La Commission nationale de l’informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex Türk, président ;

Etaient aussi présents M. Guy Rosier, vice-président délégué, M. François Giquel, vice-président, Mlle Anne Debet, membre, M. Hubert Bouchet, membre ; M. Bernard Peyrat, membre ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ;

Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel modifiant la loi n° 78-17 du 6 janvier 1978 ;

Vu les articles L. 333-4 et suivants du Code de la consommation ;

Vu l’article L. 613-21 du Code monétaire et financier ;

Vu le règlement n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire et financière, relatif au Fichier des incidents de remboursement des crédits aux particuliers (FICP), dans sa version antérieure aux modifications du 26 février 2004 ;

Vu la délibération de la Commission nationale de l’informatique et des libertés n° 90-29 du 6 mars 1990 portant avis sur la mise en oeuvre, par la Banque de France, d’un traitement automatisé d’informations nominatives relatif à la gestion d’un fichier des incidents de remboursement des crédits aux particuliers ;

Vu la délibération de la Commission nationale de l’informatique et des libertés n° 87-25 du 10 février 1987 modifiée par la délibération n° 2004-098 du 9 décembre 2004 fixant le règlement intérieur de la CNIL;

Vu la saisine n° 03011639 du 4 septembre 2004 ;

Vu les courriers reçus ou adressés par la CNIL les 4 septembre 2003, 11 septembre 2003, 22 octobre 2003, 31 mars 2004, 23 juillet 2004, et 17 septembre 2004 annexés au rapport ;

Vu le rapport de M. Philippe NOGRIX, Commissaire, notifié le 15 mars 2005 à X ;

Après avoir entendu, lors de la réunion le 31 mars 2005, M. Philippe Nogrix, Commissaire, en son rapport ;

Constate les faits suivants :

X a fait procéder au mois d’août 2000 à l’inscription de Monsieur A au Fichier National des Incidents de remboursement des Crédits aux Particuliers (FICP) géré par la Banque de France.

L’instruction du dossier a établi que le prêt à l’origine du litige avait été remboursé par anticipation le 25 juillet 2000, sans qu’aucun incident de paiement n’ait affecté les échéances du remboursement du crédit. En conséquence, l’inscription de Monsieur A au FICP était injustifiée tant au regard du règlement n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire et financière que les articles 6 3° et 6 4° de la loi du 6 janvier 1978 (dans sa version antérieure à la loi du 6 août 2004).

Lors de démarches pour l’obtention d’un nouvel emprunt en août 2003, Monsieur A a découvert qu’il était inscrit au FICP.

Après plusieurs demandes effectuées auprès de X (courriers des 13 août 2003 et 29 août 2003), Monsieur A a finalement obtenu la mainlevée de cette inscription injustifiée. L’article 37 de la loi du 6 janvier 1978 (art. 6-4° et 40 de la loi nouvelle) dispose en effet qu' »un fichier nominatif doit être corrigé même d’office lorsque l’organisme qui le tient acquiert connaissance de l’inexactitude d’une information nominative contenue dans ce fichier » et l’article 38 de la loi dispose (art. 40 de la loi nouvelle) que « si une information a été transmise à un tiers, son annulation doit être notifiée à ce tiers ».

Par ailleurs, l’établissement n’a pas répondu aux demandes répétées de droit d’accès formulées par Monsieur A en application de l’article 34 de la loi du 6 janvier 1978 (dans sa version antérieure au 6 août 2004, soit art. 39 nouveau). Aussi, Monsieur A a décidé de saisir la CNIL le 4 septembre 2003.

X a été interrogée sur les faits à de multiples reprises (courriers des 11 septembre 2003, 22 octobre 2003, 31 mars 2004, 23 juillet 2004).

Après un an de courriers restés sans réponse, la banque a accepté le 17 septembre 2004 de faire droit à la demande d’accès de Monsieur A.

X a également reconnu le caractère injustifié de l’inscription.

Celle-ci résulterait d’un « dysfonctionnement engendré par le remboursement anticipé de son crédit » sans qu’aucune précision ne soit apportée sur la nature exacte de ce dysfonctionnement.

Ainsi, X a non seulement inscrit à tort son client au FICP pendant plus de trois ans, mais encore a refusé pendant plus d’un an de faire droit à ses demandes d’accès aux données le concernant.

X n’a donc ni respecté les dispositions du règlement n° 90-05 précité, ni celles édictées par la loi du 6 janvier 1978, tant dans sa version antérieure à la loi du 6 août 2004 que dans sa version nouvelle.

En conséquence, décide de faire application des dispositions des articles 45 et 46 de la loi du 6 janvier 1978 modifiée et d’adresser un avertissement à X, située […] et de le rendre public ;

Décide aussi que, conformément aux dispositions de l’article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l’article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.

Le président, Alex Türk.

Guy ROSIER, Vice-Président Délégué.