La Commission nationale de l’informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TURK, président ;

Etant aussi présents M. Guy Rosier, vice-président délégué, M. François Giquel, vice-président, M. Hubert Bouchet, membre, Mlle Anne Debet, membre, M. Bernard Peyrat, membre ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ;

Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;

Vu la délibération de la Commission nationale de l’informatique et des libertés n° 87-25 du 10 février 1987 modifiée par la délibération n° 2004-098 du 9 décembre 2004 fixant le règlement intérieur de la CNIL ;

Vu la délibération n° 87-037 du 07 avril 1987 portant avis de la CNIL sur la mise en oeuvre par la Banque de France d’un traitement automatisé d’informations nominatives relatif à la centralisation des retraits de cartes bancaires « CB » ;

Vu la saisine n° 04002744 adressée le 20 février 2004 à la CNIL ;

Vu la délibération n° 2005-82 du 10 mai 2005 portant mise en demeure à X ;

Vu la décision n° 2005-076C de procéder à une mission de vérification sur place auprès de X ;

Vu le rapport de M. Philippe Nogrix, Commissaire, notifié le 10 novembre 2005 à la société X et les observations en réponse reçues le 6 décembre 2005 ;

Après avoir entendu, lors de la réunion du 13 décembre 2005, M. Philippe Nogrix, Commissaire, en son rapport et Madame Pascale Compagnie, Commissaire du gouvernement, en ses observations.

Après avoir entendu, lors de la réunion du 13 décembre 2005, les observations orales de Monsieur A (Z) et Madame B (Directeur juridique fiscal de X), ceux-ci ayant pris la parole en dernier.

Constate les faits suivants :

X, sise […], a fait procéder, le 9 avril 2003, à l’inscription de M. C au fichier des retraits de carte bancaire mis en oeuvre par la Banque de France.

Le 20 février 2004, la Commission nationale de l’informatique et des libertés a été saisie par M. C d’une plainte relative à une inscription à ce fichier.

Dans sa saisine, le requérant a indiqué que X ne lui aurait jamais délivré de carte bancaire. Il a ajouté que, malgré de multiples démarches entamées auprès des services de la banque, il n’a pu obtenir d’explications sur cette inscription qu’il conteste.

Interrogée par les services de la CNIL sur les raisons de l’inscription du requérant dans le fichier des retraits de carte bancaire, X a indiqué, par courrier du 5 mars 2004, qu’elle n’enregistrait aucune déclaration d’incidents de paiement dans ses livres concernant M. C.

Le 9 mars 2004, la Banque de France a confirmé la mainlevée de l’inscription de M. C.

Le 10 mars 2004, les services de la CNIL ont adressé un courrier à X lui rappelant les termes de son précédent courrier et lui demandant de compléter sa réponse en apportant à la CNIL des précisions sur la nature des incidents qui auraient justifié l’inscription du requérant dans le fichier précité par ses services le 9 avril 2003.

La Commission a adressé deux courriers de relance à X le 21 juillet et le 17 décembre 2004 mais ceux-ci sont restés sans réponse.

Par délibération n° 2005-82 du 10 mai 2005, la CNIL a par conséquent mis en demeure X de préciser sous dix jours la nature des incidents de fonctionnement du compte résultant de l’usage d’une carte bancaire ayant entraîné l’inscription de M. C pendant près d’un an au fichier des retraits de carte bancaire.

Dans un courrier de réponse en date du 14 juin 2005, X a précisé que le requérant disposait bien d’une carte bancaire depuis le 28 novembre 2001 et a indiqué que des incidents chèques étant intervenus dans le fonctionnement du compte de M. C, celle-ci avait été amenée à décider d’une opposition sur la carte bancaire puisqu’elle avait décidé de clôturer le compte de ce client.

Ce faisant, X n’a pas répondu aux demandes d’explication de la CNIL qui ne portaient pas sur la mise en opposition de la carte (toute carte perdue ou volée fait par exemple l’objet d’une telle procédure qui rend impossible l’utilisation de la carte, ce qui est normal) mais sur les raisons de l’inscription au fichier des retraits de carte bancaire mise en oeuvre par la Banque de France.

