Renault Trucks, société française filiale du groupe Volvo, n’avait pas apprécié que la CNIL refuse de l’autoriser à mettre en œuvre un traitement de données à caractère personnel en matière de pédopornographie. Le Conseil d’État vient néanmoins de donner raison à l’autorité publique.
En 2013, Renault Trucks avait vu sa demande d’autorisation placée sur une voie de garage par la CNIL. Pourtant les motivations du constructeur partaient d’un bien bon sentiment : « mettre en œuvre un traitement de recherche des infractions à caractère pédopornographique que pourraient commettre ses salariés ».
Pour traquer ces possibles infractions, l’entreprise avait dans son bahut un beau logiciel appelé « Net Clean », capable de rapprocher les consultations des sites et les téléchargements sur les postes des salariés avec le fichier d'empreintes numériques des contenus pédopornographiques géré par Interpol.
Un logiciel en coeur de réseau, un autre sur les postes des salariés
Selon les détails fournis par la délibération de la CNIL, ce logiciel est installé dans le cœur des serveurs de Volvo, en Suède, en liaison avec le fichier Interpol. « Un autre logiciel est déployé sur chacun des postes des salariés et scanne en temps réel les images et vidéos présentes dans les ordinateurs connectés au réseau de l’entreprise. La recherche s’effectue sur tout matériel connecté au réseau de l’entreprise : disques durs internes et externes, clés USB, CD-rom, DVD, navigateurs web, courriels, etc. Si le logiciel détecte une image à partir de son empreinte numérique, il envoie un message d’alerte auprès des serveurs centralisés et fournit des informations détaillées sur l’incident. Si des fautes étaient constatées, des sanctions disciplinaires pouvant aller jusqu’au licenciement pourraient être prises à l’encontre des salariés concernés. Des poursuites pénales pourraient également être engagées » avait expliqué la Commission.
Volvo avait rétorqué qu’il s’agissait pour elle de participer à la lutte contre la pédopornographie à l’échelle internationale, « dans le cadre de la politique éthique du groupe qui a pour but d’assurer le respect par les salariés de l’ensemble des règles d’origine légale, réglementaire, interne et déontologique, afin de garantir à ses sociétés un fonctionnement conforme aux règles de conduite applicables en la matière ».
Mais Renault Trucks n'est ni juge ni ayant droit
La CNIL a cependant considéré que ce traitement est bien un traitement de données à caractère personnel, relevant donc de ses cordes. L’analyse, combattue par Renault Trucks, a été confortée par le Conseil d’État : « le rapprochement qu'opère le traitement en litige entre un contenu de poste informatique et l'identité de son utilisateur habituel constitue un traitement de données à caractère personnel » assène la juridiction administrative, qui fait notamment peu de cas que les données soient chiffrées. Opéré par la société, ce solide chiffrement peut en effet « être levé par celle-ci ».
Pour le cœur du problème, la juridiction administrative a mis son index sur l’article 9 de la loi du 6 janvier 1978. Un texte clair : « Les traitements de données à caractère personnel relatives aux infractions » ne peuvent être mis en œuvre que par les juridictions, les autorités publiques, les personnes morales gérant un service public, les auxiliaires de justice, sans oublier les fameuses sociétés de gestion collective et les organismes de défense des ayants droit (en amont de la Hadopi, notamment). Un autre article de la loi CNIL, l’article 25, soumet alors ces traitements à autorisation.
Finalement la CNIL comme le Conseil d’État ont relevé que Renault Trucks ne faisait pas partie de la liste des personnes « qui seules peuvent être habilitées à créer de tels traitements ». Le recours de Renault Trucks a donc été rejeté (voir l’arrêt du 11 mai 2015).
