La commission nationale de l’informatique et des libertés (CNIL) est en France l’autorité indépendante chargée depuis 1978 de protéger la vie privée et les libertés individuelles.

La CNIL peut prononcer des sanctions allant du simple avertissement à une sanction pécuniaire (jusqu’à 300 000 euros).

A l’ouverture du blog, je vous délivrais le constat suivant quant à son activité :

En 2006, elle a reçu 3572 plaintes, adressé 94 mises en demeure, 4 avertissements et prononcé 11 sanctions pour un montant allant de 300 à 45 000 euros.

Le 14 mai 2009, la CNIL a rendu public son rapport d’activité 2008. La CNIL présente une activité en pleine croissance en prenant un recul sur 5 ans. Elle donne les chiffres suivants sur le développement de son activité :

-          +765% pour le nombre de délibérations

-          +1534% pour les contrôles

-          Augmentation des effectifs de 60% (fin 2009 la CNIL comptera 132 postes)

Quant à son activité 2008, elle a reçu 4244 plaintes, effectué 218 contrôles, adressé 126 mises en demeure, 1 avertissement et prononcé 9 sanctions financières pour un montant  allant de 100 à 30 000 euros et pour un total de 137 100 euros. 

Petite comparaison des chiffres 2006 et 2008 :

                                                        2006                     2008

Nb de Plaintes                                      3572                      4244

Nb de contrôles                                       -                         218

Nb de Mises en demeure                          94                         126

Nb d’avertissements                                 4                          1

Nb de sanctions financières                      11                          9

Montant des sanctions                      300 - 45000 €          100 - 30 000 €

Le nombre de contrôles effectués est en augmentation (+33% par rapport à 2007 selon la CNIL) ainsi que le nombre de mises en demeure. Il convient cependant de noter qu’il  y a eu moins d’avertissements et moins de sanctions financières. La fourchette des sanctions financières est également moins importante.

Plus de plaintes et plus de contrôles mais moins de sanctions. Comment interpréter ce constat ? Il semble que les particuliers connaissent mieux leurs droits et la CNIL, d’où une augmentation des plaintes. Cependant moins de sanctions. A croire que les acteurs du secteur privé et public respectent d’avantage la loi et les recommandations de la CNIL, même si en 2008, 50% des Français avaient des craintes concernant l’utilisation des fichiers de données personnelles et 71% estimaient le niveau de protection de leur vie privée sur Internet insuffisant (sondage IPSOS).

Il y a quelques semaines, la CNIL et le Forum des droits sur l’Internet lançaient une grande consultation sur le thème vie privée et Internet. A cette occasion je vous délivrais un chiffre basée sur une étude du CRéDOC : le principal frein à la diffusion d’Internet auprès du grand public est pour 23% des français, l’insuffisance de protection des données personnelles.

La semaine dernière, la CNIL a communiqué de nouveaux chiffres, résultat d’un sondage réalisé par l’institut IPSOS :

-          Pour 61% des Français, l’existence de fichiers est perçue comme une atteinte à la vie privée.

-          50% des Français ont des craintes concernant l’utilisation des fichiers. Leur inquiétude porte autant sur les fichiers d’Etat que sur les fichiers privés.

-          71% des Français jugent que le niveau de protection de leur vie privée sur Internet est insuffisant. 37% le juge pas du tout satisfaisant.

Le contexte international récent n’est, il est vrai, pas très rassurant, je pense notamment à la multiplication des pertes et des fuites de données personnelles chez nos voisins britanniques. Pour ce qui est de la France, le cas ‘Edvige’ symbolise la communication maladroite de nos institutions qui feraient mieux de mettre en avant les actions de la CNIL et lui accorder d’avantages de moyens plutôt que d’inquiéter les Français avec le spectre du fichage.

 2008 ne rassurera pas les britanniques quant à la sécurité des traitements de leurs données personnelles. En effet, en fin d’année dernière, 25 millions de données personnelles avaient été égarées par le fisc anglais, puis plus tard c’était plusieurs centaines de milliers de données que des centres de santé britanniques perdaient. En Avril 2008, la Banque HSBC avait perdu des informations sur 370 000 de ses clients.  

