AgentPublic/cnil huggingface dataset:
Le traitement de telles alertes doit s'entourer de précautions particulières, notamment un examen préalable, par leur premier destinataire, de l'opportunité de leur diffusion dans le cadre du dispositif.  En tout état de cause, l'organisation ne doit pas inciter les personnes ayant vocation à utiliser le dispositif à le faire de manière anonyme et la publicité faite sur l'existence du dispositif doit en tenir compte.  Au contraire, la procédure doit être conçue de manière à ce que les employés s'identifient à chaque communication d'informations par la procédure d'alerte et soumettent des informations relatives à des faits plutôt qu'à des personnes.
4) La diffusion d'une information claire et complète sur le dispositif d'alerte   Une information claire et complète des utilisateurs potentiels du dispositif d'alerte doit être réalisée par tout moyen approprié.   Au delà de l'information collective et individuelle prévue par le code du travail, et conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, cette information doit notamment préciser l'identification de l'entité responsable du dispositif, les objectifs poursuivis et le domaine concerné par les alertes, le caractère facultatif du dispositif, l'absence de conséquence à l'égard des employés de la non-utilisation de ce dispositif, les destinataires des alertes, ainsi que l'existence d'un droit d'accès et de rectification au bénéfice des personnes identifiées dans le cadre de ce dispositif.   Il doit enfin être clairement indiqué que l'utilisation abusive du dispositif peut exposer son auteur à des sanctions disciplinaires ainsi qu'à des poursuites judiciaires, mais qu'à l'inverse, l'utilisation de bonne foi du dispositif, même si les faits s'avèrent par la suite inexacts ou ne donnent lieu à aucune suite, ne peut exposer son auteur à des sanctions.   5) Un recueil des alertes par des moyens dédiés   Le recueil des alertes peut reposer sur tous moyens, informatisés ou non, de traitement des données.   Ces moyens doivent être dédiés au dispositif d'alerte afin d'écarter tout risque de détournement de finalité et de renforcer la confidentialité des données.
6) Des données d'alerte pertinentes, adéquates et non excessives   Le support permettant la prise en compte de l'alerte professionnelle ne doit comporter que des données formulées de manière objective, en rapport direct avec le champ du dispositif d'alerte et strictement nécessaires à la vérification des faits allégués.   Les formulations utilisées pour décrire la nature des faits signalés doivent faire apparaître leur caractère présumé.
7) Une gestion interne des alertes réservée à des spécialistes, dans un cadre confidentiel   Le recueil et le traitement des alertes professionnelles doivent être confiés à une organisation spécifique mise en place au sein de l'entreprise concernée pour traiter ces questions.  Les personnes chargées de traiter les alertes doivent être en nombre limité, spécialement formées et astreintes à une obligation renforcée de confidentialité contractuellement définie.   La confidentialité des données à caractère personnel doit être garantie tant à l'occasion de leur recueil que de leur communication ou de leur conservation.   Les données recueillies par le dispositif d'alerte peuvent être communiquées au sein du groupe si cette communication est nécessaire aux besoins de l'enquête et résulte de l'organisation du groupe. Une telle communication sera considérée comme nécessaire aux besoins de l'enquête par exemple si l'alerte met en cause un collaborateur d'une autre personne morale du groupe, un membre de haut niveau ou un organe de direction de l'entreprise concernée.  Dans ce cas, les données ne doivent être transmises, dans un cadre confidentiel et sécurisé, qu'à l'organisation compétente de la personne morale destinataire apportant des garanties équivalentes dans la gestion des alertes professionnelles.   Si une telle communication s'avère nécessaire, et ce vers une personne morale établie dans un pays non membre de l'Union européenne n'accordant pas une protection adéquate au
sens de la directive 95/46/CE du 24 octobre 1995, il doit être fait application des dispositions spécifiques de la loi du 6 janvier 1978 modifiée relatives aux transferts internationaux de données (encadrement juridique particulier et information des personnes concernées sur le fait que les données seront transférées vers un tel pays).   Enfin, dans l'hypothèse où il serait envisagé d'avoir recours à un prestataire pour gérer le dispositif d'alerte, celui-ci doit s'engager contractuellement à ne pas utiliser les données à des fins détournées, à assurer leur confidentialité, et à respecter la durée de conservation limitée des données.  L'entreprise concernée restera en tout état de cause responsable des traitements que le prestataire effectuera pour son compte.
