La Commission nationale de l’informatique et des libertés, Vu la Convention du Conseil de l’Europe sur la protection des données à caractère personnel ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et notamment ses articles 16, 21, 26 et 27 ; Vu le décret n° 78-774 du 17 juillet 1978 pris pour l’application de la loi susvisée ; Vu la déclaration de traitement automatisé d’informations nominatives (n° 198.923) faite le 20 janvier 1989 par X conformément aux dispositions de l’article 16 de la loi susvisée ; Vu la délibération n° 90-71 du 29 mai 1990 relative au contrôle effectué le 26 mars 1990 auprès de X ;

Vu la déclaration de modification de X du 7 juin 1993 ; Vu l’ensemble des correspondances échangées entre la Commission nationale de l’informatique et des libertés et X ; Après avoir entendu Monsieur Michel Benoist, commissaire en son rapport et Madame Charlotte-Marie Pitrat, commissaire du Gouvernement en ses observations ; Considérant que X a mis en oeuvre un traitement automatisé d’informations nominatives dont la finalité est d’échanger des informations en matière d’incidents de paiement sur les crédits aux particuliers ; Considérant que la déclaration de modification porte sur les modalités d’enregistrement des lieux de naissance des personnes dont les coordonnées figurent au fichier ; Considérant que la déclaration du traitement effectuée le 20 janvier 1989 prévoit que l’identification des personnes à l’origine d’impayés et figurant sur le fichier s’effectue par le nom, prénoms, date de naissance et code PTT du lieu de naissance ; Considérant qu’il apparaît, tant au vu des résultats de la mission de contrôle entreprise en 1990 que dans le cadre de l’instruction des réclamations reçues par la Commission, que l’identité des personnes n’est pas, de manière systématique, complètement enregistrée et que notamment les dates et lieux de naissance ne sont pas toujours indiqués ; Considérant que de telles pratiques, dont il y a lieu de souligner qu’elles ne sont pas conformes à la déclaration initiale pour laquelle un récépissé a été délivré, sont de nature à générer, lors de la consultation du fichier des erreurs d’homonymie très préjudiciables aux personnes qui sont supposées à tort y figurer ; Considérant que, dans sa délibération du 29 mai 1990 susvisée, la Commission nationale de l’informatique et des libertés avait déjà souligné que la déclaration n° 198.923 du 20 janvier 1989 n’était pas respectée et recommandé que des compléments d’identification soient demandés par X à l’organisme de crédit à l’origine de l’inscription conformément à la déclaration faite auprès de la Commission nationale de l’informatique et des libertés et à l’article 37 de la loi du 6 janvier 1978 ; Considérant que cette délibération est restée sans effet ; Considérant que les décisions prises par le conseil d’administration de X à la suite de la demande formulée par la CNIL, par courrier du 6 novembre 1992, sont de nature à permettre à l’avenir d’identifier avec plus de sécurité les personnes inscrites au fichier ; qu’en effet, à compter d’une date qui doit se situer, suivant la décision des membres de X, entre le 1er octobre 1993 et le 31 décembre 1993, les identités comporteront obligatoirement le code géographique du lieu de naissance à cinq chiffres ou le lieu de naissance en clair ; Considérant que cette décision laisse entier le problème des inscriptions incomplètes en stock dans le fichier ; Considérant en effet que si l’enregistrement du code postal complet est recommandé par X pour les inscriptions antérieures au 31 décembre 1992, celle-ci ne l’a cependant pas rendu obligatoire ; qu’entre 300.000 à 500.000 personnes sont concernées par cette situation ; Considérant que si, à la demande de la CNIL, X a accepté de limiter la durée de conservation des informations à 3 ans et de distinguer par un signe particulier les dossiers régularisés, elle n’a pris aucune mesure spécifique à caractère obligatoire destinée à régulariser les inscriptions antérieures au 31 décembre 1992 afin de les rendre conformes à la déclaration faite à la CNIL et d’assurer ainsi la complète sécurité de l’ensemble du traitement ; Considérant qu’à défaut de telles mesures, le fonctionnement et la consultation du fichier peuvent provoquer à l’égard des homonymes des personnes fichées, un préjudice tant matériel que moral ; Considérant qu’à défaut d’une régularisation immédiate et complète des inscriptions antérieures au 31 décembre 1992, une décision de ne conserver ces données que pendant une durée de 3 ans à compter de l’inscription au fichier de X serait de nature à résorber rapidement le stock de données litigieuses et d’assurer au plus tôt des conditions normales de fonctionnement au fichier ; Considérant qu’à ce jour, X n’a souhaité faire courir la durée de conservation des données relatives aux incidents de paiement qu’à compter du passage en perte par les établissements de crédit, ou du solde du dossier, et non à compter de l’inscription au fichier, critère pourtant retenu par la Banque de France, dans le fichier des incidents de crédits aux particuliers ; Considérant qu’en tout état de cause, le maintien d’informations incomplètes au fichier de X est susceptible d’engager la responsabilité de cet organisme ; qu’il appartient à celui-ci de mettre en oeuvre les mesures réellement adaptées à une mise en conformité des pratiques observées dans le fonctionnement de son fichier avec les caractéristiques du traitement tel qu’il a été déclaré ; Adresse à cet effet un avertissement à X, en application de l’article 21, alinéa 4 de la loi du 6 janvier 1978 ; Décide en l’état de ne pas délivrer le récépissé de déclaration de modification de l’application référencée 198.923 déposée par X.