La Commission nationale de l’informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex Türk, président ;

Etant aussi présents M. Guy Rosier, vice-président délégué, M. François Giquel, vice-président, M. Hubert Bouchet, membre, Mlle Anne Debet, membre, M. Bernard Peyrat, membre ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ;

Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;

Vu la délibération de la Commission nationale de l’informatique et des libertés n° 87-25 du 10 février 1987 modifiée par la délibération n° 2004-098 du 9 décembre 2004 fixant le règlement intérieur de la CNIL ;

Vu les articles L. 333-4 et suivants du Code de la consommation ;

Vu l’article L. 613-21 du Code monétaire et financier ;

Vu le règlement n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire, relatif au Fichier des incidents de remboursement des crédits aux particuliers (FICP) ;

Vu la saisine n° 05000465 adressée à la CNIL le 12 janvier 2005 ;

Vu la décision n° 2005-078C de procéder à une mission de vérification sur place auprès de la société X ;

Vu le rapport de M. Philippe Nogrix, Commissaire, notifié le 10 novembre 2005 à la société X et les observations en réponse reçues le 8 décembre 2005.

Après avoir entendu, lors de la réunion du 13 décembre 2005, M. Philippe Nogix, Commissaire, en son rapport et Madame Pascale Compagnie, Commissaire du gouvernement, en ses observations.

Après avoir entendu, lors de la réunion du 13 décembre 2005, les observations orales de Melle A, directeur juridique de la société X, Melle B, responsable juridique au sein de la société X et de M. C du cabinet d’avocats Z, ceux-ci ayant pris la parole en dernier.

Constate les faits suivants :

La société X, sise […], a fait procéder, le 30 juin 2001, à l’inscription d’un ancien client, né le […] 1961 à […] au fichier national des incidents de remboursement des crédits aux particuliers (FICP), géré par la Banque de France, en raison d’incidents de paiement enregistrés sur un crédit renouvelable contracté avec son ex-épouse le 9 octobre 1996 auprès de l’établissement U racheté ultérieurement par X et dont la clôture avait été sollicitée par courrier en date du 23 juin 1998.

Si le requérant ne sollicite pas expressément la clôture du compte dans ce courrier, celle-ci ne semble néanmoins pas faire de doute en raison du remboursement anticipé du prêt effectué par ce courrier et de la rédaction, par les services de X de plusieurs zones « bloc-notes » figurant sur la fiche informatique du requérant dans le fichier client retrouvée par la CNIL à l’occasion d’une mission de contrôle diligentée le 4 novembre 2005.

Divorcé depuis 1999, c’est l’ex-femme du requérant qui aurait, en profitant de l’oubli de X de clôturer le compte, continué à effectuer des prélèvements au-delà du 23 juin 1998. Ce point est confirmé par X dans un courrier adressé à la CNIL le 25 février 2005 : « Nous pouvons d’ores et déjà vous préciser que, compte-tenu des circonstances de cette affaire et du fait que M. D, co-emprunteur, n’avait pas bénéficié des utilisations de la réserve de crédit effectuées par l’empruntrice (…) ».

En février 2003, suite à la découverte de son inscription au FICP à l’occasion de la sollicitation d’un prêt refusé par un autre établissement de crédit, le requérant a pris contact avec les services de X et a sollicité la mainlevée de son inscription au FICP.

Au regard des zones « bloc-notes » figurant sur la fiche informatique du requérant dans le fichier client retrouvée par la CNIL à l’occasion d’une mission de contrôle diligentée le 4 novembre 2005, il apparaît que X a fait savoir à son client en mars 2003, de façon informelle, qu’elle entendait procéder à la mainlevée de son inscription au FICP. Pourtant, après saisine de la CNIL, par le requérant, le 3 mars 2005, soit deux ans plus tard, celui-ci était toujours inscrit au FICP. X n’a à cet égard communiqué aucun élément écrit à la CNIL permettant de considérer que des diligences ont été accomplies en mars 2003 afin de procéder à la mainlevée de l’inscription.

Lors de la mission de contrôle effectuée par la CNIL le 4 novembre 2005, les services de X ont réaffirmé qu’une première mainlevée de l’inscription a bien eu lieu en 2003 mais qu’à l’occasion d’une erreur produite en 2004 cette inscription avait repris effet.

Néanmoins en l’état des documents dont dispose la Commission, aucun document ne prouve qu’une demande de mainlevée a effectivement été adressée à la Banque de France en 2003.

L’argumentation développée par X lors de la mission de contrôle n’est d’ailleurs pas cohérente avec la copie d’un courrier qu’elle a adressé à la Banque de France le 18 mars 2005 et dont elle a remis une copie aux services de la CNIL. Aux termes de ce courrier, X semble rejeter sur les services de la Banque de France la faute relative à l’absence de mainlevée du FICP en 2003. Ceci semble donc confirmer qu’il n’a été procédé à aucune mainlevée de l’inscription au FICP en 2003. Interrogés par la CNIL sur la suite réservée à ce courrier, les services de la Banque de France ont fait savoir à la CNIL, dans un courrier en date du 19 octobre 2005 que : « en réponse à la lettre précitée (le courrier de X du 18 mars 2005), nous avons adressé à X, le 22 mars 2005, un courrier lui précisant les références de l’incident inscrit au FICP par ses soins (…). Ces informations permettaient à l’établissement de procéder rapidement à la radiation des informations recensées au FICP ». X n’a pas mentionné l’existence de cette réponse adressée par la Banque de France le 22 mars 2005.