8) La possibilité de rapports d'évaluation du dispositif   Dans le cadre de l'évaluation du dispositif d'alerte professionnelle, l'entreprise responsable peut communiquer aux entités chargées de cette mission au sein de son groupe toutes les informations statistiques utiles à leur mission (telles que les données relatives aux typologies d'alertes reçues et aux mesures correctives prises).   Ces informations ne doivent en aucun cas permettre l'identification directe ou indirecte des personnes concernées par les alertes.   9) Une conservation limitée des données à caractère personnel   Les données relatives à une alerte jugée infondée par l'entité responsable des alertes doivent être détruites sans délai.   Les données relatives aux alertes ayant nécessité une vérification ne doivent pas être conservées au delà de deux mois à compter de la clôture des opérations de vérification, sauf engagement d'une procédure disciplinaire ou de poursuites judiciaires à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive.
10) Une information précise de la personne mise en cause   Conformément aux articles 6 et 32 de loi du 6 janvier 1978 modifiée l'information de la personne identifiée visée par une alerte doit être par principe réalisée par le responsable du dispositif dès l'enregistrement, informatisé ou non, des données la concernant afin de lui permettre de s'opposer sans délai au traitement de ces données.   Toutefois, l'information de la personne mise en cause ne saurait intervenir avant l'adoption de mesures conservatoires lorsque celles-ci s'avèrent indispensables, notamment pour prévenir la destruction de preuves nécessaires au traitement de l'alerte.   Cette information est réalisée selon des modalités permettant de s'assurer de sa bonne délivrance à la personne concernée.   Elle doit notamment préciser au salarié mis en cause l'entité responsable du dispositif, les faits qui lui sont reprochés, les services éventuellement destinataires de l'alerte ainsi que les modalités d'exercice de ses droits d'accès et de rectification.   11) Le respect des droits d'accès et de rectification   Conformément aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée toute personne identifiée dans le dispositif d'alerte professionnelle peut accéder aux données la concernant et en demander, le cas échéant, la rectification ou la suppression.   Elle ne peut en aucun cas obtenir communication, sur le fondement de son droit d'accès, des informations concernant des tiers, telles que l'identité de
l'émetteur de l'alerte.
La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex Türk, président ;
Etant aussi présents M. Guy Rosier, vice-président délégué, M. François Giquel, vice-président, M. Hubert Bouchet, membre, Mlle Anne Debet, membre, M. Bernard Peyrat, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ;
Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 87-25 du 10 février 1987 modifiée par la délibération n° 2004-098 du 9 décembre 2004 fixant le règlement intérieur de la CNIL ;
Vu les articles L. 333-4 et suivants du Code de la consommation ;
Vu l'article L. 613-21 du Code monétaire et financier ;
Vu le règlement n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire, relatif au Fichier des incidents de remboursement des crédits aux particuliers (FICP) ;
Vu la saisine n° 05000465 adressée à la CNIL le 12 janvier 2005 ;
Vu la décision n° 2005-078C de procéder à une mission de vérification sur place auprès de la société X ;
Vu le rapport de M. Philippe Nogrix, Commissaire, notifié le 10 novembre 2005 à la société X et les observations en réponse reçues le 8 décembre 2005.
Après avoir entendu, lors de la réunion du 13 décembre 2005, M. Philippe Nogix, Commissaire, en son rapport et Madame Pascale Compagnie, Commissaire du gouvernement, en ses observations.
Après avoir entendu, lors de la réunion du 13 décembre 2005, les observations orales de Melle A, directeur juridique de la société X, Melle B, responsable juridique au sein de la société X et de M. C du cabinet d'avocats Z, ceux-ci ayant pris la parole en dernier.
Constate les faits suivants :
La société X, sise [...], a fait procéder, le 30 juin 2001, à l'inscription d'un ancien client, né le [...] 1961 à [...] au fichier national des incidents de remboursement des crédits aux particuliers (FICP), géré par la Banque de France, en raison d'incidents de paiement enregistrés sur un crédit renouvelable contracté avec son ex-épouse le 9 octobre 1996 auprès de l'établissement U racheté ultérieurement par X et dont la clôture avait été sollicitée par courrier en date du 23 juin 1998.
