La Commission nationale de l’informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex Türk, président ;

Etaient aussi présents M. Guy Rosier, vice-président délégué, M. François Giquel, vice-président, Mlle Anne Debet, membre, M. Bernard Peyrat, membre ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ;

Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 ;

Vu les articles L. 333-4 et suivants du Code de la consommation ;

Vu l’article L. 613-21 du Code monétaire et financier ;

Vu le règlement n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire, relatif au Fichier des incidents de remboursement des crédits aux particuliers (FICP) dans sa version antérieure aux modifications survenues le 26 février 2004 ;

Vu la délibération de la Commission nationale de l’informatique et des libertés n° 90-29 du 6 mars 1990 portant avis sur la mise en oeuvre, par la Banque de France, d’un traitement automatisé d’informations nominatives relatif à la gestion d’un fichier des incidents de remboursement des crédits aux particuliers ;

Vu la délibération de la Commission nationale de l’informatique et des libertés n° 87-25 du 10 février 1987 modifiée par la délibération n° 2004-098 du 9 décembre 2004 fixant le règlement intérieur de la CNIL ;

Vu les saisines n° 03012346 du 12 septembre 2003 et n° 04004927 du 22 mars 2004 ;

Vu les courriers reçus ou adressés par la CNIL les 12 septembre 2003, 28 novembre 2003, 10 décembre 2003, 22 mars 2004, 26 mars 2004, 1er avril 2004, 6 avril 2004, 8 avril 2004, 15 avril 2004, 19 avril 2004, 28 avril 2004, 22 juillet 2004, 2 septembre 2004, 8 septembre 2004, 13 septembre 2004 annexés au rapport ;

Vu le rapport de M. Philippe Nogrix, Commissaire, notifié le 15 mars 2005 à X et les observations en réponse reçues le 25 mars 2005 ;

Après avoir entendu, lors de la réunion du 31 mars 2005, M. Philippe Nogrix, Commissaire, en son rapport et les observations orales de M. B, chargé de mission, et de M. C, juriste de X, ceux-ci ayant pris la parole en dernier ;

Constate les faits suivants :

X a fait procéder en 2001, à l’inscription des époux D au Fichier National des Incidents de remboursement des Crédits aux Particuliers (FICP) géré par la Banque de France, suite à différents incidents de paiements.

Alors que la totalité de leur dette a été remboursée le 6 février 2003, leur inscription a été maintenue. Les courriers adressés à X par les époux D étant restés sans effet, l’intervention de la CNIL (saisine du 25 mars 2004) a permis la mainlevée de leur inscription le 7 avril 2004, soit quatorze mois après le règlement de leur dette.

Par ailleurs, Monsieur E a été inscrit au FICP par X le 31 mars 1999 en raison d’un découvert bancaire. Par courrier adressé le 3 décembre 2002 à X, Monsieur E a sollicité la mainlevée de cette inscription mais ne l’a jamais obtenue.

Monsieur E est donc resté inscrit au FICP jusqu’à la date d’effacement automatique de son inscription par la Banque de France, à l’expiration du délai légal de cinq ans, c’est-à-dire jusqu’au 31 mars 2004.

Par courrier en date du 12 septembre 2003, Monsieur E a saisi la CNIL.

L’instruction a permis de démontrer que l’extinction de la dette est intervenue le 6 juin 1999, ce point n’ayant été reconnu par X dans un courrier du 28 avril 2004 qu’après de multiples échanges avec la CNIL (courriers des 28 novembre 2003, 10 décembre 2003, et 19 avril 2004).

L’article 6 du règlement du Comité de la réglementation bancaire n° 90-05 du 11 avril 1990 relatif au FICP prévoit expressément que l’établissement de crédit signale à la Banque de France « le paiement des sommes dues ». Ce signalement doit être effectué dans les meilleurs délais.

Par ailleurs, l’article 37 de la loi du 6 janvier 1978 (art. 6-4° et 40 de la loi modifiée par la loi susvisée du 6 août 2004) énonce qu' »un fichier nominatif doit être corrigé même d’office lorsque l’organisme qui le tient acquiert connaissance de l’inexactitude d’une information nominative contenue dans ce fichier » et l’article 38 de la loi dispose (art. 40 de la loi modifiée) que « si une information a été transmise à un tiers, son annulation doit être notifiée à ce tiers ».

Enfin, X n’a pas répondu, avant intervention de la CNIL, aux demandes répétées de droit d’accès et de rectification formulées par Monsieur E le 3 décembre 2002.

Dès lors, par le maintien des inscriptions de ses clients au FICP et l’absence de réponses aux demandes de droit d’accès et de rectification, X a méconnu les dispositions du règlement n° 90-05 du 11 avril 1990 relatif au FICP, et de la loi du 6 janvier 1978, notamment dans ses articles 34, 35, 36, 37 et 38 (dans sa version antérieure au 6 août 2004, soit les articles 6-4, 39 et 40 nouveaux). Au demeurant, dans ses observations reçues en réponse par courrier daté du 27 mars 2005, X reconnaît l’existence d’un défichage tardif sur les deux dossiers et n’apporte aucune explication particulière sur ces faits.

Prend acte des précisions formulées par les représentants de X, lors de leur audition, selon lesquelles X affirme ne pas avoir eu l’intention de nuire à ses clients et qu’aucun préjudice n’est démontré.

Estime néanmoins que X n’a pas respecté les dispositions du règlement n° 90-05 relatif au FICP, ni les dispositions de la loi du 6 janvier 1978. Il convient en particulier de souligner le manque de diligence avec lequel X a répondu à la demande de droit d’accès de Monsieur E. De plus, X n’apporte aucune garantie pour assurer que de tels faits, dont les conséquences pour les personnes sont préjudiciables, ne se reproduiront pas.

En tout état de cause, les mesures que X a évoquées dans ses courriers s’agissant de la sensibilisation de ses collaborateurs aux règles relatives au FICP n’excusent pas les manquements constatés en l’espèce ainsi que le manque de diligence constaté dans les réponses apportées à la CNIL tout au long de l’instruction.

En conséquence, décide de faire application des dispositions des articles 45 et 46 de la loi du 6 janvier 1978 modifiée et d’adresser un AVERTISSEMENT à X, situé […], et de le rendre public ;

Décide aussi que, conformément aux dispositions de l’article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l’article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.

Le Président, Alex Türk

Guy ROSIER, Vice-Président Délégué