NOR : CNIX0508884X

   La Commission nationale de l’informatique et des libertés,
   Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
   Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel ;
   Vu la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique ;
   Vu la loi du 29 juillet 1881 sur la liberté de la presse ;
   Vu l’article 9 du code civil ;
   Vu la délibération de la Commission nationale de l’informatique et des libertés n° 2005-284 du 22 novembre 2005 décidant la dispense de déclaration des sites web diffusant ou collectant des données à caractère personnel mis en oeuvre par des particuliers dans le cadre d’une activité exclusivement personnelle ;
   Après avoir entendu M. Emmanuel de Givry, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,
   Formule les observations suivantes :
   La commission constate le développement de l’utilisation par les particuliers, à titre privé, de sites web comme moyen de communication.
   La commission relève que le développement des sites web personnels participe d’une utilisation nouvelle de l’internet par les particuliers et s’inscrit dans le cadre de la liberté d’expression.
   Ces sites peuvent ainsi avoir pour vocation la diffusion d’informations à destination du cercle familial ou des proches, la mise en ligne d’un journal personnel (blocs-notes ou « blogs ») ou la présentation de sujets d’intérêt personnel (loisirs, sport, culture, diffusion d’idées, etc.).
   Ils peuvent être créés directement par les particuliers eux-mêmes ou hébergés et maintenus par des prestataires de service.
   Le traitement et la diffusion d’informations à partir d’un site web sont soumis notamment aux dispositions de la loi du 21 juin 2004 pour la confiance dans l’économie numérique, de la loi du 29 juillet 1881 sur la liberté de la presse et de la loi « informatique et libertés » du 6 janvier 1978 modifiée.
   Les sites mis en oeuvre par des particuliers sont susceptibles de permettre, d’une part, la collecte de données à caractère personnel se rapportant aux personnes qui s’y connectent et, d’autre part, la diffusion de données à caractère personnel (nom, images de personnes ou tout autre élément permettant d’identifier une personne physique).
   La diffusion ou la collecte d’une donnée à caractère personnel à partir d’un site web constitue un traitement automatisé de données à caractère personnel soumis aux dispositions de la loi « informatique et libertés » du 6 janvier 1978 modifiée.
   Le responsable du traitement ainsi mis en oeuvre est, au regard de l’article 3 de la loi « informatique et libertés », la personne qui prend l’initiative de la création du site, que la gestion technique de celui-ci soit le fait de la personne elle-même ou d’un prestataire de service.
   Faisant application de l’article 24 de la loi, la commission a décidé de dispenser de déclaration les sites mis en oeuvre par des particuliers dans le cadre d’une activité privée diffusant ou collectant des données à caractère personnel (délibération n° 2005-284 du 22 novembre 2005).
   Pour autant, la CNIL estime utile de préciser les règles applicables à la mise en oeuvre de sites web personnels lorsque ceux-ci collectent ou diffusent des données à caractère personnel,

   Recommande :

   En ce qui concerne la diffusion au public, à partir d’un site web, de données à caractère personnel :

   La commission rappelle que la diffusion de données à caractère personnel (nom, photographie, etc.) est soumise au consentement préalable des personnes auxquelles elles se rapportent. La diffusion de données à caractère personnel relatives à des mineurs, et notamment leur image, ne peut s’effectuer qu’avec leur accord et l’autorisation expresse des parents ou du responsable légal.
   Les personnes dont les données sont susceptibles d’être diffusées doivent avoir été préalablement informées :
   – de l’identité du responsable du traitement, à savoir de la personne souhaitant procéder à la diffusion ;
   – de la finalité poursuivie, à savoir de leur diffusion sur internet, des conséquences d’une telle diffusion et de l’objet du site procédant à cette diffusion ;
   – de l’existence d’un droit d’accès, de rectification et d’opposition.
Cette information n’est pas requise lorsque les données concernées ont été rendues publiques par la personne concernée.
   Les personnes dont les données à caractère personnel sont traitées peuvent s’opposer à tout moment à la diffusion des données les concernant.
   Les sites web personnels ne peuvent diffuser des données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté concernant des tiers.
   Au regard des risques de captation et de réutilisation des données qui sont diffusées sur le réseau internet, la commission recommande que les données qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle ne soient pas diffusées à partir d’un site web personnel.
   Lorsque les sites ont vocation à n’être consultés que par un nombre limité de personnes (sites exclusivement destinés au cercle familial ou aux proches), la commission recommande que les données diffusées ne soient accessibles qu’aux seules personnes identifiées par le responsable du site web.

   En ce qui concerne la collecte de données à caractère personnel à partir d’un site web :

   Les sites web mis en oeuvre par des particuliers peuvent conduire ceux-ci à recueillir des informations sur les personnes qui s’y connectent (nom, adresse électronique, etc.).
   La commission rappelle que les personnes auprès desquelles sont recueillies ces informations doivent être informées de la finalité de cette collecte, des destinataires ou catégories de destinataires des données et de l’existence d’un droit d’accès, de rectification et d’opposition.
   Les données collectées ne peuvent être conservées que pour une durée limitée, en relation avec l’objet du site.
   La transmission à des tiers, par le responsable du site, des données collectées ne peut s’effectuer que dans le cadre d’activités privées, après que la personne concernée en a été informée et a été mise en mesure de s’y opposer.
   La présente délibération sera publiée au Journal officiel de la République française.

Pour la commission :
Le président,
A. TÜRK