La Commission nationale de l’informatique et des libertés, réunie en formation restreinte,

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ;

Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu le règlement n° 90-05 du 11 avril 1990 modifié du Comité de la réglementation bancaire, notamment son article 10 ;

Vu la délibération n° 2004-098 du 9 décembre 2004 portant modification des articles 54 et 63 du règlement intérieur de la CNIL et insérant dans le chapitre III de ce règlement une section 5 nouvelle intitulée « Règles relatives à l’application des articles 45 et 46 de la loi du 6 janvier 1978 » ;

Vu la saisine n° 03014051 parvenue à la CNIL le 10 octobre 2003 ;

Vu la délibération n° 03-042 du 24 octobre 2003 décidant une mission d’investigation auprès de X ;

Vu le rapport de M. Philippe Nogrix notifié le 18 janvier 2005 à X et les observations en réponse reçues les 17 février et 07 mars 2005 ;

Après avoir entendu, lors de réunion de la formation restreinte du 9 mars 2005, M. Emmanuel de Givry, substitué à M. Philippe Nogrix, empêché, en son rapport.

Constate les faits suivants :

L’instruction de la plainte dont a été saisie la CNIL 1e 10 octobre 2003 et les missions de contrôle diligentées par les services de la Commission les 30 janvier, 24 et 25 mars 2004 ont permis de constater :

– l’existence d’une procédure systématisant, au sein de l’agence de X, lors de l’ouverture d’un compte bancaire à un particulier, la consultation du Fichier des Incidents de paiement des Crédits aux Particuliers (FICP) tenu par la Banque de France. Chaque conseiller clients dispose en effet d’une fiche de procédure intitulée « nouveau client particulier » aux termes de laquelle une « recherche des risques » doit être effectuée lors de l’ouverture d’un compte sur le fichier intitulé « RIE chx. 3 » qui n’est autre que la copie mensuelle du FICP fournie par la Banque de France.

– après le contrôle exhaustif du fichier client « CIT » par les services de la CNIL, l’existence de nombreux commentaires rédigés par les employés de cette agence dans les fiches informatiques des clients (zones bloc-notes du fichier « CIT ») sans lien direct avec la finalité du traitement et dénués de toute pertinence ou objectivité (à titre d’exemple : traits de caractère des clients, relations amoureuses, rapports avec des tiers, santé ou passé judiciaire).

Relève que :

– la consultation systématique du FICP lors de l’ouverture d’un compte ne respecte pas les finalités de ce fichier telles que définies par le règlement n° 90-05 du 11 avril 1990 modifié du Comité de la réglementation bancaire.

En vertu des prescriptions de ce règlement, le Fichier des Incidents de paiement de remboursement des Crédits aux Particuliers (FICP) a en effet été constitué à des fins de prévention du surendettement des ménages et ne peut être consulté que dans le cadre d’opérations se rattachant à l’octroi ou la gestion d’un crédit.

– l’enregistrement dans les zones commentaires du fichier « CIT » d’informations sans lien direct avec la finalité du traitement et dénuées de toute pertinence ou objectivité est de nature à constituer un manquement à l’article 5 de la Convention n° 108 du Conseil de l’Europe qui dispose que les données à caractère personnel faisant l’objet d’un traitement automatisé sont adéquates, pertinentes et non excessives par rapport aux finalités pour lesquelles elles sont enregistrées.

S’il est admis que des traitements de données à caractère personnel puissent comporter des zones commentaires destinées à enregistrer des informations de gestion, telles des résumés d’entretien avec la personne concernée ou des indicateurs sur 1e suivi d’un compte, l’état d’avancement d’un dossier ou d’une procédure, ces mentions doivent, comme toute donnée à caractère personnel enregistrée dans un traitement et appelée à y être conservée, être pertinentes, adéquates et non excessives au regard de la finalité du traitement. Ces mentions doivent en particulier être exclusives de toute appréciation subjective et ne sauraient en aucun cas faire apparaître directement ou indirectement des données relatives à la santé, au passé judiciaire ou aux relations amoureuses des personnes.

La Commission prend acte que X, postérieurement à la mission de contrôle, dans le cadre de ses observations formulées par courrier les 17 février et 7 mars 2005, a pris des mesures propres à régulariser pour l’avenir les manquements constatés lors des missions de contrôle, notamment

– l’inscription, sur l’écran « RIE », en cas de présence du risque FICP, de la mention « information à utiliser uniquement dans le cadre d’une opération d’octroi de crédit » ;

– une étude en cours sur les moyens techniques qui seront mis en oeuvre afin de faire en sorte que les chargés de clientèle ne puissent avoir accès à l’information selon laquelle les personnes sont inscrites au FICP lors d’opérations qui n’ont pas pour objet l’octroi ou la gestion de crédit conformément aux dispositions du règlement n° 90-05 du 11 avril 1990 modifié du Comité de la réglementation bancaire ;

– l’accès, dans l’intranet accessible aux chargés de clientèle, d’une note de sensibilisation spécifique du personnel portant sur l’enregistrement des zones « bloc-notes » ainsi que sur l’existence du droit d’accès des personnes sur les données contenues dans ces zones ainsi que d’une note plus complète sur l’ensemble des obligations prescrites par la loi « Informatique et Libertés » modifiée ;

– l’intégration d’un module spécifique relatif à la formation aux principes issus de la loi du 6 janvier 1978 modifiée dans différents programmes de formation.

La Commission considère néanmoins que, par leur gravité, leur caractère répété ou excessif, les faits que les missions de contrôle ont révélé manifestent que le responsable du traitement n’avait pas, antérieurement à la plainte dont la commission a été saisie, mis en oeuvre les contrôles internes propres à assurer la conformité à la loi des traitements de données à caractère personnel placés sous sa responsabilité.

En conséquence, décide en application des dispositions des articles 45 et 46 de la loi du 6 janvier 1978 modifiée d’adresser un avertissement à X, […] et de le rendre public.

Décide que, conformément aux dispositions de l’article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l’article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.

Le président,

Alex TURK.