L’essentiel : L’office public de l’habitat de Rennes Métropole a été sanctionné de 30 000 euros par la CNIL pour avoir détourné la finalité d’un fichier de données personnelles. Bien que les données aient été collectées pour la gestion du parc social et l’information des locataires, un courrier adressé aux résidents critiquait une réforme gouvernementale et appelait à la mobilisation. La CNIL a jugé que ce contenu ne relevait pas d’une simple information, mais constituait un manquement aux finalités autorisées, justifiant ainsi la sanction. Cette affaire souligne l’importance de respecter les finalités de traitement des données personnelles.

Attention à parfaitement respecter la finalité pour laquelle un fichier a été déclaré à la CNIL. Utiliser une base de données nominatives (locataires d’HLM) pour dénoncer une mesure gouvernementale, a été sanctionné par la CNIL.   

Finalités des données collectées

Au sens de la loi du 6 janvier 1978 et du RGDP, les données sont collectées de manière loyale et licite. Elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités.

Affaire Rennes Métropole

L’office public de l’habitat de Rennes Métropole – Archipel Habitat a écopé d’une sanction de 30000 euros pour détournement de la finalité d’un fichier.

L’office public de l’habitat était autorisé à utiliser les données à caractère personnel qu’il a collectées et qui font l’objet d’un traitement pour plusieurs finalités, en particulier la gestion du parc social immobilier de son ressort, mais également l’information de ses locataires, conformément à la délibération à caractère général de la CNIL n° 2006-138 du 9 mai 2006, aux termes de laquelle font l’objet d’une dispense de déclaration les traitements qui ont  » pour seules finalités la constitution et l’exploitation d’un fichier d’adresses à des fins d’information ou de communication externe se rapportant au but ou à l’activité poursuivie par la personne physique ou morale qui met en oeuvre le traitement. « 

Un courrier adressé aux locataires par la présidente de l’office a eu pour objet, pour une part, de les informer des conséquences qu’un projet de réforme de l’aide personnalisée au logement était susceptible d’avoir sur la situation financière de l’office et sur sa capacité à entretenir et à réhabiliter son patrimoine immobilier. Sur ce volet, le courrier ne méconnaissait pas les finalités du traitement autorisé.

Toutefois, le courrier comportait par ailleurs une critique virulente «d’une attaque contre les locataires d’HLM [qui] doit être stoppée  » et un appel à la mobilisation des locataires contre le projet de réforme.

La formation restreinte de la CNIL (qui n’a pas qualifié le courrier de  » communication politique « ), a pu estimer que le contenu du courrier n’était  » pas de nature purement informative « . Un manquement à l’obligation de respecter les finalités pour lesquelles le traitement avait été autorisé, de nature à justifier une sanction, était caractérisé.

30000 euros de sanction

Eu égard au caractère intentionnel de l’utilisation des données personnelles des locataires des logements sociaux dans un but non conforme aux finalités du traitement, à la nature de la règle ainsi méconnue par cette personne publique et au nombre important des personnes concernées, la formation restreinte de la CNIL n’a pas infligé à l’office public de l’habitat une sanction disproportionnée aux faits de l’espèce en prononçant une sanction pécuniaire d’un montant de 30 000 euros. Télécharger la décision

Q/R juridiques soulevées :

Quelles sont les finalités des données collectées selon la loi ?

Les données collectées doivent respecter des principes fondamentaux selon la loi du 6 janvier 1978 et le Règlement Général sur la Protection des Données (RGPD).

Elles doivent être collectées de manière loyale et licite, pour des finalités déterminées, explicites et légitimes. Cela signifie que les organismes doivent clairement définir pourquoi ils collectent ces données et ne peuvent pas les utiliser pour d’autres objectifs qui ne seraient pas compatibles avec ces finalités initiales.

En d’autres termes, une fois que les données sont collectées pour une raison précise, elles ne peuvent pas être détournées pour des usages non prévus sans le consentement des personnes concernées.

Quel a été le cas de l’office public de l’habitat de Rennes Métropole ?

L’office public de l’habitat de Rennes Métropole, connu sous le nom d’Archipel Habitat, a été sanctionné par la CNIL à hauteur de 30 000 euros pour avoir détourné la finalité d’un fichier de données.

Cet organisme était autorisé à utiliser les données personnelles des locataires pour des finalités spécifiques, notamment la gestion de son parc immobilier et l’information des locataires.

Cependant, un courrier envoyé aux locataires a inclus des critiques sur un projet de réforme gouvernementale, ce qui a été jugé comme un manquement aux finalités pour lesquelles les données avaient été initialement collectées.

Pourquoi le courrier a-t-il été considéré comme un manquement ?

Le courrier adressé aux locataires par la présidente de l’office contenait des éléments qui allaient au-delà de l’information.

Bien qu’il ait informé les locataires des conséquences d’une réforme sur leur situation financière, il comportait également des critiques virulentes sur le projet de réforme, qualifiant cela d’« attaque contre les locataires d’HLM » et appelant à la mobilisation.

La CNIL a estimé que le contenu du courrier n’était pas simplement informatif, ce qui a constitué un manquement aux obligations de respect des finalités pour lesquelles le traitement des données avait été autorisé.

Quelle a été la justification de la sanction de 30 000 euros ?

La sanction de 30 000 euros infligée à l’office public de l’habitat a été justifiée par plusieurs facteurs.

D’abord, le caractère intentionnel de l’utilisation des données personnelles à des fins non conformes a été pris en compte.

Ensuite, la nature de la règle méconnue par l’organisme public et le nombre important de personnes concernées ont également été des éléments déterminants.

La CNIL a jugé que la sanction n’était pas disproportionnée par rapport aux faits, soulignant l’importance de respecter les finalités pour lesquelles les données ont été collectées.