Ce traitement, qui a reçu un avis favorable de la CNIL le 7 avril 1987, vise à assurer une publicité générale et centralisée des décisions de retrait de carte bancaire à la suite d’incidents, de manière à éviter que le titulaire du compte sur lequel une carte bancaire a fonctionné de façon irrégulière puisse obtenir la délivrance d’une nouvelle carte auprès d’un autre établissement. Ce traitement fonctionne de façon indépendante au regard du volet « chèques » du Fichier central des chèques (FCC) également mis en oeuvre par la Banque de France qui enregistre les incidents de paiement survenus à l’occasion de l’utilisation de chèques.

Constatant que la réponse adressée par X ne correspondait manifestement pas à la mise en demeure adressée par la formation restreinte, les services de la Commission ont pris attache, avec X afin de clarifier la situation.

C’est ainsi qu’un second courrier a été adressé à la CNIL le 3 octobre 2005 dont les termes sont totalement différents de ceux du premier courrier. Ce courrier précise que c’est à la suite d’incidents de paiement sur des chèques que l’inscription au fichier des retraits de carte bancaire est intervenue le 9 avril 2005.

Dans son courrier, X reconnaît que l’opposition sur carte n’aurait pas du être enregistrée pour le motif « abusif » (ce qui a provoqué l’inscription du requérant dans les fichiers de la Banque de France) ; qu’il s’est agi d’une erreur de codification qui a été rectifiée dès le lendemain, soit le 10 avril 2003, le motif « usage abusif » ayant été remplacé par le code « annulation carte ».

Néanmoins cette modification de la codification interne n’a pas entraîné la mainlevée de l’inscription au fichier de la Banque de France qui a été maintenue pendant plus de 10 mois. X explique ce retard dans la levée de l’inscription au fichier de la Banque de France par un oubli du service compétent.

Au regard du caractère contradictoire des deux courriers de réponse adressés à la CNIL, il a été décidé de procéder, le 2 novembre 2005, à une mission de vérification sur place.

Les vérifications effectuées ont permis de retrouver, dans le système informatique de X, l’inscription du requérant au volet « chèques » du FCC le 28 mars 2002 (un chèque impayé) ainsi que l’inscription du requérant au fichier des retraits de carte bancaire le 9 avril 2003 (date à laquelle X a souhaité clôturer le compte) puis la transformation de ce code en un code « annulation » le 10 avril 2003.

Il ressort des éléments communiqués lors de la mission de contrôle, que l’inscription du requérant au fichier des retraits de carte bancaire le 9 avril 2004 a été faite à tort, aucun incident de paiement effectué au moyen de la carte bancaire du requérant n’ayant été enregistré par la banque.

Cette inscription n’est donc manifestement pas conforme à l’article 6-3° de la loi du 6 janvier 1978 qui dispose qu’un traitement ne peut porter que sur des données à caractère personnel qui sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs, ni à l’article 34 de la loi susvisée, s’agissant en particulier de la communication à des tiers (l’ensemble des établissements de crédit ayant communication des personnes physiques inscrites dans les fichiers de la Banque de France) d’informations erronées.

L’oubli des services de X de déficher le requérant du fichier de la Banque de France le 10 avril 2004 constitue également un manquement à la loi du 6 janvier 1978 modifiée, notamment son article 6 4° qui dispose que les données doivent être « exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées ».

Lors de sa réunion du 13 décembre 2005, les représentants de X ont fait valoir les mesures correctives qui allaient être prises pour l’avenir (mise en place notamment d’un département « conformité »). La Commission considère que ces mesures ne sont néanmoins pas de nature à remettre en cause la proposition du rapporteur.

En conséquence, décide de faire application des dispositions des articles 45 et 46 de la loi du 6 janvier 1978 modifiée et d’adresser un avertissement à la société X, sise […].

Décide aussi que, conformément aux dispositions de l’article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l’article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire et sera rendu public.

Le président,

Alex TURK.