Vu la procédure suivante :
Par une requête sommaire, un mémoire complémentaire et un mémoire en réplique enregistrés les 28 mars 2014, 30 juin 2014 et 5 mars 2015 au secrétariat du contentieux du Conseil d'Etat, l'association Juricom et associés demande au Conseil d'Etat :
1°) d'annuler la délibération de la formation restreinte n° 2014-041 du 29 janvier 2014 par laquelle la Commission nationale de l'informatique et des libertés a prononcé une sanction pécuniaire à son encontre ;
2°) de mettre à la charge de la Commission nationale de l'informatique et des libertés la somme de 3 000 euros au titre de l'article L. 761-1 du code de justice administrative.
Vu les autres pièces du dossier ;
Vu :
- la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le décret n° 2005-1309 du 20 octobre 2005 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Jacques Reiller, conseiller d'Etat,
- les conclusions de Mme Aurélie Bretonneau, rapporteur public ;
La parole ayant été donnée, avant et après les conclusions, à la SCP Gaschignard, avocat de la société Juricom et associés ;
Considérant ce qui suit :
1. Par une délibération de sa formation restreinte n° 2014-041 du 29 janvier 2014, la Commission nationale de l'informatique et des libertés a prononcé une sanction pécuniaire de 10 000 euros à l'encontre de l'association Juricom et associés.
2. En premier lieu, l'association Juricom et associés soutient que le président de la Commission nationale de l'informatique et des libertés était incompétent pour ordonner de son propre chef, par la décision n° 2010-234C du 26 novembre 2010, une mission de vérification des traitements qu'elle met en oeuvre. Mais il résulte de la délibération n° 2006-147 du 23 mai 2006 portant règlement intérieur de la Commission, en vigueur à la date du 26 novembre 2010, et de la délibération n° 2009-674 du 26 novembre 2009 portant délégation d'attributions de la Commission nationale de l'informatique et des libertés à son président et à son vice-président délégué, qui dispose par son article 1er : "Il est donné délégation au président de la Commission nationale de l'informatique et des libertés pour exercer les attributions suivantes : (...) l'attribution d'une mission de contrôle mentionnée à l'article 44 de la loi du 6 janvier 1978 aux membres de la CNIL ou à ses agents habilités, prévue à l'article 11 (2°,f) de la même loi ", que le président de la Commission nationale de l'informatique et des libertés pouvait compétemment ordonner une mission de vérification auprès de l'association Juricom et associés. Le moyen doit donc être écarté.
3. En deuxième lieu, la formation restreinte de la Commission nationale de l'informatique et des libertés , lorsqu'elle est saisie d'agissements pouvant donner lieu à l'exercice de son pouvoir de sanction, doit être regardée comme décidant du bien-fondé d'accusations en matière pénale au sens de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales. Il s'ensuit, et alors même qu'elle n'est pas une juridiction au regard du droit interne, que le moyen tiré de ce qu'elle aurait statué dans des conditions qui ne respecteraient pas le principe d'impartialité rappelé à l'article 6 de cette convention peut, eu égard à la nature, à la composition et aux attributions de cet organisme, être utilement invoqué à l'appui d'un recours formé devant le Conseil d'Etat à l'encontre de sa décision.
4. L'association soutient que les exigences qui s'attachent au principe d'impartialité ont été méconnues dès lors que la mise en demeure du 27 novembre 2013 qualifiait d'ores et déjà ses agissements de " manquement constaté ". Toutefois les dispositions des articles 13, 17, 45 et 46 de la loi du 6 janvier 1978, dans leur rédaction issue de la loi n° 2011-334 du 29 mars 2011 relative au Défenseur des droits, assurent la séparation des fonctions d'enquête, d'instruction et de sanction au sein de la Commission nationale de l'informatique et des libertés. Dès lors qu'il résulte de l'instruction que la présidente de la Commission nationale de l'informatique et des libertés, auteur de la mise en demeure du 27 novembre 2013, n'a pas pris part à l'adoption de la décision de sanction attaquée, le moyen ne peut qu'être écarté.
