a un eventuel controle sur place de la cnil - L'Afcdp

destinataires exacts des données, la durée de conservation des données et les mesures de sécurité assurant laconfidentialité des données comme cela était pourtant demandé dans la mise en demeure du 10 mai 2006.Au final, les services de la CNIL ont constaté lors du contrôle sur place que non seulement la mise en œuvre dufichier n’était pas suspendue, mais que celui-ci était très régulièrement utilisé et mis à jour, en dépit desnombreuses incertitudes juridiques relevées par la CNIL (finalités du fichier, transmission du fichier sur le planinternational et mesure de sécurité notamment).Les sanctionsLa Commission observe à cet égard que la société Tyco Healthcare France n’a manifestement pas pris la mesurede la gravité des manquements qui lui sont reprochés concernant son manque de coopération (pouvantconstituer une infraction pénale d’entrave) et de transparence. Par ailleurs, la Commission enjoint la sociétéTyco Healthcare France de répondre, sous dix jour à compter de la notification de la présente délibération, àl’ensemble des demandes formulées par la CNIL dans sa mise en demeure du 10 mai 2006.La CNIL, en application des dispositions des articles 45 et suivants de la loi du 6 janvier 1978 modifiée le 6 août2004• a prononcé une sanction pécuniaire de 30.000 euros à l’encontre de cette société,• a décidé la suspension de la mise en œuvre de ce fichier,• a décidé de rendre publique sa décision.Les faits18.5. Du bon usage des données bancaires collectées par leshôtelsA la suite d’un contrôle au sein d’un hôtel, la CNIL a rappelé en mai 2007 les règles encadrant le traitement desdonnées bancaires des clients. Ces données doivent faire l’objet de mesures de sécurité particulières et leurconservation doit être limitée dans le temps. Ces rappels concernent aussi un grand nombre de professionnelsdisposant de fichiers clients.Le contrôle sur place de la CNIL avait pour objet de vérifier le respect par un hôtel de ses obligations en matièrede gestion de ses fichiers « clientèle ».Les manquements relevésParmi les manquements relevés, il a été constaté : l’absence d’une politique d’effacement des données collectées(certaines données étaient conservées depuis près de quinze ans), des mesures de sécurité insuffisantes au regardde la nature des données enregistrées (numéros de carte bancaire notamment) et un défaut d’information desclients sur les conditions de traitement de leurs données et des droits qui leur sont reconnus par la loi (droitd’accès par exemple).La Commission a insisté sur la nécessité d’effacer les données bancaires une fois la transaction réalisée, c’est-àdireaprès le paiement effectif. Cette exigence est destinée à limiter les cas d’utilisation frauduleuse de numérosde cartes bancaires. Seul le consentement exprès du client, préalablement informé de l’objectif poursuivi(faciliter le paiement par les clients réguliers de l’hôtel) peut justifier que les données soient conservées pluslongtemps.En outre, toutes les mesures garantissant la sécurité et la confidentialité des informations doivent être prises : àsavoir, protéger par des mots de passe l’accès aux fichiers « clientèle » et aux logiciels, chiffrer les donnéesbancaires stockées et sécuriser les accès et les liaisons aux sites de gestion de réservations en ligne (login, motsde passe, protocole sécurisé).Enfin, la CNIL a précisé que les clients doivent être informés par des formulaires de réservation en ligne, par lesfactures ou par voie d’affichage, de l’identité du responsable des traitements, de leurs finalités, des destinatairesPage 73 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net