Si le requérant ne sollicite pas expressément la clôture du compte dans ce courrier, celle-ci ne semble néanmoins pas faire de doute en raison du remboursement anticipé du prêt effectué par ce courrier et de la rédaction, par les services de X de plusieurs zones "bloc-notes" figurant sur la fiche informatique du requérant dans le fichier client retrouvée par la CNIL à l'occasion d'une mission de contrôle diligentée le 4 novembre 2005.
Divorcé depuis 1999, c'est l'ex-femme du requérant qui aurait, en profitant de l'oubli de X de clôturer le compte, continué à effectuer des prélèvements au-delà du 23 juin 1998. Ce point est confirmé par X dans un courrier adressé à la CNIL le 25 février 2005 : "Nous pouvons d'ores et déjà vous préciser que, compte-tenu des circonstances de cette affaire et du fait que M. D, co-emprunteur, n'avait pas bénéficié des utilisations de la réserve de crédit effectuées par l'empruntrice (...)".
En février 2003, suite à la découverte de son inscription au FICP à l'occasion de la sollicitation d'un prêt refusé par un autre établissement de crédit, le requérant a pris contact avec les services de X et a sollicité la mainlevée de son inscription au FICP.
Au regard des zones "bloc-notes" figurant sur la fiche informatique du requérant dans le fichier client retrouvée par la CNIL à l'occasion d'une mission de contrôle diligentée le 4 novembre 2005, il apparaît que X a fait savoir à son client en mars 2003, de façon informelle, qu'elle entendait procéder à la mainlevée de son inscription au FICP. Pourtant, après saisine de la CNIL, par le requérant, le 3 mars 2005, soit deux ans plus tard, celui-ci était toujours inscrit au FICP. X n'a à cet égard communiqué aucun élément écrit à la CNIL permettant de considérer que des diligences ont été accomplies en mars 2003 afin de procéder à la mainlevée de l'inscription.
Lors de la mission de contrôle effectuée par la CNIL le 4 novembre 2005, les services de X ont réaffirmé qu'une première mainlevée de l'inscription a bien eu lieu en 2003 mais qu'à l'occasion d'une erreur produite en 2004 cette inscription avait repris effet.
Néanmoins en l'état des documents dont dispose la Commission, aucun document ne prouve qu'une demande de mainlevée a effectivement été adressée à la Banque de France en 2003.
L'argumentation développée par X lors de la mission de contrôle n'est d'ailleurs pas cohérente avec la copie d'un courrier qu'elle a adressé à la Banque de France le 18 mars 2005 et dont elle a remis une copie aux services de la CNIL. Aux termes de ce courrier, X semble rejeter sur les services de la Banque de France la faute relative à l'absence de mainlevée du FICP en 2003. Ceci semble donc confirmer qu'il n'a été procédé à aucune mainlevée de l'inscription au FICP en 2003. Interrogés par la CNIL sur la suite réservée à ce courrier, les services de la Banque de France ont fait savoir à la CNIL, dans un courrier en date du 19 octobre 2005 que : "en réponse à la lettre précitée (le courrier de X du 18 mars 2005), nous avons adressé à X, le 22 mars 2005, un courrier lui précisant les références de l'incident inscrit au FICP par ses soins (...). Ces informations permettaient à l'établissement de procéder rapidement à la radiation des informations recensées au FICP". X n'a pas mentionné l'existence de cette réponse adressée par la Banque de France le 22 mars 2005.
Interrogée par la CNIL au cours du 1er semestre 2005 sur les raisons de l'inscription du requérant au FICP, X s'était d'ailleurs contentée, dans un courrier du 31 mars 2005, d'indiquer que l'inscription initiale du requérant au FICP faisait suite à trois mensualités impayées d'avril à juin 2001, que la radiation du FICP avait été décidée compte-tenu des circonstances exceptionnelles de l'espèce qui auraient entraîné la "désolidarisation" du requérant et que le maintien de l'inscription du requérant jusqu'en 2005 résultait d'un "dysfonctionnement". X n'a apporté aucun élément précisant la nature exacte de ce dysfonctionnement, les raisons de son existence ou les mesures prises permettant de s'assurer qu'il ne se reproduira plus.
