La Commission nationale de l’informatique et des libertés ; Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée, relative à l’informatique, aux fichiers et aux libertés ; Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l’application des chapitres 1er à IV et VII de la loi du 6 janvier 1978 susvisée et notamment son article 5 ; Vu la délibération n° 87-25 du 10 février 1987 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ; Vu la délibération n° 97-075 du 7 octobre 1997 décidant d’une vérification sur place auprès de l’agence de X de Bain-de-Bretagne ; Vu les déclarations effectuées par X de Bretagne en application de l’article 16 de la loi du 6 janvier 1978 relatives à des traitements automatisés de données nominatives de gestion des données techniques concernant les individus et les produits bancaires et des données individuelles issues des entretiens commerciaux ; Vu le compte rendu notifié le 2 février 1997 au directeur de l’agence de Bain-de-Bretagne, et les observations en réponse produites par le directeur de la caisse de X de Bain-Tresboeuf ; Après avoir entendu Monsieur Michel BENOIST, Commissaire, en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ; Considérant que la Commission a été saisie par un couple de clients de l’agence de X de Bretagne de Bain-de-Bretagne d’une réclamation relative à la présence dans le traitement de gestion de la clientèle de cette banque de commentaires les qualifiant de « personnes très timides » et l’un d’eux de « menteur », mentions dont ils ont pu constater l’existence, à l’issue d’un entretien commercial, en regardant l’écran de l’ordinateur utilisé par un conseiller de l’agence ; Considérant que par délibération du 7 octobre 1997, la Commission nationale de l’informatique et des libertés a, en application de l’article 21-2° de la loi du 6 janvier 1978, décidé de procéder à une mission d’une vérification sur place auprès de l’agence de X de Bain-de-Bretagne ; Considérant que le commissaire et les agents désignés par la Commission se sont rendus, le 16 octobre 1997, dans les locaux de l’agence de X de Bain-de-Bretagne, ainsi qu’au siège de X de Bretagne, où ils se sont fait remettre une copie des zones dites « bloc-notes » de tous les comptes tenus à l’agence de Bain-de-Bretagne et où ils ont recueilli les observations des personnes présentes ; Considérant en effet que l’application de gestion de la clientèle comporte un certain nombre de rubriques que le personnel de l’agence renseigne en choisissant l’information appropriée dans une liste arrêtée d’éléments (la profession du client dans une liste de catégories socio-professionnelles, par exemple) et une zone dite -bloc-notes- de dix lignes de soixante-quinze caractères, destinée, aux termes de la déclaration du traitement faite à la CNIL, à enregistrer un résumé des entretiens commerciaux ; Considérant que l’exploitation exhaustive de ces zones dites « bloc-notes » a révélé un nombre significatif de mentions sans lien avec la finalité du traitement, dénuées de toute pertinence et relevant, pour certaines d’entre elles, de l’intimité de la vie privée des clients ou de leurs rapports avec des tiers ; Considérant en outre que, compte tenu de leur nature, de leur caractère excessif ou de leur rédaction en des termes désobligeants, voire injurieux, ces mentions ne paraissent pas destinées à être communiquées aux clients concernés à l’occasion de l’exercice de leur droit d’accès ; Considérant que s’il est admis que des traitements automatisés de données nominatives puissent comporter une zone dite « bloc-notes » destinée à enregistrer des informations de gestion, telles des résumés d’entretiens avec la personne concernée ou des indicateurs sur le suivi d’un compte, l’état d’avancement d’un dossier ou d’une procédure, ces mentions doivent, comme toute information nominative enregistrée dans un traitement et appelée à y être conservée, être pertinentes, adéquates et non excessives au regard de la finalité du traitement ; que ces mentions doivent être exclusives de toute appréciation subjective ; qu’elles ne sauraient en aucun cas faire apparaître directement ou indirectement des données relatives aux origines raciales, aux opinions politiques, philosophiques ou religieuses, aux appartenances syndicales ou aux moeurs des personnes concernées ; qu’en outre, comme toute information figurant dans un traitement, elles doivent être intégralement communiquées, en langage clair, aux personnes qui exercent leur droit d’accès en application de l’article 34 de la loi ; Considérant que si, postérieurement à la mission de contrôle sur place, X a diffusé à son personnel une note rappelant les principes gouvernant la collecte et l’enregistrement d’informations nominatives, les faits que cette mission a révélés, par leur caractère répété et excessif, manifestent que le maître du fichier ne s’était pas assuré, antérieurement à la plainte dont la Commission a été saisie, de mettre en oeuvre les contrôles internes propres à assurer la conformité à la loi des traitements placés sous sa responsabilité ; RAPPELLE que les informations nominatives enregistrées dans les zones dites « bloc-notes » doivent être pertinentes, adéquates et non excessives au regard de la finalité du traitement ; RAPPELLE que ces informations doivent être objectives ; qu’elles ne sauraient par conséquent résulter d’un jugement de valeur ou d’une appréciation du comportement des intéressés ; RAPPELLE que ces informations ne doivent pas, directement ou indirectement, faire apparaître les origines raciales, les opinions politiques, philosophiques ou religieuses, les appartenances syndicales ou les moeurs des personnes concernées ; RAPPELLE que les informations nominatives enregistrées dans les zones dites « bloc-notes » ne doivent être conservées sur support informatique que pendant une durée pertinente au regard de la finalité du traitement et doivent être régulièrement mises à jour ; RAPPELLE en outre que ces informations doivent être communiquées aux intéressés, au même titre que les autres informations nominatives les concernant qui sont enregistrées dans un traitement, à l’occasion de l’exercice de leur droit d’accès ; DEMANDE à l’agence de X de Bretagne de Bain-de-Bretagne de procéder, dans le délai d’un mois, à l’effacement systématique des informations figurant dans cette zone « bloc-notes » qui seraient contraires à ces recommandations. DEMANDE à X de Bretagne de s’assurer que l’ensemble des zones « bloc-notes » des fichiers mis en oeuvre au sein de ses agences soient conformes aux préconisations sus-mentionnées. DECIDE, faisant application des dispositions de l’article 21-4° de la loi du 6 janvier 1978, d’adresser à cet effet un AVERTISSEMENT à X de Bretagne.

Le Président,

Jacques FAUVET