La CNIL a décidé de frapper publiquement et au porte-monnaie l'agrochimiste Monsanto (propriété de Bayer) en prononçant ce mercredi à son encontre une amende administrative de 400.000 euros. Motif: l'agrochimiste est accusé d'avoir fiché illégalement des personnalités publiques ou issues de la société civile (politiques, journalistes, militants écologistes, agriculteurs, scientifiques...) dans le but d'influencer le débat public pour favoriser le renouvellement de l'autorisation du glyphosate par la Commission européenne.

Les personnes fichées n'avaient pas été informées

"La création de fichiers de contacts par les représentants d'intérêts à des fins de lobbying n'est pas, en soi, illégale. En revanche, ne peuvent figurer dans ce fichier que des personnes qui peuvent raisonnablement s'attendre, en raison de leur notoriété ou de leur activité, à être l'objet de contacts du secteur", explique la Commission.

De fait, le gendarme français des données personnelles, destinataire de 7 plaintes "émanant notamment de personnes concernées par ce fichier", reproche à la société d'avoir manqué à son obligation d'information des personnes, qui n'ont appris l'existence de ce traitement de données que lors de sa révélation en mai 2019 par des journalistes d'investigation de deux médias français, Le Monde et France 2.

"La création de fichiers de contacts par les représentants d'intérêts à des fins de lobbying n'est pas, en soi, illégale. En revanche, ne peuvent figurer dans ce fichier que des personnes qui peuvent raisonnablement s'attendre, en raison de leur notoriété ou de leur activité, à être l'objet de contacts du secteur", explique la Commission.

Il faut de plus que "les données inscrites dans le fichier aient été collectées légalement et que les personnes soient informées de l'existence du fichier, afin de pouvoir exercer leurs droits, notamment leur droit d'opposition."

Des notes de 1 à 5 pour évaluer le degré de soutien au glyphosate, OGM...

"L'information est un droit essentiel qui conditionne l'exercice des autres droits (droits d'accès, d'opposition, d'effacement...) dont bénéficient les personnes : dans ce cas, elles en ont été empêchées durant plusieurs années", insiste la Cnil.

Point important, la CNIL relève également un manquement à l'obligation d'encadrer les traitements de données effectués par des sous-traitants. En effet, le fichier en question contenait pour chacune des "plus de 200 personnalités" inscrites dans le fichier, une "note allant de 1 à 5" permettant "d'évaluer son influence, sa crédibilité et son soutien à la société Monsanto sur divers sujets tels que les pesticides ou les organismes génétiquement modifiés".

Le responsable du traitement des données est, in fine, le commanditaire

La société Monsato a cherché à contester la procédure engagée contre elle sur plusieurs points, et notamment sur sa "qualité de responsable de traitement". Selon elle, les sous-traitants qu'elle a embauchés sont les seuls responsables du traitement des données.

Monsanto a ainsi cherché à mettre en cause, la société de relations publiques Fleishman-Hillard (devenue le 1er janvier 2017 Omnicom Public Relations Group), qu'elle avait engagée dès 2013, et à laquelle elle a confié (par trois avenants et quatre cahiers des charges) à compter de 2016 et jusqu'au 31 mai 2019 une mission de représentation d'intérêts concernant l'utilisation du glyphosate en Europe et dans le monde.

"En défense, la société [Monsanto] estime que la responsabilité du traitement incombait exclusivement à la société Fleishman-Hillard et que la rapporteure confond les notions de bénéficiaire d'un service et celle de responsable de traitement. Elle souligne que c'est la société Fleishman-Hillard qui, en sa qualité d'entreprise spécialisée en matière de conseil et de relations publiques, a construit le fichier de manière autonome, selon une méthodologie qu'elle a elle-même définie, puis qui l'a proposé à la société Monsanto", lit-on dans le délibéré de la CNIL.

Autre sous-traitant cité, la société Publicis Consultants, qui a été chargée par Fleishman-Hillard, entre 2016 et avril 2017 pour le compte de la société Monsanto, "d'identifier les personnes influentes dans le débat public en France, de produire des notes d'analyse relatives aux tendances électorales en France et de procéder à une veille des médias sur l'actualité législative et politique française en lien avec le débat sur le renouvellement de l'autorisation d'utilisation du glyphosate en Europe".

Cependant, dans son long délibéré disponible sur Légifrance ce mercredi (voir Annexe), la formation restreinte de la CNIL a estimé que le traitement des données répond à une finalité et que seul le commanditaire est responsable de cette finalité et donc des moyens pour l'atteindre.

"Aux termes de l'article 4 (7) du RGPD, le responsable de traitement est défini comme étant "la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement", écrit la CNIL.

La CNIL rappelle également les manquements au RGPD:

"La formation restreinte rappelle que la simple conservation constitue un traitement de données à caractère personnel. Ainsi, dès lors qu'en tant que responsable de traitement, la société MONSANTO a conservé, y compris avec un statut d'archivage intermédiaire, un fichier contenant des données à caractère personnel, dont elle avait elle-même demandé la réalisation, elle a de son propre fait prolonger l'existence de ce fichier au-delà de l'entrée en application du RGPD."

Révélée par Le Monde et France 2, l'affaire s'est vite étendue à l'Europe

L'affaire révélée en 2019 par Le Monde et France 2 s'était rapidement étendue à l'Europe. Des listes de personnalités (politiques, scientifiques, journalistes) existaient également dans au moins six autres pays (Allemagne, Italie, Pays-Bas, Pologne, Espagne, Royaume-Uni) ainsi que pour les institutions européennes, avait indiqué Bayer qui avait présenté ses excuses.

Le chimiste allemand Bayer, propriétaire de Monsanto depuis 2018, avait mis un terme "jusqu'à nouvel ordre" à sa collaboration en matière de communication avec l'agence Fleishman-Hillard (Omnicom Public Relations Group), qui avait établi ces fichiers pour le compte de l'américain Monsanto.

La justice française avait également ouvert une enquête sur des soupçons de fichage illégal qui vise notamment le chef de "collecte de données personnelles par un moyen frauduleux, déloyal ou illicite".

Aux États-Unis, Monsanto indemnise à coups de milliards de dollars

La Commission européenne a donné en mai son feu vert à la France pour un crédit d'impôt à destination des agriculteurs qui décident de renoncer à l'usage d'herbicides à base de glyphosate.

Aux États-Unis, Bayer a signé en juin 2020 un accord de plus de 10 milliards de dollars pour mettre fin aux quelque 125.000 plaintes contre son herbicide phare et très controversé Round'Up, accord partiellement rejeté en mai dernier par la justice américaine.

(avec AFP)

___

ANNEXE

> Lire le délibéré de la CNIL publié sur Legifrance ce mercredi 28 juillet 2021:
Délibération de la formation restreinte n°SAN-2021-012 du 26 juillet 2021 concernant la société MONSANTO COMPANY