La Commission nationale de l’informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex Türk, président ;

Etant aussi présents M. Guy Rosier, vice-président délégué, M. François Giquel, vice-président, Mlle Anne Debet, membre, M. Bernard Peyrat, membre ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ;

Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978;

Vu les articles L. 131-85 et L. 613-21 du Code monétaire et financier ;

Vu le décret n° 92-456 du 22 mai 1992 pris pour l’application du décret du 30 octobre 1935 modifié par la loi n° 91-1382 du 30 décembre 1991 et relatif au refus de paiement des chèques et à l’interdiction d’émettre des chèques ;

Vu la délibération de la Commission nationale de l’informatique et des libertés n° 87-25 du 10 février 1987 modifiée par la délibération n° 2004-098 du 9 décembre 2004 fixant le règlement intérieur de la CNIL ;

Vu les saisines n° 04008559 du 24 mai 2004 et n° 04010894 du 1er juillet 2004 ;

Vu les courriers adressés ou reçus par la CNIL des 24 mai 2004, 1er juillet 2004, 29 octobre 2004 annexés au rapport ;

Vu le rapport de M. Philippe Nogrix, Commissaire, notifié le 15 mars 2005 à X, et les observations en réponse reçues le 30 mars 2005 ;

Après avoir entendu, lors de la réunion du 31 mars 2005, M. Philippe Nogrix, Commissaire, en son rapport et les observations orales de M. A, Directeur général de X, celui-ci ayant pris la parole en dernier ;

Constate les faits suivants :

La CNIL a été saisie de deux plaintes relatives aux conditions d’utilisation, par X, du Fichier Central des Chèques (FCC) géré par la Banque de France.

Les plaignants ont été inscrits au FCC en 2002 par X en raison de chèques restés impayés.

Alors que Monsieur B a remboursé la totalité de ses dettes fin septembre 2003, il est resté inscrit au FCC jusqu’à fin juillet 2004, soit 10 mois après ses premières demandes.

De même, Madame C a remboursé sa dette en avril 2004, mais sa radiation n’est intervenue que fin juin 2004, soit 2 mois après ses premières demandes.

Or, l’article 18 du décret n° 92-456 du 22 mai 1992 pris pour l’application de la loi du 30 décembre 1991 relatif au refus du paiement des chèques et à l’interdiction d’émettre des chèques impose un délai très bref aux banques pour procéder à la radiation après régularisation. Il prévoit que « le tiré avise la Banque de France de la régularisation au plus tard le deuxième jour ouvré suivant la justification ».

X n’a donc pas respecté les règles de mise en oeuvre du FCC prévues par le décret n° 92-456 précité.

En outre, l’article 37 de la loi du 6 janvier 1978 (art. 6-4° et 40 de la loi nouvelle) prévoit qu' »un fichier nominatif doit être corrigé même d’office lorsque l’organisme qui le tient acquiert connaissance de l’inexactitude d’une information nominative contenue dans ce fichier » et l’article 38 de la loi dispose (art. 40 de la loi nouvelle) que « si une information a été transmise à un tiers, son annulation doit être notifiée à ce tiers ».

Interrogée dans ces dossiers, X s’est bornée dans un premier temps à indiquer que les plaignants auraient subi un « incident lors de la migration informatique » sans pour autant fournir d’explications sur l’origine et la nature exactes du dysfonctionnement.

Dans ses observations formulées par courrier du 30 mars 2005, X a fait valoir que les manquements aux dispositions de la loi « Informatique et Libertés » du 6 janvier 1978 et du règlement n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire relatif au FICP s’expliquent par une situation ponctuelle due aux difficultés techniques rencontrées dans la migration de systèmes informatiques lors de la fusion de Y et de Z. En revanche, X n’apporte aucune précision sur la nature d’éventuelles mesures techniques prises pour remédier à ces situations.

Relève néanmoins que X a méconnu les dispositions du décret n° 92-456 relatif au FCC précité et n’apporte pas d’éléments suffisants permettant de justifier les dysfonctionnements, ni de garanties satisfaisantes pour que de tels faits ne se reproduisent pas.

La gravité des faits, les conséquences préjudiciables pour les personnes inscrites à tort au FCC ainsi que les délais tardifs dans les défichages de ses clients justifient dès lors le prononcé d’une sanction.

En conséquence, décide de faire application des dispositions des articles 45 et 46 de la loi du 6 janvier 1978 modifiée et d’adresser un avertissement à X, située […] et de le rendre public ;

Décide aussi que, conformément aux dispositions de l’article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.

Le Président,

Alex Türk.