Protection des données bancaires : encadrement de la consultation du FICP et des zones commentaires

La consultation du FICP ne peut intervenir que pour des opérations liées à l’octroi ou à la gestion d’un crédit, conformément à sa finalité réglementaire. Une consultation systématique lors de l’ouverture d’un compte bancaire méconnaît cette limitation.

Les zones commentaires d’un traitement peuvent contenir des informations de gestion, mais celles-ci doivent rester adéquates, pertinentes et non excessives au regard de la finalité poursuivie. L’article 5 de la Convention n° 108 prohibe notamment les appréciations subjectives et les mentions relatives à la santé, au passé judiciaire ou aux relations amoureuses lorsqu’elles sont dépourvues de pertinence.

La répétition et la gravité des manquements révèlent l’insuffisance des contrôles internes du responsable du traitement. Les mesures correctrices adoptées après les contrôles sont prises en compte, sans faire disparaître les manquements antérieurs. La CNIL peut dès lors prononcer un avertissement et le rendre public sur le fondement des articles 45 et 46 de la loi du 6 janvier 1978. L’article L. 613-21 du Code monétaire et financier justifie la transmission de l’avertissement à la Commission bancaire.

⬇️Télécharger la décision version officielle

Une agence bancaire consultait systématiquement le FICP lors de l’ouverture de comptes, en dehors de toute opération de crédit. Ses fichiers contenaient aussi des commentaires subjectifs ou intrusifs sur les clients. Malgré des mesures de régularisation postérieures aux contrôles, la CNIL a relevé la gravité et la répétition des manquements et prononcé un avertissement public.

Une agence bancaire appliquait une procédure systématique de consultation du Fichier des incidents de paiement des crédits aux particuliers lors de l’ouverture d’un compte bancaire, y compris en dehors d’une opération d’octroi ou de gestion de crédit.

Les contrôles de la CNIL ont également révélé, dans le fichier client, de nombreux commentaires rédigés par les employés. Ces mentions portaient notamment sur les traits de caractère, les relations amoureuses, les rapports avec des tiers, la santé ou le passé judiciaire des clients, sans lien direct avec la finalité du traitement et sans pertinence ni objectivité.

Après les contrôles, le responsable du traitement a adopté des mesures de régularisation : encadrement de l’accès aux informations FICP, sensibilisation du personnel, rappel du droit d’accès et formations relatives à la loi Informatique et Libertés. La CNIL a néanmoins retenu la gravité et le caractère répété ou excessif des manquements antérieurs, ainsi que l’insuffisance des contrôles internes, et a prononcé un avertissement public.

• Limiter la consultation du FICP aux opérations d’octroi ou de gestion d’un crédit.
• Établir un lien direct entre les données enregistrées et la finalité du traitement.
• Garantir des données adéquates, pertinentes et non excessives.
• Exclure les appréciations subjectives et les informations personnelles sans pertinence.
• Mettre en place des contrôles internes conformes aux obligations applicables.
• Prendre en compte la gravité, la répétition ou le caractère excessif des manquements.

• Fiche de procédure imposant une recherche systématique sur le fichier FICP.
• Copie mensuelle du FICP utilisée lors de l’ouverture des comptes.
• Contrôle exhaustif du fichier client et de ses zones bloc-notes.
• Commentaires portant sur la santé, le passé judiciaire et les relations amoureuses.
• Rapport de contrôle et observations exposant les mesures correctrices adoptées.

Le responsable du traitement s’expose à une sanction publique lorsque les contrôles internes ne préviennent pas des consultations ou enregistrements illicites. Les mesures de mise en conformité ultérieures peuvent être valorisées, sans effacer les manquements constatés.

• Restreindre techniquement l’accès au FICP aux opérations de crédit.
• Supprimer les commentaires subjectifs ou sans lien avec la finalité.
• Former les chargés de clientèle aux règles Informatique et Libertés.
• Documenter les contrôles internes et les mesures correctrices.
• Anticiper la publicité de l’avertissement et sa transmission réglementaire.

À faire

• Paramétrer l’accès au FICP selon la finalité de l’opération.
• Contrôler régulièrement les consultations effectuées par les agents.
• Encadrer les zones commentaires par des consignes écrites.
• Former le personnel aux données pertinentes et proportionnées.
• Conserver les preuves des contrôles et actions correctrices.

À éviter

• Consulter le FICP lors d’une ouverture de compte sans crédit.
• Inscrire des appréciations subjectives sur les clients.
• Conserver des données relatives à la santé sans pertinence.
• Mentionner le passé judiciaire ou les relations amoureuses.
• Attendre une plainte avant de mettre en place les contrôles.

Le respect des finalités du FICP

La consultation du FICP est limitée aux opérations se rattachant à l’octroi ou à la gestion d’un crédit. La consultation systématique lors de l’ouverture d’un compte, sans opération de crédit, méconnaît la finalité du fichier définie par le règlement n° 90-05 du 11 avril 1990 modifié.

La pertinence des données des zones commentaires

L’article 5 de la Convention n° 108 exige que les données soient adéquates, pertinentes et non excessives au regard de la finalité du traitement. Les commentaires doivent exclure les appréciations subjectives et les informations relatives à la santé, au passé judiciaire ou aux relations amoureuses lorsqu’elles sont sans pertinence.

Les contrôles internes du responsable du traitement

La gravité, la répétition ou le caractère excessif des faits peuvent révéler l’absence de contrôles internes suffisants. Les mesures correctrices postérieures au contrôle sont prises en compte, mais ne font pas disparaître les manquements antérieurs, justifiant un avertissement public sur le fondement des articles 45 et 46 de la loi du 6 janvier 1978.

Loi n° 78-17 du 6 janvier 1978, Loi n° 2004-801 du 6 août 2004, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Article L. 613-21 du Code monétaire et financier