Sanction CNIL pour entrave au contrôle et inscriptions irrégulières au fichier des retraits CB

La CNIL sanctionne le responsable de traitement qui ne facilite pas ses investigations et lui communique tardivement des informations inexactes ou incomplètes. L’article 21, alinéa 2, de la loi n° 78-17 impose aux utilisateurs de fichiers de prendre toutes mesures utiles pour faciliter l’action de la Commission. L’article 51 réprime notamment la dissimulation de renseignements et la communication d’informations non conformes aux enregistrements disponibles.

L’inscription au fichier des retraits de cartes bancaires n’est régulière que si elle procède d’un incident de fonctionnement du compte résultant directement de l’utilisation de la carte, conformément à l’article 2.1 de l’arrêté du conseil général de la Banque de France du 16 juillet 1987. Les incidents liés à des chèques impayés, à des échéances de crédit ou à une procédure générale de recouvrement ne suffisent pas.

La CNIL retient également des manquements aux articles 6-3° et 6-4° de la loi n° 78-17, relatifs respectivement à la pertinence et à l’exactitude des données, ainsi qu’à l’article 34 concernant la sécurité et la confidentialité des informations communiquées à des tiers. Le secret professionnel prévu par l’article L. 511-33 du Code monétaire et financier ne pouvait être opposé à la CNIL saisie par les titulaires des comptes.

Compte tenu de la gravité des manquements et de la mauvaise foi retenue, la formation restreinte a appliqué les articles 45 et suivants de la loi n° 78-17 et prononcé une sanction pécuniaire de 45 000 euros, assortie d’une publication.

⬇️Télécharger la décision version officielle

Un établissement bancaire a inscrit plusieurs clients au fichier des retraits de cartes sans démontrer le lien entre les incidents invoqués et l’utilisation des cartes. Dans un autre dossier, la mainlevée d’une inscription au FICP a été tardive malgré la régularisation de la dette. La CNIL a relevé des réponses tardives ou inexactes, un défaut de coopération et le maintien injustifié d’une inscription, puis a prononcé une sanction pécuniaire et la publication de sa décision.

Un établissement bancaire a inscrit plusieurs clients au fichier des retraits de cartes bancaires de la Banque de France. La CNIL lui a demandé de préciser les incidents ayant justifié ces inscriptions. L’établissement a invoqué des chèques impayés, des échéances de crédit ou une procédure de recouvrement, sans produire de documents comptables établissant un lien direct avec l’utilisation des cartes.

Dans une autre plainte, un client avait régularisé l’incident ayant entraîné son inscription au FICP, mais la mainlevée avait été tardive. L’établissement a d’abord affirmé ne pas disposer d’un historique exploitable, alors que les contrôles ont révélé l’existence d’archives informatiques et de documents internes relatifs à un dysfonctionnement technique.

La CNIL a constaté des réponses tardives ou inexactes, l’absence de coopération et le maintien injustifié d’une inscription. Elle a prononcé une sanction pécuniaire et ordonné la publication de sa décision.

• Incident de fonctionnement directement lié à l’utilisation de la carte
• Production de documents comptables précis et justificatifs
• Exactitude et pertinence des données inscrites
• Communication des informations utiles aux investigations de la CNIL
• Conservation des archives permettant de retracer les opérations
• Absence de procédure généralisée d’inscription en recouvrement

• Archives informatiques retraçant les inscriptions et régularisations FICP
• Courriels internes relatifs aux dysfonctionnements techniques
• Documents internes des 24 et 25 janvier 2005
• Réponses écrites de l’établissement aux demandes de la CNIL
• Absence de documents comptables sur les incidents liés aux cartes
• Constat du maintien d’une inscription au fichier CB

L’établissement bancaire supporte une sanction pécuniaire de 45 000 euros et les frais de publication de la décision. Les inscriptions au fichier CB non justifiées exposent le responsable de traitement à des manquements relatifs à l’exactitude, la pertinence et la confidentialité des données.

• Sanction financière et publication aux frais de l’établissement
• Contrôle renforcé des procédures d’inscription au fichier CB
• Conservation accessible et traçable des historiques informatiques
• Production de justificatifs comptables établissant le lien avec la carte
• Communication complète et exacte des informations à la CNIL

À faire

• Documenter chaque incident directement lié à l’utilisation de la carte
• Conserver les historiques d’inscription, de régularisation et de radiation
• Vérifier la pertinence et l’exactitude des données transmises
• Répondre précisément et rapidement aux demandes de la CNIL
• Contrôler les inscriptions encore actives après régularisation

À éviter

• Inscrire systématiquement les clients faisant l’objet d’un recouvrement
• Assimiler chèques impayés et incidents liés à une carte
• Invoquer le secret bancaire contre une demande de la CNIL
• Déclarer ne disposer d’archives pourtant accessibles en interne
• Maintenir une inscription sans justificatifs comptables précis

La coopération avec les investigations de la CNIL

L’article 21, alinéa 2, de la loi n° 78-17 impose aux utilisateurs de traitements de prendre toutes mesures utiles pour faciliter l’action de la CNIL. L’article 51 vise notamment la dissimulation de renseignements et la communication d’informations non conformes aux enregistrements. La conservation restreinte d’archives peut être compatible avec le droit à l’oubli, mais elle ne permet pas de refuser l’accès aux informations utiles au contrôle.

Les conditions d’inscription au fichier des retraits CB

Selon l’article 2.1 de l’arrêté du conseil général de la Banque de France du 16 juillet 1987, l’inscription suppose un incident de fonctionnement du compte résultant directement de l’usage de la carte. Les chèques sans provision, les échéances de crédit impayées et l’ouverture d’une procédure de recouvrement ne caractérisent pas, à eux seuls, cette condition. Une procédure interne d’inscription systématique est irrégulière.

La qualité et la pertinence des données communiquées

La CNIL a retenu des manquements aux articles 6-3°, 6-4° et 34 de la loi n° 78-17 : les données doivent être adéquates, pertinentes et exactes, tandis que leur communication à des établissements tiers doit rester limitée aux informations justifiées. Le secret professionnel de l’article L. 511-33 du Code monétaire et financier ne pouvait être opposé à la CNIL saisie par les titulaires des comptes.

Article 11-2°-c de la loi n° 78-17 du 6 janvier 1978, Article 21 alinéa 2 de la loi n° 78-17 du 6 janvier 1978, Article 51 de la loi n° 78-17 du 6 janvier 1978, Article L. 511-33 du Code monétaire et financier, Article 6-3° de la loi n° 78-17 du 6 janvier 1978, Article 6-4° de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Articles 45 et suivants de la loi n° 78-17 du 6 janvier 1978