La Commission nationale de l’informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex Türk, président ;

Etant aussi présents M. Guy Rosier, vice-président délégué, M. François Giquel, vice-président, M. Bernard Peyrat, membre ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ;

Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel modifiant la loi n° 78-17 du 6 janvier 1978 ;

Vu les articles L. 333-4 et suivants du Code de la consommation ;

Vu l’article L. 613-21 du Code monétaire et financier ;

Vu le règlement n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire et financière, relatif au Fichier des incidents de remboursement des crédits aux particuliers (FICP), dans sa version antérieure aux modifications du 26 février 2004 ;

Vu la délibération de la Commission nationale de l’informatique et des libertés n° 90-29 du 6 mars 1990 portant avis sur la mise en oeuvre, par la Banque de France, d’un traitement automatisé d’informations nominatives relatif à la gestion d’un fichier des incidents de remboursement des crédits aux particuliers ;

Vu la délibération de la Commission nationale de l’informatique et des libertés n° 87-25 du 10 février 1987 modifiée par la délibération n° 2004-098 du 9 décembre 2004 fixant le règlement intérieur de la CNIL ;

Vu la saisine n° 04014476 du 13 septembre 2004 ;

Vu les courriers reçus ou adressés par la CNIL les 4 septembre 2004 et 9 novembre 2004 annexés au rapport ;

Vu le rapport de M. Philippe Nogrix, notifié le 15 mars 2005 à X ;

Après avoir entendu, lors de la réunion le 10 mai 2005, M. Philippe Nogrix, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du gouvernement, en ses observations.

Constate les faits suivants :

X a fait procéder le 30 juin 2003 à l’inscription de Madame A au Fichier National des Incidents de remboursement des Crédits aux Particuliers (FICP) géré par la Banque de France en raison d’un incident survenu dans le remboursement d’un emprunt immobilier. Contestant le bien-fondé de cette mesure, Madame A a saisi la CNIL le 13 septembre 2004.

X, interrogée sur les faits, a indiqué que l’inscription de Madame A avait été effectuée après une première radiation à l’issue de la période légale de cinq ans.

Cette réinscription résulterait d’une « anomalie ». Elle a précisé avoir procédé manuellement à la radiation de Madame A le 12 octobre 2004 et informé sa hiérarchie.

Or, l’article 4 du règlement du Comité de la réglementation bancaire et financière n° 90-05 du 11 avril 1990 relatif au FICP prévoit que « dès qu’un incident de paiement caractérisé est constaté, l’établissement de crédit informe le débiteur défaillant que l’incident sera déclaré à la Banque de France à l’issue d’un délai d’un mois à compter de la date d’envoi de cette information ».

Dès lors, un incident de paiement remontant à plus de cinq ans ne saurait donner lieu à une inscription au FICP.

En outre, l’article 37 de la loi du 6 janvier 1978 dans sa version antérieure à la loi du 6 août 2004 (art. 6-4° et 40 de la loi nouvelle) prévoit qu' »un fichier nominatif doit être corrigé même d’office lorsque l’organisme qui le tient acquiert connaissance de l’inexactitude d’une information nominative contenue dans ce fichier » et l’article 38 de la loi du 6 janvier 1978 dans sa version antérieure à la loi du 6 août 2004 (art. 40 de la loi nouvelle) dispose que « si une information a été transmise à un tiers, son annulation doit être notifiée à ce tiers ».

Or, l’instruction du dossier a établi que la radiation des données de Madame A n’a été effectuée qu’après intervention de la CNIL, fin novembre 2004, alors qu’elle l’avait demandée dès le 13 juillet 2004.

Ainsi, en réinscrivant sa cliente au FICP puis en ne procédant pas à la mainlevée de l’inscription au FICP, X n’a respecté ni les prescriptions édictées par la loi du 6 janvier 1978, tant dans sa version antérieure à la loi du 6 août 2004 que dans sa version nouvelle, ni les dispositions du règlement n° 90-05 précité.

Considère que ces faits révèlent que le responsable du traitement n’a pas fait preuve de vigilance et de diligence, ni dans le respect des dispositions précitées de la loi du 6 janvier 1978 ni dans la mise en oeuvre du règlement n° 90-05 relatif au FICP, et que X n’a pas apporté de réponse sur les garanties qu’il conviendrait d’apporter pour assurer que de tels faits ne se reproduiront pas.

En conséquence, décide de faire application des dispositions des articles 45 et 46 de la loi du 6 janvier 1978 modifiée et d’adresser un avertissement à X, située […] et de le rendre public ;

Décide aussi que, conformément aux dispositions de l’article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l’article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.

Le président,

Alex TURK.