Protection des données bancaires et responsabilité en cas de divulgation à des tiers

L’article 226-17 du code pénal impose de prendre toutes les précautions utiles pour préserver la sécurité des informations nominatives et empêcher leur communication à des tiers non autorisés. La sous-traitance de la mise sous pli ne dispense pas l’établissement bancaire de cette obligation : des relevés de compte ont été adressés à des personnes qui n’en étaient pas titulaires.

L’article 226-22 du code pénal réprime également la divulgation, sans autorisation, d’informations nominatives à un tiers non habilité lorsque cette divulgation porte atteinte à la considération ou à l’intimité de la vie privée. Les clients concernés peuvent donc engager une action judiciaire sur ce fondement.

Après avoir relevé les erreurs de mise sous pli et les mesures correctrices adoptées, notamment le changement de prestataire, la CNIL a fait application de l’article 21.4 de la loi du 6 janvier 1978 et adressé un avertissement à l’établissement bancaire. La décision illustre que la réaction corrective de l’organisme peut être prise en compte dans le choix de la mesure prononcée, sans effacer le manquement constaté.

⬇️Télécharger la décision version officielle

Plusieurs clients d’un établissement bancaire ont reçu des relevés de compte appartenant à des tiers, en raison d’erreurs survenues lors de la mise sous pli confiée à un prestataire. La banque a changé de prestataire après avoir été alertée. La CNIL a relevé que ces communications pouvaient engager sa responsabilité et a adressé un avertissement, compte tenu des mesures correctives prises.

Un particulier a reçu un relevé de compte bancaire appartenant à une autre personne. L’instruction a établi que plusieurs clients d’un établissement bancaire avaient reçu, à leur adresse, des relevés concernant des tiers.

L’établissement bancaire avait confié la mise sous pli et l’envoi des documents à un prestataire extérieur. Il a expliqué ces erreurs par un dysfonctionnement matériel. Après avoir été alerté par plusieurs clients, il a changé de prestataire pour recourir à une société présentant de meilleures garanties quant au taux d’anomalies.

La CNIL a considéré que ces communications pouvaient engager la responsabilité de l’établissement bancaire et permettre aux clients concernés d’agir en justice. Compte tenu des mesures prises, elle lui a adressé un avertissement.

• Traitement automatisé d’informations nominatives
• Communication de relevés à des tiers non autorisés
• Absence de précautions suffisantes pour assurer la sécurité
• Atteinte potentielle à la vie privée des clients
• Prise en compte des mesures correctrices adoptées

• Plainte d’un particulier ayant reçu le relevé d’un tiers
• Établissement de plusieurs erreurs d’envoi de relevés
• Alertes adressées par plusieurs clients
• Recours à un prestataire extérieur pour la mise sous pli
• Changement de prestataire avec de meilleures garanties

L’établissement bancaire reste exposé à une responsabilité pénale et civile malgré la sous-traitance de l’envoi des relevés. Les clients concernés peuvent engager une action judiciaire, tandis que les mesures correctrices ont permis de limiter la réponse de la CNIL à un avertissement.n

• Avertissement prononcé par la CNIL
• Risque de poursuites sur le fondement des articles 226-17 et 226-22
• Possibilité d’action judiciaire pour les clients concernés
• Changement de prestataire de mise sous pli
• Renforcement des garanties contre les erreurs d’envoi

À faire

• Contrôler les procédures de mise sous pli
• Évaluer le taux d’anomalie du prestataire
• Documenter les incidents de communication
• Informer rapidement les clients concernés
• Remplacer un prestataire insuffisamment fiable

À éviter

• Communiquer des relevés à des tiers
• Se décharger de la sécurité sur le sous-traitant
• Négliger les signalements des clients
• Maintenir un prestataire présentant trop d’anomalies
• Omettre de conserver les mesures correctrices

L’obligation de sécurité des informations nominatives

nL’article 226-17 du code pénal impose de prendre toutes les précautions utiles pour empêcher la communication d’informations nominatives à des tiers non autorisés. La transmission de relevés de compte à des personnes autres que leurs titulaires caractérise un défaut de sécurité susceptible d’engager la responsabilité de l’établissement bancaire.nn

La divulgation d’informations bancaires à un tiers

nL’article 226-22 du code pénal réprime la divulgation sans autorisation d’informations nominatives à une personne qui n’a pas qualité pour les recevoir, lorsque cette divulgation porte atteinte à la considération ou à l’intimité de la vie privée. Les clients concernés peuvent agir sur ce fondement.nn

L’avertissement fondé sur les mesures correctrices

nAprès avoir constaté les erreurs de mise sous pli, la CNIL a tenu compte du changement de prestataire et des garanties améliorées apportées par celui-ci. Elle a ainsi appliqué l’article 21.4 de la loi du 6 janvier 1978 et choisi d’adresser un avertissement à l’établissement bancaire.

Loi n° 78-17 du 6 janvier 1978, Article 226-16 à 226-22 du Code pénal, Article 226-17 du Code pénal, Article 226-22 du Code pénal, Article 21.4 de la loi n° 78-17 du 6 janvier 1978