Protection des données bancaires : encadrement des zones bloc-notes et avertissement de la CNIL

La CNIL rappelle que les informations nominatives enregistrées dans une zone « bloc-notes » doivent être pertinentes, adéquates et non excessives au regard de la finalité déclarée du traitement. Elles doivent rester objectives, exclure tout jugement de valeur ou appréciation subjective et ne pas révéler, directement ou indirectement, les origines raciales, opinions politiques, philosophiques ou religieuses, appartenances syndicales ou mœurs des personnes concernées.

Ces informations sont soumises au droit d’accès prévu par l’article 34 de la loi du 6 janvier 1978 et doivent être communiquées intégralement, en langage clair. Leur conservation doit également rester limitée à une durée pertinente et faire l’objet de mises à jour régulières.

La vérification sur place a révélé des mentions répétées, excessives, désobligeantes ou sans lien avec la finalité du traitement. La CNIL a retenu l’insuffisance des contrôles internes du responsable du fichier, malgré la diffusion ultérieure d’une note au personnel. Sur le fondement des articles 21-2° et 21-4° de la loi du 6 janvier 1978, elle a demandé l’effacement des mentions non conformes sous un mois et a adressé un avertissement à l’établissement.

⬇️Télécharger la décision version officielle

Une agence bancaire enregistrait dans les dossiers de clients des commentaires sans pertinence, parfois relatifs à la vie privée ou aux relations avec des tiers, et formulés de manière désobligeante ou injurieuse. Après un contrôle sur place, la CNIL a exigé l’effacement des mentions irrégulières et adressé un avertissement, malgré les mesures correctrices annoncées.

Des clients d’une agence bancaire ont découvert, à l’issue d’un entretien commercial, des commentaires les qualifiant notamment de personnes très timides et de menteur dans le traitement informatisé de gestion de la clientèle.

La CNIL a ordonné une vérification sur place dans l’agence et au siège de l’établissement. Les agents ont obtenu une copie des zones « bloc-notes » de l’ensemble des comptes tenus par l’agence.

L’application permettait au personnel de résumer les entretiens commerciaux dans une zone de dix lignes. L’examen exhaustif a révélé de nombreuses mentions sans lien avec la finalité du traitement, dépourvues de pertinence, parfois relatives à la vie privée ou aux relations avec des tiers, et formulées en termes désobligeants voire injurieux.

Après le contrôle, l’établissement a diffusé une note rappelant les règles applicables. La CNIL a néanmoins constaté l’absence de contrôles internes antérieurs suffisants, demandé l’effacement des mentions irrégulières et adressé un avertissement.

• Vérifier le lien direct avec la finalité déclarée du traitement
• Exiger des informations pertinentes, adéquates et non excessives
• Écarter toute appréciation subjective ou jugement de valeur
• Interdire l’apparition de données relatives aux catégories sensibles
• Limiter la conservation à une durée pertinente
• Assurer une mise à jour régulière des informations
• Permettre une communication intégrale en langage clair

• Réclamation de clients ayant constaté les commentaires à l’écran
• Copie des zones « bloc-notes » de tous les comptes
• Exploitation exhaustive des mentions enregistrées
• Compte rendu de la vérification sur place
• Observations recueillies auprès des personnels présents

L’établissement doit purger les zones « bloc-notes » des mentions non conformes et contrôler l’ensemble des fichiers exploités par ses agences. Les personnes concernées peuvent obtenir la communication intégrale des informations les concernant, tandis que la persistance de pratiques irrégulières expose le responsable du fichier à une intervention de la CNIL.

• Effacement systématique des mentions contraires aux exigences
• Audit de toutes les zones « bloc-notes » des agences
• Contrôle de la pertinence avant chaque enregistrement
• Formation du personnel à l’objectivité des annotations
• Respect du droit d’accès en langage clair

À faire

• Définir précisément la finalité de chaque zone « bloc-notes »
• Contrôler la pertinence de chaque annotation enregistrée
• Supprimer les jugements de valeur et données sensibles
• Mettre régulièrement à jour les informations conservées
• Préparer une communication intégrale lors d’un droit d’accès

À éviter

• Inscrire des commentaires subjectifs sur le comportement
• Conserver des informations sans lien avec la gestion
• Documenter la vie privée ou les relations avec des tiers
• Employer des termes désobligeants ou injurieux
• Négliger les contrôles internes de conformité

La pertinence des informations enregistrées dans les zones bloc-notes

Les mentions doivent être pertinentes, adéquates et non excessives au regard de la finalité du traitement. Elles doivent présenter un caractère objectif et rester liées à la gestion de la clientèle, au suivi d’un compte ou à l’état d’avancement d’un dossier. La CNIL a écarté les commentaires sans lien avec cette finalité, ainsi que ceux relevant de la vie privée ou des relations avec des tiers.

L’exclusion des jugements de valeur et données sensibles

Les informations doivent être exclusives de toute appréciation subjective. Elles ne peuvent faire apparaître directement ou indirectement les origines raciales, opinions politiques, philosophiques ou religieuses, appartenances syndicales ou mœurs des personnes concernées. Les formulations désobligeantes ou injurieuses sont incompatibles avec ces exigences d’objectivité.

Le droit d’accès et les contrôles internes du responsable

En application de l’article 34 de la loi du 6 janvier 1978, les informations doivent être intégralement communiquées en langage clair aux personnes exerçant leur droit d’accès. Leur conservation doit rester pertinente et leur mise à jour régulière. La répétition des irrégularités a révélé l’insuffisance des contrôles internes, justifiant l’effacement demandé et l’avertissement fondé sur l’article 21-4°.

Article 5 du décret n° 78-774 du 17 juillet 1978, Article 16 de la loi n° 78-17 du 6 janvier 1978, Article 21-2° de la loi n° 78-17 du 6 janvier 1978, Article 21-4° de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978