Nouvelle illustration fin août avec un particulier qui a découvert avec stupeur que le disque dur d’un ordinateur qu’il avait acheté sur eBay contenait les données bancaires d’un million de client de la RSB (Royal Bank of Scotland), d’American Express et de Nat West. Le nécessaire pour quiconque voudrait effectuer des opérations en lignes, avec noms, prénoms, Numéro de compte, signatures, … Explication de cette étonnante découverte, un ancien employé de la société Graphic data (société qui archive les données de plusieurs banques) avait fait sortir de son ex société un ordinateur et voulait tout simplement le revendre. Celui-ci semble de bonne foi, il n’avait pas conscience que la machine contenait toujours les informations d’un million de clients, et  avait mis l’ordinateur aux enchères pour 44 euros. L’acquéreur a signalé sa découverte aux autorités et aux médias.

Cette affaire amène une nouvelle fois sur le devant de la scène le problème de la protection des données personnelles. Comment est-il possible que les données bancaires de plusieurs centaines de milliers de clients de Grandes Banques internationales puissent se balader ainsi dans la nature ? Il semblerait qu’aujourd’hui, à l’heure où la dématérialisation de l’économie, des transactions, des courriers, des procédures administratives, etc. soit acquise, beaucoup n’apportent encore que trop peu d’importance à la protection des données personnelles, clef de voute de la société moderne.

L’Allemagne s’est également illustrée puisque du 15 mars 2008 au 20 juin 2008, les noms, adresses, photos d’identité et appartenance religieuse d’environ 500 000 citoyens allemands étaient disponibles en ligne. Les données devaient être accessibles aux communes concernées avec un identifiant et mot de passe. Une incompréhension quant au changement de mot de passe par les communes a laissé un accès relativement aisé aux données pendant plusieurs mois. J’ai tout de même un peu de mal à comprendre pourquoi la société responsable de ce système a affiché sur une page web l’ensemble des identifiants et mots de passes???

Ce qui devait arriver arriva et plusieurs communes ne l’ont pas changé, Hummmm, mouai … bof !

Ces deux affaires illustrent les égarements universels en matière de protection des données personnelles. Alors à l’heure où l’opinion publique française s’offusque de la création du fichier Edvige qui contiendrait des informations sur des personnes jugées à risque (comme si un tel fichier n’existait pas déjà officieusement depuis longtemps), le peu de considération accordé globalement à la protection de nos données n’est il pas encore plus inquiétant?

Le 3 mars 2008, le juge des référés a rendu une ordonnance qui suspend l’utilisation des données nominatives sur le site, ordonnance qui met un coup au site qui ne peut plus identifier les professeurs notés. L’intérêt de Note2be disparait de ce fait.

La CNIL n’a pas sanctionné le site, le TGI étant déjà passé par là, mais c’est prononcé le 8 mars sur son fonctionnement et a qualifié celui-ci « d’illégitime au regard de la protection des données personnelles » et comme portant atteinte à la vie privé des professeurs, notamment eu égard aux lieux d’affectations dévoilés sur le site, lieu qu’ils ont pu souhaiter confidentiel pour protéger leur famille ou intégrité physique.

A suivre la réaction du site qui envisageait peut être de s’installer à l’étranger où de telles pratiques sont parfois tolérées.

Vous avez peut être entendu parler de note2be, ce site qui permet aux élèves de noter leurs profs. Saisie de 17 plaintes et de plus de 160 signalements relatifs au site, la CNIL, dans un communiqué du 14 février indique qu’elle a effectué en urgence, le 13 février 2008, un contrôle dans les locaux des responsables du site. La procédure est fondée sur la loi de 1978 « informatique et liberté ».

« Trois collaborateurs de la CNIL se sont donc déplacés dans les locaux des responsables du site.

L’instruction de ce contrôle est actuellement en cours et permettra d’apprécier la conformité de ce site au regard de la loi « informatique et libertés ».

La CNIL rendra publiques les suites données à cette affaire le 6 mars prochain. Ce délai est rendu nécessaire par le respect du principe du contradictoire. »

Procédure à suivre, l’interrogation se portant, entre autre, sur l’origine des fichiers contenant l’identité des professeurs…