Consultation détournée du FICP et communication illicite de données personnelles

La consultation du FICP est limitée, par le règlement n° 90-05 du 11 avril 1990, aux opérations se rattachant à l’octroi ou à la gestion d’un crédit. L’utilisation de ce fichier lors de l’ouverture d’un compte au nom d’un comité d’établissement méconnaît donc sa finalité, consacrée à la prévention et au règlement du surendettement des particuliers et des familles. Cette restriction s’articule avec l’article 25 de la loi du 6 janvier 1978, qui interdit la collecte de données par un moyen frauduleux, déloyal ou illicite.

Les informations obtenues par consultation du FICP sont réservées à l’usage exclusif des établissements de crédit destinataires, conformément au règlement n° 90-05 et à l’article 57 de la loi du 24 janvier 1984. Leur communication à une personne non habilitée constitue également un manquement à l’obligation de sécurité prévue par l’article 29 de la loi du 6 janvier 1978.

La CNIL a retenu une double atteinte : détournement de la finalité du fichier et divulgation de données à un tiers non autorisé. Elle a adressé un avertissement sur le fondement de l’article 21, alinéa 4, de la loi du 6 janvier 1978 et transmis la délibération à la Commission bancaire en raison de la violation du secret professionnel.

⬇️Télécharger la décision version officielle

Une succursale bancaire a consulté le FICP lors de l’ouverture d’un compte d’entreprise et communiqué l’inscription d’un salarié à celle-ci. La consultation n’était liée à aucun crédit et détournait la finalité du fichier. La CNIL a également retenu la communication d’informations à un tiers non habilité, puis adressé un avertissement.

Une succursale bancaire a consulté le FICP lors de l’ouverture, par une entreprise, d’un compte au nom de son comité d’établissement. Le fichier a révélé qu’un salarié disposant d’un pouvoir de cosignature des chèques en cas d’empêchement du trésorier était inscrit au FICP.

La succursale a informé l’entreprise de cette inscription. Saisie d’une plainte, la CNIL a considéré que la consultation n’était pas liée à l’octroi ou à la gestion d’un crédit et qu’elle détournait la finalité du fichier, constitué pour prévenir et régler le surendettement des particuliers et des familles. Elle a également retenu la communication d’informations à un tiers non habilité, puis a adressé un avertissement et transmis la délibération à la Commission bancaire.

• Vérifier que la consultation se rattache à l’octroi ou à la gestion d’un crédit
• Respecter la finalité du FICP, limitée au surendettement des particuliers et familles
• Éviter toute collecte opérée par un moyen déloyal ou illicite
• Réserver les informations aux établissements de crédit destinataires
• Empêcher la communication des données à des tiers non autorisés
• Préserver la sécurité des informations nominatives traitées

• Éléments fournis à la Commission concernant la consultation du FICP
• Ouverture d’un compte au nom d’un comité d’établissement
• Inscription du salarié au FICP révélée lors de la consultation
• Information communiquée à l’entreprise par la succursale bancaire

La succursale bancaire encourt un avertissement de la CNIL pour détournement de finalité et communication illicite de données. La violation du secret professionnel est en outre portée devant la Commission bancaire, compétente pour sanctionner les manquements bancaires.

• Avertissement fondé sur l’article 21, alinéa 4
• Constat d’un usage non conforme du FICP
• Constat d’une divulgation à un tiers non habilité
• Transmission de la délibération à la Commission bancaire
• Atteinte reconnue aux droits des personnes fichées

À faire

• Limiter la consultation du FICP aux opérations de crédit
• Vérifier la finalité concrète de chaque consultation
• Réserver les informations aux destinataires habilités
• Préserver la sécurité des données nominatives
• Documenter les conditions et le motif de consultation

À éviter

• Consulter le FICP pour ouvrir un compte non lié au crédit
• Détourner les données de leur finalité de prévention du surendettement
• Informer une entreprise de l’inscription d’un salarié
• Communiquer les informations à un tiers non autorisé
• Méconnaître le secret professionnel bancaire

La finalité de consultation du FICP

La consultation du FICP est limitée par le règlement n° 90-05 du 11 avril 1990 aux opérations se rattachant à l’octroi ou à la gestion d’un crédit. L’utilisation du fichier lors de l’ouverture d’un compte au nom d’un comité d’établissement méconnaît cette finalité, le fichier étant destiné à prévenir et régler le surendettement des particuliers et des familles.

La confidentialité des informations du FICP

Le règlement n° 90-05 et l’article 57 de la loi du 24 janvier 1984 réservent les informations consultées à l’usage exclusif des établissements de crédit destinataires. Leur communication à un tiers non habilité porte atteinte aux droits des personnes fichées et méconnaît l’article 29 de la loi du 6 janvier 1978.

La sanction du détournement de finalité

La CNIL a retenu le détournement de la finalité du fichier et la divulgation illicite de données. Elle a adressé un avertissement sur le fondement de l’article 21, alinéa 4, de la loi du 6 janvier 1978 et transmis la délibération à la Commission bancaire pour la violation du secret professionnel.

Article 21, alinéa 4, de la loi n° 78-17 du 6 janvier 1978, Article 25 de la loi n° 78-17 du 6 janvier 1978, Article 29 de la loi n° 78-17 du 6 janvier 1978, Article 57 de la loi n° 84-46 du 24 janvier 1984