La Commission nationale de l’informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex Türk, président ;

Etant aussi présents M. Guy Rosier, vice-président délégué, M. François Giquel, vice-président ; Melle Anne Debet, membre et M. Bernard Peyrat, membre ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ;

Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 ;

Vu les articles L. 333-4 et suivants du Code de la consommation ;

Vu l’article L. 613-21 du Code monétaire et financier ;

Vu le règlement n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire, relatif au Fichier des incidents de remboursement des crédits aux particuliers (FICP) dans sa version antérieure aux modifications du 26 février 2004 ;

Vu la délibération de la Commission nationale de l’informatique et des libertés n° 90-29 du 6 mars 1990 portant avis sur la mise en oeuvre, par la Banque de France, d’un traitement automatisé d’informations nominatives relatif à la gestion d’un fichier des incidents de remboursement des crédits aux particuliers ;

Vu la délibération de la Commission nationale de l’informatique et des libertés n° 87-25 du 10 février 1987 modifiée par la délibération n° 2004-098 du 9 décembre 2004 fixant le règlement intérieur de la CNIL ;

Vu la saisine n° 04011336 du 9 juillet 2004 ;

Vu les courriers adressés ou reçus par la CNIL les 9 juillet 2004, 26 juillet 2004 et 22 février 2005 annexés au rapport ;

Vu le rapport de M. Philippe Nogrix, notifié le 15 mars 2005 à X et les observations en réponse reçues les 30 mars 2005 et 22 avril 2005 ;

Après avoir entendu, M. Philippe Nogrix, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du gouvernement, en ses observations ;

Constate les faits suivants :

L’instruction de la saisine n° 04011336 a permis d’établir que X a fait procéder à l’inscription au FICP des époux B le 31 juillet 2002 suite au non règlement de plusieurs échéances d’un crédit à la consommation qu’ils avaient contracté en 1995.

Or, par la suite, un jugement du 7 février 2003 a prononcé l’extinction de la dette des époux B. Ainsi, dès cette date, l’inscription des requérants n’était plus justifiée.

Pourtant, X n’a procédé à la radiation de leurs données qu’en juillet 2004 après que les époux B l’ont informé de leurs difficultés.

L’organisme de crédit X interrogé sur ces faits s’est borné à indiquer que la radiation tardive des deux plaignants était due à un « oubli » de la personne en charge du dossier lors du classement de leur dossier. Il invoque par ailleurs des « difficultés de gestion dans les services de la Banque de France » pour expliquer que la radiation ne soit intervenue que le 17 juillet 2004, plus d’un mois après la demande des époux B.

L’article 29 de la loi du 6 janvier 1978 dans sa version antérieure à la loi du 6 août 2004 (art. 34 nouveau) prévoit que « le responsable du traitement ou celui qui ordonne le traitement doit prendre toutes précautions utiles pour préserver la sécurité et l’intégrité des informations qu’il traite ».

De plus, l’article 37 de la loi du 6 janvier 1978 (art. 6-4° et 40 de la loi nouvelle) énonce qu' »un fichier nominatif doit être corrigé même d’office lorsque l’organisme qui le tient acquiert connaissance de l’inexactitude d’une information nominative contenue dans ce fichier » et l’article 38 de la loi dispose (art. 40 de la loi nouvelle) que « si une information a été transmise à un tiers (…) son annulation doit être notifiée à ce tiers ».

Relève que X n’a respecté ni les dispositions du règlement n° 90-05 précité, ni celles de la loi du 6 janvier 1978, tant dans sa version antérieure à la loi du 6 août 2004 que dans sa version nouvelle.

Dans ses observations formulées par courriers des 30 mars 2005 et 22 avril 2005, X fait valoir qu’il s’agit d’une situation exceptionnelle et informe la Commission des mesures correctrices engagées ou à venir au sein de X s’agissant en particulier des notes de rappel adressées aux personnels, de la détection des dysfonctionnements liés aux migrations informatiques, de la radiation automatique de l’inscription au FICP dès l’entrée d’un dossier dans une procédure de cessation des actions, du rapprochement du FICP et du fichier détenu par X afin de détecter d’éventuelles incohérences.

Considère néanmoins que le responsable du traitement n’avait pas, antérieurement à la plainte dont la Commission a été saisie, mis en oeuvre les contrôles internes propres à assurer la conformité à la loi des traitements de données à caractère personnel placés sous sa responsabilité ; que, dans les circonstances de l’espèce, les mesures de correction invoquées dans ses courriers du 30 mars 2005 et du 22 avril 2005 ne peuvent excuser le manque de diligence dont a fait preuve X à l’égard des plaignants.

En conséquence, décide de faire application des dispositions des articles 45 et 46 de la loi du 6 janvier 1978 modifiée et d’adresser un avertissement à l’organisme de crédit X, situé […] et de le rendre public ;

Décide aussi que, conformément aux dispositions de l’article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l’article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.

Le président,

Alex TURK.