Interrogée par la CNIL au cours du 1er semestre 2005 sur les raisons de l’inscription du requérant au FICP, X s’était d’ailleurs contentée, dans un courrier du 31 mars 2005, d’indiquer que l’inscription initiale du requérant au FICP faisait suite à trois mensualités impayées d’avril à juin 2001, que la radiation du FICP avait été décidée compte-tenu des circonstances exceptionnelles de l’espèce qui auraient entraîné la « désolidarisation » du requérant et que le maintien de l’inscription du requérant jusqu’en 2005 résultait d’un « dysfonctionnement ». X n’a apporté aucun élément précisant la nature exacte de ce dysfonctionnement, les raisons de son existence ou les mesures prises permettant de s’assurer qu’il ne se reproduira plus.

Bien que, à ce jour, les diligences accomplies par les services de la Commission aient permis de procéder à la mainlevée de l’inscription du plaignant au FICP, tant les dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée par la loi n° 2004-801 du 6 août 2004 que les dispositions du règlement n° 90-05 du 11 avril 1990 relatif au FICP n’ont pas été respectées.

En premier lieu, l’inscription au FICP du requérant le 30 juin 2001 pour des incidents de paiement survenus d’avril à juin 2001 sur un compte dont la clôture avait été sollicitée en juin 1998 n’est manifestement pas conforme à l’article 6 3° de la loi « informatique et libertés » qui dispose qu’un traitement ne peut porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs. Par ailleurs, l’inscription au FICP d’une personne dont le compte de prêt est clôturé n’est manifestement pas conforme aux conditions d’inscription au FICP définies dans le règlement CRBF n° 90-05 du 11 avril 1990.

En outre, alors que X s’était engagé auprès du requérant à procéder à la mainlevée de l’inscription au FICP, cette diligence n’a pas été accomplie et le requérant n’a été défiché qu’après le 3 mars 2005.

Le « dysfonctionnement » évoqué par X, mais non justifié, pour expliquer le retard pris dans la mainlevée de l’inscription remet gravement en cause les conditions dans lesquelles la sécurité des données sur les clients semble être assurée par X conformément à l’article 34 de la loi du 6 janvier 1978 modifiée, s’agissant en particulier de la communication à des tiers (l’ensemble des établissements de crédit ayant communication des personnes physiques inscrites au FICP) d’informations erronées. L’article 6 4° de la loi du 6 janvier 1978 modifiée dispose à cet égard que les données doivent être « exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées ».

Le requérant est donc resté inscrit pendant plus de quatre ans (soit presque la durée maximale d’inscription au FCIP) et en a subi un lourd préjudice puisqu’il s’est vu en particulier, refusé l’obtention d’un crédit immobilier. L’argumentation développée par X, mais non justifiée, sur l’existence d’une première mainlevée de l’inscription au FICP qui aurait repris effet en raison du dysfonctionnement précité est à cet égard sans incidence.

II convient enfin de préciser que le requérant a engagé une action en justice à l’encontre de la société X afin de demander la réparation du préjudice qu’il estimait avoir subi du fait de son inscription au FICP et que le tribunal d’instance de Courbevoie, par jugement en date du […] 2004, l’a débouté au motif qu’il n’était pas en mesure de rapporter par lui-même la preuve de son inscription au FICP. Le jugement précise à cet égard que : « La défenderesse (X) conteste formellement avoir fiché (le requérant) auprès de la Banque de France ».

La Commission relève qu’il est normal que le requérant n’ait pu prouver l’existence de son inscription puisque la réglementation prévoit qu’il n’est pas remis de copie écrite de l’enregistrement à la personne fichée. N’ayant pas fait état, devant le juge, de l’inscription du requérant à laquelle avait fait procédé dès juin 2001, la Commission constate que X a aussi manqué à l’obligation visée, à l’article 6 1° de la loi « informatique et libertés » modifiée en août 2004 qui dispose que : « les données sont collectées et traitées de manière loyale et licite ».

Au cours de la réunion du 13 décembre 2005, les représentants de la société X ont évoqué les mesures correctives qui allaient être mises en place. La Commission prend acte de ces engagements mais considère qu’ils ne sont pas de nature à remettre en cause la proposition du rapporteur.

En conséquence, décide de faire application des dispositions des articles 45 et 46 de la loi du 6 janvier 1978 modifiée et d’adresser un avertissement à la société X, sise […] qui sera rendu public.

Décide aussi que, conformément aux dispositions de l’article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l’article L 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.

Le président,

Alex TURK.