5. En troisième lieu, la requérante soutient que le principe d'impartialité, le caractère contradictoire de la procédure et l'égalité des armes ont été méconnus en raison de la rédaction et de la diffusion, en application de l'article 4 du décret du 20 octobre 2005, aux membres de la formation restreinte, avant la séance, d'un projet de délibération dont elle n'a pas eu connaissance. Contrairement à ce qui est soutenu, l'article 4 précité n'est pas applicable à la procédure de sanction qui est entièrement régie par les articles 70 et suivants du décret du 20 octobre 2005 qui ne prévoient la rédaction d'un projet de délibération. Le moyen doit donc être écarté.
6. En quatrième lieu, l'article 45 de la loi du 6 janvier 1978 prévoit que le président de la Commission peut mettre en demeure le responsable du traitement de faire cesser le manquement constaté " dans un délai qu'il fixe " et qu'en cas d'urgence, " ce délai peut être ramené à cinq jours ". L'article 73 du décret du 20 octobre 2005 précise que : " La mise en demeure, décidée par le président de la commission, fixe le délai au terme duquel le responsable du traitement est tenu d'avoir fait cesser le ou les manquements constatés. Ce délai ne peut, sauf urgence, être inférieur à dix jours. (...) Il court à compter du jour de la réception par le responsable du traitement de la mise en demeure. ".
7. L'association soutient que la Commission a méconnu ces dispositions dès lors que la mise en demeure du 27 novembre 2013, fixant un délai de dix jours, qui lui a été signifiée par voie d'huissier, était incomplète et ne pouvait être satisfaite faute de comporter l'annexe sur laquelle figurait la liste des nouveaux plaignants ayant réclamé l'effacement des données les concernant, et qu'après transmission de cette liste en réponse à la demande de son avocat, elle n'a disposé que de deux jours. Il résulte en effet de l'instruction que l'association n'a disposé de la liste complète des plaignants que le 11 décembre, soit deux jours avant la désignation d'un rapporteur par décision du 13 décembre 2013. Cependant, contrairement à ce qui est soutenu, la procédure n'est pas entachée d'irrégularité. D'une part la circonstance que la liste complète ait été adressée à l'association par l'intermédiaire de l'avocat qu'elle avait désigné pour la représenter au cours de la procédure engagée à son encontre et par voie de télécopie n'entachait pas d'irrégularité la procédure, dès lors que l'article 73 du décret du 20 octobre 2005 prévoit que la mise en demeure est adressée au responsable du traitement " par tout moyen ". D'autre part, s'il résulte de l'instruction que le rapporteur a caractérisé le manquement constitué par le défaut d'exécution de la mise en demeure dans son rapport notifié à la requérante le 17 décembre 2013, soit avant l'expiration du délai minimum de 10 jours qui doit être laissé aux destinataires d'une mise en demeure pour y déférer, il ressort des termes mêmes de la décision attaquée que la formation restreinte a fondé la sanction contestée sur la circonstance que " l'ensemble des coordonnées des personnes à l'origine des plaintes visées dans la présente procédure étaient toujours en ligne au jour de l'audience ", soit le 23 janvier 2014. Dans ces conditions, le moyen tiré de la méconnaissance de l'article 73 du décret du 20 octobre 2005 doit être écarté.
8. En dernier lieu, aux termes du deuxième alinéa de l'article 2 de la loi du 6 janvier 1978 : " Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne. ". Il résulte de cette définition que le nom et les coordonnées des personnes physiques, telles que leurs adresses et leurs numéros de téléphone, constituent des informations relatives à une personne physique identifiée et, par suite, des données à caractère personnel au sens des dispositions de la loi du 6 janvier 1978. Dès lors, que ces données soient des coordonnées professionnelles des personnes physiques en cause, et qu'elles soient le cas échéant par ailleurs rendues publiques, est sans incidence à cet égard ; c'est donc à bon droit, contrairement à ce qui est soutenu, que la Commission nationale de l'informatique et des libertés les a qualifiées de données à caractère personnel.
9. Il résulte de tout ce qui précède que l'association Juricom et associés n'est pas fondée à demander l'annulation de la délibération du 29 janvier 2014. Sa requête doit donc être rejetée, y compris ses conclusions présentées au titre des dispositions de l'article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1 : La requête de l'association Juricom et associés est rejetée.
Article 2 : La présente décision sera notifiée à l'association Juricom et associés et à la Commission nationale de l'informatique et des libertés.
