La Commission nationale de l’informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex Türk, président ;

Etaient aussi présents M. Guy Rosier, vice-président délégué, M. François Giquel, vice-président, Mlle Anne Debet, membre, M. Hubert Bouchet, membre ; M. Bernard Peyrat, membre ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ;

Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 ;

Vu les articles L. 333-4 et suivants du Code de la consommation ;

Vu l’article L. 613-21 du Code monétaire et financier ;

Vu le règlement n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire et financière, relatif au Fichier des Incidents de remboursement des Crédits aux Particuliers (FICP) dans sa version antérieure aux modifications survenues le 26 février 2004 ;

Vu la délibération de la Commission nationale de l’informatique et des libertés n° 90-29 du 6 mars 1990 portant avis sur la mise en oeuvre, par la Banque de France, d’un traitement automatisé d’informations nominatives relatif à la gestion d’un fichier des incidents de remboursement des crédits aux particuliers ;

Vu la délibération de la Commission nationale de l’informatique et des libertés n° 87-25 du 10 février 1987 modifiée par la délibération n° 2004-098 du 9 décembre 2004 fixant le règlement intérieur de la CNIL ;

Vu la saisine n° 03006517 du 12 mai 2003 ;

Vu les courriers reçus ou adressés par la CNIL les 12 mai 2003, 11 septembre 2003, 27 octobre 2003, 18 décembre 2003, 31 mars 2004, 7 avril 2004, 19 avril 2004, 19 mai 2004, 16 juillet 2004 et 10 août 2004 annexés au rapport ;

Vu le rapport de M. Philippe Nogrix, notifié le 15 mars 2005 à X et les observations en réponse reçues le 30 mars 2005 ;

Après avoir entendu, lors de la réunion du 31 mars 2005, M. Philippe Nogrix, Commissaire, en son rapport ;

Constate les faits suivants :

X a fait procéder à l’inscription de Monsieur B au Fichier National des Incidents de remboursement des Crédits aux Particuliers (FICP) géré par la Banque de France le 30 juin 2000 au motif d’un découvert survenu sur son compte bancaire. Contestant cette mesure, Monsieur B a saisi la CNIL le 12 mai 2003.

X a été interrogée à de nombreuses reprises sur l’existence d’un incident de paiement caractérisé au sens de l’article 3 du règlement du Comité de la réglementation bancaire et financière n° 90-05 du 11 avril 1990 qui aurait justifié cette inscription.

X a d’abord considéré que l’inscription de Monsieur B était motivée et conforme à la réglementation, mais qu’étant en deçà des seuils en vigueur, il était procédé à la mainlevée de son inscription du FICP.

Par la suite, plus d’un an après les premières demandes d’explications, X a invoqué une « erreur humaine » pour expliquer que l’inscription au FICP a été effectuée en 2000 alors que l’incident de paiement caractérisé datait du mois d’août 1992. X a donc reconnu avoir inscrit Monsieur B au FICP huit ans après l’incident de paiement survenu sur son compte.

Enfin, malgré les demandes répétées de son client, X n’a procédé à sa radiation qu’après de multiples courriers de ce dernier et de la CNIL.

L’article 4 du règlement 90-05 précité prévoit que « dès qu’un incident de paiement caractérisé est constaté, l’établissement de crédit informe le débiteur défaillant que l’incident sera déclaré à la Banque de France à l’issue d’un délai d’un mois à compter de la date de l’envoi de cette information ». Ainsi, une inscription huit ans après l’incident de paiement ne saurait être conforme à ces dispositions.

De plus, les articles 37 et 38 de la loi du 6 janvier 1978 (dans sa version antérieure au 6 août 2004, soit art. 6-4 et 40 nouveaux) disposent qu' »un fichier nominatif doit être complété ou corrigé même d’office lorsque l’organisme qui le tient acquiert connaissance de l’inexactitude ou du caractère incomplet d’une information nominative contenue dans ce fichier » et que « si une information a été transmise à un tiers, sa rectification ou son annulation doit être notifiée à ce tiers, sauf dispense accordée par la Commission ».

X n’a donc ni respecté les dispositions du règlement n° 90-05 précité, ni celles de la loi du 6 janvier 1978, tant dans sa version antérieure à la loi du 6 août 2004 que dans sa version nouvelle.

Dans ses observations formulées par courrier du 30 mars 2005, X se borne à confirmer l’analyse faite par le rapporteur et n’apporte par ailleurs aucune garantie pour assurer que de tels faits ne se reproduiront pas.

En conséquence, décide de faire application des dispositions des articles 45 et 46 de la loi du 6 janvier 1978 modifiée et d’adresser un avertissement à X, située […] et de le rendre public ;

Décide aussi que, conformément aux dispositions de l’article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l’article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.

Le président, Alex Türk.

Guy ROSIER, Vice-Président Délégué.