La formation restreinte de la CNIL annonce le 31 juillet avoir prononcé une sanction de 30.000 euros à l’encontre de l’OPH de Rennes Métropole ARCHIPEL HABITAT pour avoir utilisé le fichier de ses locataires à d’autres fins que celle de gestion de l’habitat social.
En octobre 2017, la CNIL a reçu une plainte concernant l’utilisation du fichier des locataires de logements sociaux par la Présidente de l’OPH, également Maire de Rennes, pour leur adresser un courrier spécifique critiquant l’annonce du gouvernement de diminuer le montant des aides personnalisées au logement (APL). Ce courrier mentionnait par ailleurs des initiatives nationales tendant à mobiliser les locataires autour de cette problématique.
La formation restreinte de la CNIL a rappelé que, en vertu de la loi « Informatique et libertés » les données personnelles doivent être collectées pour des finalités « déterminées, explicites et légitimes ». Par ailleurs, la loi interdit que des données personnelles soient traitées ultérieurement de manière incompatible avec la finalité qui en a justifié la collecte.
L’OPH a justifié sa démarche, au regard de ces principes, en indiquant que ce courrier avait pour seule finalité d’informer les locataires sur les nouvelles dispositions réglementaires relatives au montant des APL. L’OPH considérait ainsi agir dans le cadre de ses missions de gestion locative et de mise en œuvre des politiques publiques concernant l’habitat social. L’OPH indiquait également pouvoir traiter des données à des fins de communication externe.
La formation restreinte a cependant considéré qu’au regard des termes utilisés dans le courrier (« cette mesure est injuste. […] cette orientation […] aurait des répercussions terribles sur la qualité de votre cadre de vie ») et de la teneur générale du message, qui a d’ailleurs été envoyé à l’ensemble des locataires qu’ils bénéficient ou non des APL, il ne s’agissait pas d’un simple courrier d’information. La formation restreinte a également considéré que ce courrier ne pouvait se rattacher à la « mise en œuvre » d’une politique publique concernant l’habitat à caractère social dès lors que son objet n’était pas de traiter les données personnelles des locataires afin d’appliquer concrètement une politique publique mais bien de critiquer une annonce gouvernementale concernant la baisse à venir des APL.
“Utilisation incompatible avec la finalité initiale de la collecte de ces données”
Sans mettre en cause la possibilité pour l’OPH de s’exprimer sur une réforme en cours, la formation restreinte a par conséquent estimé que l’utilisation des données personnelles issues du fichier des locataires de l’OPH pour adresser ce courrier était incompatible avec la finalité initiale de la collecte de ces données, à savoir la gestion des demandes de logement social ou du parc immobilier. La formation restreinte a prononcé, pour ce manquement à l’article 6.2° de la loi Informatique et Libertés, une sanction de 30.000 euros
La formation restreinte a décidé de rendre publique sa décision, l’OPH ayant méconnu l’un des principes fondamentaux de la loi Informatique et Libertés. Elle a estimé par ailleurs indispensable de rappeler publiquement à l’ensemble des acteurs du secteur social, l’interdiction d’utiliser des fichiers d’usagers pour des finalités autres et incompatibles avec les finalités initiales.
Lien sur le site de la CNIL
Lien sur la délibération
Joel Pascal
