Inscription injustifiée au FICP : obligation de contrôle et de radiation diligente

La CNIL retient la responsabilité de l’organisme de crédit pour avoir maintenu une inscription au FICP alors que l’extinction judiciaire de la dette avait supprimé le fondement de cette inscription. La radiation n’est intervenue que plus d’un an après cette extinction et après le signalement des intéressés.

Sur le fondement de l’article 29 de la loi du 6 janvier 1978, dans sa rédaction antérieure à la loi du 6 août 2004, le responsable du traitement devait prendre toutes précautions utiles pour préserver la sécurité et l’intégrité des informations traitées. Les articles 37 et 38 de cette loi imposaient également la correction, y compris d’office, des informations devenues inexactes et la notification de leur annulation aux tiers destinataires.

La Commission relève aussi le non-respect du règlement n° 90-05. L’oubli d’un salarié et les difficultés de gestion invoquées ne suffisent pas à justifier l’absence de contrôles internes propres à garantir la conformité du traitement. Les mesures correctrices postérieures à la plainte ne peuvent excuser le manque de diligence antérieur.

Un avertissement public a donc été adressé à l’organisme de crédit sur le fondement des articles 45 et 46 de la loi du 6 janvier 1978 modifiée. Il devait également être porté à la connaissance de la Commission bancaire conformément à l’article L. 613-21 du Code monétaire et financier et à l’article 15 du règlement n° 90-05.

⬇️Télécharger la décision version officielle

Deux emprunteurs sont restés inscrits au FICP après l’extinction judiciaire de leur dette. L’organisme de crédit n’a procédé à leur radiation qu’en juillet 2004, invoquant l’oubli d’un salarié et des difficultés de gestion. La CNIL a constaté l’insuffisance des contrôles internes et le non-respect des règles de correction et de radiation, puis adressé un avertissement public.

Un organisme de crédit a inscrit au FICP deux emprunteurs après le non-paiement de plusieurs échéances d’un crédit à la consommation conclu en 1995. Un jugement du 7 février 2003 a ensuite prononcé l’extinction de leur dette, rendant l’inscription injustifiée à compter de cette date.

L’organisme n’a procédé à la radiation qu’en juillet 2004, après avoir été informé des difficultés des intéressés. Il a expliqué ce retard par l’oubli du salarié chargé du dossier et par des difficultés de gestion à la Banque de France.

Saisie de la situation, la CNIL a constaté l’absence de contrôles internes suffisants et le non-respect des règles applicables à la correction et à la radiation des données. Elle a adressé un avertissement public à l’organisme de crédit et prévu sa transmission à la Commission bancaire.

• Constater l’extinction judiciaire de la dette inscrite
• Qualifier l’inscription au FICP d’information devenue inexacte
• Procéder à une correction ou radiation diligente
• Mettre en place des contrôles internes adaptés
• Préserver la sécurité et l’intégrité des données traitées
• Notifier l’annulation aux tiers destinataires

• Jugement du 7 février 2003 prononçant l’extinction de la dette
• Inscription des emprunteurs au FICP le 31 juillet 2002
• Radiation effectuée seulement en juillet 2004
• Courriers informant l’organisme des difficultés des intéressés
• Observations reconnaissant un oubli dans le classement du dossier

L’organisme de crédit est sanctionné pour avoir tardé à radier une inscription devenue injustifiée et pour l’insuffisance de ses contrôles internes. L’avertissement est rendu public et transmis à la Commission bancaire ; les mesures correctrices postérieures ne neutralisent pas le manquement antérieur.

• Radiation des données dès la disparition du fondement de l’inscription
• Contrôle régulier de la cohérence entre fichiers internes et FICP
• Détection automatisée des dossiers nécessitant une radiation
• Notification de l’annulation aux tiers destinataires
• Prise en compte du risque d’avertissement public et de transmission

À faire

• Vérifier périodiquement le fondement des inscriptions au FICP
• Tracer les décisions judiciaires affectant les créances
• Radier rapidement toute donnée devenue inexacte
• Mettre en place des contrôles internes documentés
• Notifier l’annulation aux tiers destinataires

À éviter

• Maintenir une inscription après extinction de la dette
• Se limiter à une vérification manuelle isolée
• Invoquer un oubli pour justifier un retard
• Reporter les corrections jusqu’à une réclamation
• Compter sur des mesures correctrices postérieures au manquement

La correction des données personnelles devenues inexactes

nL’article 37 de la loi du 6 janvier 1978 imposait la correction, même d’office, d’une information nominative inexacte dès que l’organisme en avait connaissance. La CNIL a considéré que l’extinction judiciaire de la dette rendait l’inscription au FICP injustifiée et devait entraîner sa radiation diligente.n

Les contrôles internes du responsable de traitement

nL’article 29 de la loi du 6 janvier 1978 imposait de prendre toutes précautions utiles pour préserver la sécurité et l’intégrité des informations traitées. L’oubli d’un salarié et les difficultés de gestion ne justifient pas l’absence de contrôles internes permettant d’assurer la conformité du fichier.n

Les sanctions applicables aux manquements au traitement

nSur le fondement des articles 45 et 46 de la loi du 6 janvier 1978 modifiée, la CNIL a adressé un avertissement public à l’organisme. En application de l’article L. 613-21 du Code monétaire et financier et de l’article 15 du règlement n° 90-05, cet avertissement devait être porté à la connaissance de la Commission bancaire.

Convention n° 108 du Conseil de l’Europe du 28 janvier 1981, Loi n° 78-17 du 6 janvier 1978, Loi n° 2004-801 du 6 août 2004, Articles L. 333-4 et suivants du Code de la consommation, Article L. 613-21 du Code monétaire et financier, Article 29 de la loi n° 78-17 du 6 janvier 1978, Article 37 de la loi n° 78-17 du 6 janvier 1978, Article 38 de la loi n° 78-17 du 6 janvier 1978, Articles 45 et 46 de la loi n° 78-17 du 6 janvier 1978