Exonération de déclaration CNIL pour les sites et blogs personels

Ces sites sont susceptibles de permettre, d’une part, la collecte de données à caractère personnel de personnes qui s’y connectent et, d’autre part, la diffusion de données à caractère personnel (nom, images de personnes ou tout autre élément permettant d’identifier une personne physique) ;

La diffusion ou la collecte d’une donnée à caractère personnel à partir d’un site web constitue un traitement automatisé de données à caractère personnel soumis aux dispositions de la loi du 6 janvier 1978 modifiée, notamment celles relatives aux formalités préalables,

Décide :

De faire application des dispositions de l’article 24-II de la loi du 6 janvier 1978 modifiée et de dispenser de déclaration les sites web diffusant ou collectant des données à caractère personnel mis en oeuvre par des particuliers dans le cadre d’une activité exclusivement personnelle.

Par opposition, la diffusion et la collecte de données à caractère personnel opérée à partir d’un site web dans le cadre d’activités professionnelles, politiques, ou associatives restent soumises à l’accomplissement des formalités préalables prévues par la loi.

La commission constate le développement de l’utilisation par les particuliers, à titre privé, de sites web comme moyen de communication.

La commission relève que le développement des sites web personnels participe d’une utilisation nouvelle de l’internet par les particuliers et s’inscrit dans le cadre de la liberté d’expression.

Ces sites peuvent ainsi avoir pour vocation la diffusion d’informations à destination du cercle familial ou des proches, la mise en ligne d’un journal personnel (blocs-notes ou « blogs ») ou la présentation de sujets d’intérêt personnel (loisirs, sport, culture, diffusion d’idées, etc.).

Ils peuvent être créés directement par les particuliers eux-mêmes ou hébergés et maintenus par des prestataires de service.

Le traitement et la diffusion d’informations à partir d’un site web sont soumis notamment aux dispositions de la loi du 21 juin 2004 pour la confiance dans l’économie numérique, de la loi du 29 juillet 1881 sur la liberté de la presse et de la loi « informatique et libertés » du 6 janvier 1978 modifiée.

Les sites mis en oeuvre par des particuliers sont susceptibles de permettre, d’une part, la collecte de données à caractère personnel se rapportant aux personnes qui s’y connectent et, d’autre part, la diffusion de données à caractère personnel (nom, images de personnes ou tout autre élément permettant d’identifier une personne physique).

La diffusion ou la collecte d’une donnée à caractère personnel à partir d’un site web constitue un traitement automatisé de données à caractère personnel soumis aux dispositions de la loi « informatique et libertés » du 6 janvier 1978 modifiée.

Le responsable du traitement ainsi mis en oeuvre est, au regard de l’article 3 de la loi « informatique et libertés », la personne qui prend l’initiative de la création du site, que la gestion technique de celui-ci soit le fait de la personne elle-même ou d’un prestataire de service.

Faisant application de l’article 24 de la loi, la commission a décidé de dispenser de déclaration les sites mis en oeuvre par des particuliers dans le cadre d’une activité privée diffusant ou collectant des données à caractère personnel (délibération n° 2005-284 du 22 novembre 2005).

Pour autant, la CNIL estime utile de préciser les règles applicables à la mise en oeuvre de sites web personnels lorsque ceux-ci collectent ou diffusent des données à caractère personnel,

Recommande :

En ce qui concerne la diffusion au public, à partir d’un site web, de données à caractère personnel :

La commission rappelle que la diffusion de données à caractère personnel (nom, photographie, etc.) est soumise au consentement préalable des personnes auxquelles elles se rapportent. La diffusion de données à caractère personnel relatives à des mineurs, et notamment leur image, ne peut s’effectuer qu’avec leur accord et l’autorisation expresse des parents ou du responsable légal.

Les personnes dont les données sont susceptibles d’être diffusées doivent avoir été préalablement informées :
 de l’identité du responsable du traitement, à savoir de la personne souhaitant procéder à la diffusion ;
 de la finalité poursuivie, à savoir de leur diffusion sur internet, des conséquences d’une telle diffusion et de l’objet du site procédant à cette diffusion ;
 de l’existence d’un droit d’accès, de rectification et d’opposition.

Cette information n’est pas requise lorsque les données concernées ont été rendues publiques par la personne concernée.

Les personnes dont les données à caractère personnel sont traitées peuvent s’opposer à tout moment à la diffusion des données les concernant.

Les sites web personnels ne peuvent diffuser des données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté concernant des tiers.

Au regard des risques de captation et de réutilisation des données qui sont diffusées sur le réseau internet, la commission recommande que les données qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle ne soient pas diffusées à partir d’un site web personnel.

Lorsque les sites ont vocation à n’être consultés que par un nombre limité de personnes (sites exclusivement destinés au cercle familial ou aux proches), la commission recommande que les données diffusées ne soient accessibles qu’aux seules personnes identifiées par le responsable du site web.

En ce qui concerne la collecte de données à caractère personnel à partir d’un site web :

Les sites web mis en oeuvre par des particuliers peuvent conduire ceux-ci à recueillir des informations sur les personnes qui s’y connectent (nom, adresse électronique, etc.).

La commission rappelle que les personnes auprès desquelles sont recueillies ces informations doivent être informées de la finalité de cette collecte, des destinataires ou catégories de destinataires des données et de l’existence d’un droit d’accès, de rectification et d’opposition.

Les données collectées ne peuvent être conservées que pour une durée limitée, en relation avec l’objet du site.