Les interventions de la CNIL
B. Les liens capitalistiques entre entités juridiques
distinctes sont sans incidence sur le droit des personnes
concernées
Contrairement à une idée commune, la loi « informatique et libertés », pas
davantage que la directive européenne, n’interdit la cession ou la mise à disposition
de fichiers privés à des fins commerciales au profit d’entreprises tierces. La vente, la
location, la mise à disposition de fichiers de données personnelles n’est nullement interdite et correspond à un secteur d’activité toujours croissant. Internet a illustré ce
phénomène, et chacun a pu constater que certains sites Web à vocation commerciale
étaient mis en place, moins dans le souci de vendre un produit ou un service que dans
celui de constituer un fichier de visiteurs ou d’acheteurs qui pourra ensuite être vendu
à un tiers, à un coût d’autant plus élevé, que le « profil » commercial des visiteurs ou
acheteurs sera précis.
En revanche, toute personne a le droit de s’opposer à la cession de ses données à des tiers à des fins d’exploitation commerciale et aucune disposition de la loi
du 6 janvier 1978 ou de la directive européenne du 24 octobre 1995 ne limite ce
droit : les personnes doivent être préalablement explicitement informées de l’éventualité d’une telle cession et mises en mesure de s’y opposer.
À cet égard, les liens de capital qui peuvent exister entre l’entreprise qui
cède son fichier et l’entreprise cessionnaire sont sans incidence sur le droit pour les
personnes concernées de s’opposer à une telle cession. La CNIL l’affirme avec clarté
dans sa délibération « la circonstance que ces tiers [les entreprises cessionnaires]
soient devenus des entités juridiques distinctes au sein d’un même groupe est, à cet
égard, indifférent et ne saurait priver les personnes des droits qu’elles tiennent de la
loi de protection des données personnelles, au motif de l’évolution de liens capitalistiques caractérisant le co-contractant ».
En vertu du principe de finalité des fichiers, un groupe capitalistique réunissant des entités juridiquement distinctes dont certaines peuvent exercer des activités
tout à fait différentes ne saurait, au seul motif des liens du capital, mêler dans un
même ensemble des bases de données constituées pour des fins différentes, sans souci du droit que les personnes tiennent des législations de protection des données personnelles de s’y opposer. Les fusions entre entreprises ne peuvent pas conduire à une
interconnexion généralisée de leurs fichiers.
C. Le droit de s’opposer à la cession de ses données
à des fins de prospection doit être effectif ; la condition
de cette effectivité est une parfaite information
des personnes concernées
Tel est le deuxième intérêt de la délibération relative à la mission de vérification sur place effectuée auprès de Canal+.
En effet, si les cessions de données personnelles ne sont pas interdites, que
les données soient cédées à une autre filiale d’un même groupe ou à une entreprise
e
CNIL 22 rapport d'activité 2001
41