Bien que, à ce jour, les diligences accomplies par les services de la Commission aient permis de procéder à la mainlevée de l'inscription du plaignant au FICP, tant les dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée par la loi n° 2004-801 du 6 août 2004 que les dispositions du règlement n° 90-05 du 11 avril 1990 relatif au FICP n'ont pas été respectées.
En premier lieu, l'inscription au FICP du requérant le 30 juin 2001 pour des incidents de paiement survenus d'avril à juin 2001 sur un compte dont la clôture avait été sollicitée en juin 1998 n'est manifestement pas conforme à l'article 6 3° de la loi "informatique et libertés" qui dispose qu'un traitement ne peut porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs. Par ailleurs, l'inscription au FICP d'une personne dont le compte de prêt est clôturé n'est manifestement pas conforme aux conditions d'inscription au FICP définies dans le règlement CRBF n° 90-05 du 11 avril 1990.
En outre, alors que X s'était engagé auprès du requérant à procéder à la mainlevée de l'inscription au FICP, cette diligence n'a pas été accomplie et le requérant n'a été défiché qu'après le 3 mars 2005.
Le "dysfonctionnement" évoqué par X, mais non justifié, pour expliquer le retard pris dans la mainlevée de l'inscription remet gravement en cause les conditions dans lesquelles la sécurité des données sur les clients semble être assurée par X conformément à l'article 34 de la loi du 6 janvier 1978 modifiée, s'agissant en particulier de la communication à des tiers (l'ensemble des établissements de crédit ayant communication des personnes physiques inscrites au FICP) d'informations erronées. L'article 6 4° de la loi du 6 janvier 1978 modifiée dispose à cet égard que les données doivent être "exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées".
Le requérant est donc resté inscrit pendant plus de quatre ans (soit presque la durée maximale d'inscription au FCIP) et en a subi un lourd préjudice puisqu'il s'est vu en particulier, refusé l'obtention d'un crédit immobilier. L'argumentation développée par X, mais non justifiée, sur l'existence d'une première mainlevée de l'inscription au FICP qui aurait repris effet en raison du dysfonctionnement précité est à cet égard sans incidence.
II convient enfin de préciser que le requérant a engagé une action en justice à l'encontre de la société X afin de demander la réparation du préjudice qu'il estimait avoir subi du fait de son inscription au FICP et que le tribunal d'instance de Courbevoie, par jugement en date du [...] 2004, l'a débouté au motif qu'il n'était pas en mesure de rapporter par lui-même la preuve de son inscription au FICP. Le jugement précise à cet égard que : "La défenderesse (X) conteste formellement avoir fiché (le requérant) auprès de la Banque de France".
La Commission relève qu'il est normal que le requérant n'ait pu prouver l'existence de son inscription puisque la réglementation prévoit qu'il n'est pas remis de copie écrite de l'enregistrement à la personne fichée. N'ayant pas fait état, devant le juge, de l'inscription du requérant à laquelle avait fait procédé dès juin 2001, la Commission constate que X a aussi manqué à l'obligation visée, à l'article 6 1° de la loi "informatique et libertés" modifiée en août 2004 qui dispose que : "les données sont collectées et traitées de manière loyale et licite".
Au cours de la réunion du 13 décembre 2005, les représentants de la société X ont évoqué les mesures correctives qui allaient être mises en place. La Commission prend acte de ces engagements mais considère qu'ils ne sont pas de nature à remettre en cause la proposition du rapporteur.
En conséquence, décide de faire application des dispositions des articles 45 et 46 de la loi du 6 janvier 1978 modifiée et d'adresser un avertissement à la société X, sise [...] qui sera rendu public.
Décide aussi que, conformément aux dispositions de l'article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l'article L 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.
 
Le président, 
 
Alex TURK.
