Protection des données bancaires : inscription erronée au fichier des retraits de carte et avertissement de la CNIL

La CNIL sanctionne l’inscription erronée d’un titulaire de compte au fichier des retraits de carte bancaire. Le traitement, distinct du volet « chèques » du FCC, ne peut enregistrer que des données adéquates, pertinentes et non excessives au regard de sa finalité, conformément à l’article 6, 3° de la loi du 6 janvier 1978. L’absence d’incident de paiement lié à l’utilisation de la carte rendait l’inscription injustifiée.

La société a également manqué à l’obligation d’exactitude, de complétude et de mise à jour des données prévue par l’article 6, 4° de la même loi. La persistance de l’inscription pendant plus de dix mois, malgré la correction du code interne, résultait d’un oubli de défichage. La communication de cette donnée erronée aux établissements de crédit caractérisait en outre un manquement à l’article 34.

Les réponses contradictoires adressées à la CNIL et l’absence de réponse complète aux demandes de contrôle ont justifié une vérification sur place. Les mesures correctives annoncées ultérieurement n’ont pas remis en cause les manquements constatés. Sur le fondement des articles 45 et 46 de la loi du 6 janvier 1978, la CNIL a prononcé un avertissement, rendu public et porté à la connaissance de la Commission bancaire conformément à l’article L. 613-21 du Code monétaire et financier.

⬇️Télécharger la décision version officielle

Un titulaire de compte a été inscrit à tort dans le fichier des retraits de carte bancaire, en raison d’une erreur de codification jamais effectivement corrigée. L’inscription a persisté plus de dix mois et une information erronée a été communiquée aux établissements de crédit. Après vérification sur place, la CNIL a adressé un avertissement public.

Un titulaire de compte a été inscrit par la société X au fichier des retraits de carte bancaire mis en œuvre par la Banque de France, alors qu’aucun incident de paiement lié à l’utilisation de sa carte n’avait été enregistré. La société avait parallèlement enregistré un incident concernant un chèque et décidé de clôturer le compte.

La société a d’abord déclaré ne disposer d’aucune déclaration d’incident concernant le titulaire du compte, puis a expliqué l’inscription par des incidents de chèques et une opposition sur carte. Elle a ensuite reconnu une erreur de codification : le motif ayant entraîné l’inscription avait été remplacé dès le lendemain par un code d’annulation, sans que l’inscription soit effectivement levée.

Après plusieurs demandes restées incomplètes ou sans réponse, la CNIL a procédé à une vérification sur place. Elle a constaté l’inscription injustifiée, son maintien pendant plus de dix mois et la communication d’une information erronée aux établissements de crédit. Elle a adressé un avertissement à la société, rendu public.

• Vérifier l’existence d’un incident lié à l’utilisation de la carte bancaire
• Contrôler l’adéquation des données avec la finalité du fichier
• Assurer l’exactitude et la complétude des informations enregistrées
• Rectifier ou supprimer rapidement toute inscription erronée
• Éviter la communication de données inexactes aux établissements de crédit
• Répondre précisément aux demandes de contrôle de la CNIL

• Courriers contradictoires adressés par la société à la CNIL
• Confirmation de la mainlevée par la Banque de France
• Vérifications du système informatique de la société
• Absence d’incident de paiement effectué au moyen de la carte
• Historique du changement de code vers l’annulation
• Maintien de l’inscription pendant plus de dix mois

La société a reçu un avertissement fondé sur des manquements à la pertinence, à l’exactitude et à la mise à jour des données. L’avertissement est rendu public et communiqué à la Commission bancaire ; le titulaire du compte bénéficie de la levée de l’inscription erronée.n

• Défichage effectif du titulaire du compte
• Contrôle des motifs d’inscription au fichier bancaire
• Traçabilité des rectifications et des suppressions
• Réponse complète aux demandes de la CNIL
• Information des autorités en cas de sanction publiée

À faire

• Vérifier l’incident précisément associé à la carte
• Contrôler la cohérence entre motif et code informatique
• Rectifier immédiatement toute inscription erronée
• Tracer la date effective du défichage
• Répondre complètement aux demandes de la CNIL

À éviter

• Assimiler un incident de chèque à un incident de carte
• Maintenir une inscription après correction du code
• Communiquer des données non vérifiées aux établissements
• Adresser des réponses contradictoires à l’autorité
• Se limiter à annoncer des mesures correctives futures

Les conditions de licéité des données inscrites dans un fichier bancaire

nL’article 6, 3° de la loi du 6 janvier 1978 exige des données adéquates, pertinentes et non excessives au regard de la finalité du traitement. L’inscription au fichier des retraits de carte supposait un incident lié à l’utilisation de la carte. Un incident de paiement par chèque ne pouvait justifier cette inscription distincte.nn

L’exactitude et la mise à jour des données personnelles

nL’article 6, 4° de la loi du 6 janvier 1978 impose que les données soient exactes, complètes et, si nécessaire, mises à jour, avec effacement ou rectification des données inexactes. La correction du code interne n’ayant pas entraîné la levée effective de l’inscription, le maintien de celle-ci pendant plus de dix mois constituait un manquement.nn

La communication de données erronées à des tiers

nLa communication aux établissements de crédit d’une inscription injustifiée caractérisait un manquement à l’article 34 de la loi du 6 janvier 1978. Les réponses contradictoires, l’absence d’explication complète et les vérifications informatiques ont établi l’erreur d’inscription et l’oubli de défichage.

Article 6, 3° de la loi n° 78-17 du 6 janvier 1978, Article 6, 4° de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Articles 45 et 46 de la loi n° 78-17 du 6 janvier 1978, Article L. 613-21 du Code monétaire et financier