaire
AVANT-pROpOS 7
LES TEMpS FORTS DE L’ANNÉE 2007 11
Mesurer la diversité : les dix recommandations de la CNIL 13
Gérer les fichiers centraux de crédit et de logement 16
Encadrer la biométrie 18
Affaire SWIFT : vers une sortie de crise 23
La vidéosurveillance sous l’œil de la CNIL 25
L’invasion des puces ! 27
LA CNIL EN ACTION 29
Protéger 32
Informer, conseiller 38
Contrôler, sanctionner 46
Anticiper 50
L’échelon européen est déterminant 51
LES DÉFIS 53
L’internaute à la trace 55
Automobilistes, piétons, cyclistes, passagers : circulez, vous êtes pistés ! 59
La santé numérique à l’heure des choix 64
Le salarié... mondialisé malgré lui 68
Les initiatives de la francophonie 70

AU pROgRAMME DE L ’ANNÉE 2008 73
Trente ans après, faut-il (encore) modifier la loi informatique et libertés ? 75
eLa France et l’Allemagne coorganisatrices de la 30 conférence mondiale 76
Externalisation informatique : comment assurer la protection des données ? 77
Le contrôle des fichiers de police STIC, FNAEG et des renseignements généraux 78
Affaire Discovery : un nouveau dossier sensible avec les États-Unis 80
Création d’un prix de thèse informatique et libertés 82
Les principaux décrets d’application devant être soumis pour avis à la CNIL 83
LES pROpOSITIONS DE LA CNIL
AUx pOUVOIRS pUBLICS 85
ANNExES 87
Les membres de la CNIL 91
erLes services au 1 mars 2008 92
La CNIL en chiffres 94
Les moyens de la CNIL 95
Liste des délibérations adoptées par la CNIL en 2007 97
Liste des sanctions financières en 2007 121
Liste des organismes contrôlés en 2007 122
Lexique informatique et libertés 125
La CNIL en un CLIN d’œil
La Commission nationale de l’informatique et des libertés est chargée d’appliquer la loi du 6 janvier 1978 modifiée en août
2004 relative à l’informatique, aux fichiers et aux libertés. La mission générale de la CNIL est de veiller à ce que l’informatique
soit au service du citoyen et qu’elle ne porte atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux
libertés individuelles ou publiques.

Avant-propos
Bourrasques, averses et éclaircies...
La métaphore météorologique a ses vertus, celle de rendre Alex Türk, président de la CNIL
compte de l’imprévisibilité de l’actualité, de sa brutalité parfois,
de sa précaire sérénité aussi. Bourrasque d’abord, qui vint de
l’ouest, de la volonté du Gouvernement américain d’imposer un effet extraterritorial
à ses lois sécuritaires. Ainsi, en vertu d’un accord conclu entre l’Union européenne et
le Gouvernement des États-Unis en juillet 2007, tous les passagers aériens à destina-
tion des États-Unis et recourant aux services de compagnies aériennes européennes
voient, au nom de la légitime lutte contre le terrorisme, leurs données désormais
transférées à plus d’une douzaine d’administrations américaines. Ce transfert des
données passagers (dites PNR en anglais) est effectué sans contrôle de la part des
Européens, pour une durée de 15 ans, et peut entraîner des refus d’embarquement
pour des personnes qui auront bien des difficultés à obtenir des explications et à
faire valoir leurs droits. De surcroît, les données transférées peuvent « en cas de
nécessité », appréciée souverainement par les autorités américaines, porter sur des
informations « sensibles » telles que les préférences alimentaires des personnes, leur
état de santé, leurs opinions politiques ou leur origine ethnoraciale. En dépit de
l’opposition résolue du Parlement européen et des « CNIL » européennes, ce nouvel
accord a été signé. Il a le goût amer de l’échec pour notre modèle qui entend
concilier la liberté et la sécurité, sans sacrifier l’une à l’autre.
Bourrasque encore, mais plus hexagonale cette fois, qui conduisit la commis-
sion chargée de mener une réflexion sur la réforme de nos institutions, présidée par
M. Édouard Balladur, à préconiser le démantèlement de la CNIL au profit de la
création d’un « défenseur des droits fondamentaux » regroupant d’autres autorités,
telles que le Médiateur de la République, la HALDE, le Défenseur des enfants ou
encore le Contrôleur général des prisons. Cette proposition est notamment fondée sur
l’idée, aujourd’hui erronée, que notre Commission relève d’une autorité de média-
tion entre les usagers et l’administration. Or, depuis la loi du 6 août 2004, près
de 70 % des décisions de la CNIL concernent le secteur privé. Notre Commission
est désormais dotée de pouvoirs de conseil, de contrôles sur place et sur pièces,
qu’elle entend développer, d’un pouvoir de sanction qui fait que le Conseil d’État l’a
récemment qualifiée de « juridiction ». La CNIL n’est donc plus cette autorité chargée
de rendre des avis sur les fichiers publics mais un véritable régulateur, du secteur
eC N I L 2 8 R A P P O R T D ’ A C T I V I T É 2 0 0 7
privé avant tout. Quel serait donc le gain pour nos concitoyens, en termes de
protection de leurs libertés, d’une disparition d’un organe collégial et juridictionnel
au profit d’une seule personne, aux compétences si étendues qu’elle ne pourrait
raisonnablement les exercer ? Il est peu de dire que je m’interroge.
Averse ensuite, dont la France a le génie. En effet, notre pays s’interroge,
depuis plusieurs années, sur l’efficacité de son modèle d’intégration républicain,
sur la nécessité de lutter contre les discriminations. Or, pour lutter contre les
discriminations, encore faut-il pouvoir les mesurer. Pour cela, il est nécessaire
de procéder à l’observation statistique des différences, de la diversité sociale,
« ethnique », religieuse, culturelle... ? Mais alors, quels critères utiliser pour analyser
cette diversité ? Quelles méthodes employer ? Qui peut le faire ? Comment concilier
cette nécessité de mieux connaître notre société avec l’interdiction prévue par la loi
informatique et libertés de recueillir des données faisant apparaître « directement
ou indirectement les origines raciales ou ethniques » des personnes ? Cette
problématique est délicate car elle touche à l’essence même de ce qui fait notre
identité, à notre conception de la République, à la façon dont on se perçoit et dont
on est perçu par les autres.
Compte tenu de ces enjeux, la CNIL a engagé le débat en constituant un
groupe de travail. Ce groupe a réalisé plus de 60 auditions et recueilli le point de
vue de l’ensemble des acteurs concernés : chercheurs, organisations syndicales,
représentants des grandes religions, mouvements associatifs, chefs d’entreprises...
À l’issue de ces travaux, nous avons publié, le 15 mai 2007, 10 recom-
mandations dont l’une d’entre elles tendait à modifier notre loi afin de faciliter les
recherches en matière de mesure de la diversité des origines, de la discrimination
et de l’intégration tout en améliorant la protection des personnes, de leurs données
ainsi que le caractère scientifique des enquêtes. Ces recommandations fure