La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TURK, président ;
Etant aussi présents M. Guy Rosier, vice-président délégué, M. François Giquel, vice-président, M. Hubert Bouchet, membre, Mlle Anne Debet, membre, M. Bernard Peyrat, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ;
Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 87-25 du 10 février 1987 modifiée par la délibération n° 2004-098 du 9 décembre 2004 fixant le règlement intérieur de la CNIL ;
Vu la délibération n° 87-037 du 07 avril 1987 portant avis de la CNIL sur la mise en oeuvre par la Banque de France d'un traitement automatisé d'informations nominatives relatif à la centralisation des retraits de cartes bancaires "CB" ;
Vu la saisine n° 04002744 adressée le 20 février 2004 à la CNIL ;
Vu la délibération n° 2005-82 du 10 mai 2005 portant mise en demeure à X ;
Vu la décision n° 2005-076C de procéder à une mission de vérification sur place auprès de X ;
Vu le rapport de M. Philippe Nogrix, Commissaire, notifié le 10 novembre 2005 à la société X et les observations en réponse reçues le 6 décembre 2005 ;
Après avoir entendu, lors de la réunion du 13 décembre 2005, M. Philippe Nogrix, Commissaire, en son rapport et Madame Pascale Compagnie, Commissaire du gouvernement, en ses observations.
Après avoir entendu, lors de la réunion du 13 décembre 2005, les observations orales de Monsieur A (Z) et Madame B (Directeur juridique fiscal de X), ceux-ci ayant pris la parole en dernier.
Constate les faits suivants :
X, sise [...], a fait procéder, le 9 avril 2003, à l'inscription de M. C au fichier des retraits de carte bancaire mis en oeuvre par la Banque de France.
Le 20 février 2004, la Commission nationale de l'informatique et des libertés a été saisie par M. C d'une plainte relative à une inscription à ce fichier.
Dans sa saisine, le requérant a indiqué que X ne lui aurait jamais délivré de carte bancaire. Il a ajouté que, malgré de multiples démarches entamées auprès des services de la banque, il n'a pu obtenir d'explications sur cette inscription qu'il conteste.
Interrogée par les services de la CNIL sur les raisons de l'inscription du requérant dans le fichier des retraits de carte bancaire, X a indiqué, par courrier du 5 mars 2004, qu'elle n'enregistrait aucune déclaration d'incidents de paiement dans ses livres concernant M. C.
Le 9 mars 2004, la Banque de France a confirmé la mainlevée de l'inscription de M. C. 
Le 10 mars 2004, les services de la CNIL ont adressé un courrier à X lui rappelant les termes de son précédent courrier et lui demandant de compléter sa réponse en apportant à la CNIL des précisions sur la nature des incidents qui auraient justifié l'inscription du requérant dans le fichier précité par ses services le 9 avril 2003.
La Commission a adressé deux courriers de relance à X le 21 juillet et le 17 décembre 2004 mais ceux-ci sont restés sans réponse.
Par délibération n° 2005-82 du 10 mai 2005, la CNIL a par conséquent mis en demeure X de préciser sous dix jours la nature des incidents de fonctionnement du compte résultant de l'usage d'une carte bancaire ayant entraîné l'inscription de M. C pendant près d'un an au fichier des retraits de carte bancaire.
Dans un courrier de réponse en date du 14 juin 2005, X a précisé que le requérant disposait bien d'une carte bancaire depuis le 28 novembre 2001 et a indiqué que des incidents chèques étant intervenus dans le fonctionnement du compte de M. C, celle-ci avait été amenée à décider d'une opposition sur la carte bancaire puisqu'elle avait décidé de clôturer le compte de ce client.
Ce faisant, X n'a pas répondu aux demandes d'explication de la CNIL qui ne portaient pas sur la mise en opposition de la carte (toute carte perdue ou volée fait par exemple l'objet d'une telle procédure qui rend impossible l'utilisation de la carte, ce qui est normal) mais sur les raisons de l'inscription au fichier des retraits de carte bancaire mise en oeuvre par la Banque de France. 
Ce traitement, qui a reçu un avis favorable de la CNIL le 7 avril 1987, vise à assurer une publicité générale et centralisée des décisions de retrait de carte bancaire à la suite d'incidents, de manière à éviter que le titulaire du compte sur lequel une carte bancaire a fonctionné de façon irrégulière puisse obtenir la délivrance d'une nouvelle carte auprès d'un autre établissement. Ce traitement fonctionne de façon indépendante au regard du volet "chèques" du Fichier central des chèques (FCC) également mis en oeuvre par la Banque de France qui enregistre les incidents de paiement survenus à l'occasion de l'utilisation de chèques.