AgentPublic/cnil huggingface dataset:
La plaignante a régularisé le paiement du mois de septembre 2012 le 5 novembre 2012, le jour même de l'envoi de la déclaration de fichage à la Banque de France. 
Le non-respect de ce délai par la banque a privé la plaignante de la possibilité de régulariser son défaut de paiement dans les délais prévus par l'arrêté. 
La Commission constate que les faits précités, en particulier la violation des dispositions prévues par l'arrêté du 26 octobre 2010 relatif au fichier national des incidents de remboursement des crédits aux particuliers, constituent un manquement aux obligations découlant du 1° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 qui dispose que "les données à caractère personnel sont collectées et traitées de manière loyale et licite". 
Il est rappelé qu'en application de l'article 226-18 du code pénal le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d'emprisonnement et de 300 000 € d'amende. 
Un manquement à l'obligation de respecter la demande de suppression des données
Malgré l'intervention de la plaignante auprès de la banque par courrier en date du 27 juin 2013 et la demande de la Commission par courrier du 4 février 2014, sollicitant le défichage au FICP, la banque n'a pas fait droit à ces demandes.
En effet, la Commission, après avoir saisi la Banque de France le 29 avril 2014, constate que l'inscription de l'incident de paiement au FICP en date du 5 novembre 2012 persiste à ce jour. 
La Commission relève que les faits précités constituent un manquement aux dispositions de l'article 40 de la loi n°78-17 du 6 janvier 1978 modifiée qui dispose que "Toute personne physique justifiant de son identité peut exiger du responsable d'un traitement que soient, selon les cas, rectifiées, complétées mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées ou dont la collecte, l'utilisation, la communication ou la conservation est interdite".
La Commission relève enfin que ces faits sont susceptibles de constituer les infractions prévues à l'article R. 625-12 du code pénal qui prévoit qu' "Est puni de l'amende prévue pour les contraventions de la cinquième classe le fait, pour le responsable d'un traitement automatisé de données à caractère personnel, de ne pas procéder, sans frais pour le demandeur, aux opérations demandées par une personne physique justifiant de son identité et qui exige que soient rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant ou concernant la personne décédée dont elle est l'héritière, lorsque ces données sont inexactes, incomplètes, équivoques, périmées, ou lorsque leur collecte, leur utilisation, leur communication ou leur conservation est interdite". 
Un manquement à l'obligation de coopérer avec les services de la CNIL
Par courrier en date du 4 février 2014, la Commission demandait à l'organisme, conformément à l'article 21 de la loi du 6 janvier 1978 modifiée, à défaut d'éléments nouveaux, de faire lever l'inscription de M. A au FICP et de [l]'en tenir informée dans un délai de quinze jours. 
Dans son courrier de réponse du 14 février 2014, la banque a expressément informé la Commission que M. A ne faisait plus l'objet d'une inscription au FICP de sa part. 
Or, la CNIL a constaté le 29 avril 2014 que l'inscription de l'incident de paiement précité persiste à ce jour.
Ces faits constituent un manquement aux dispositions de l'article 21 de la loi du 6 janvier 1978 modifiée qui prévoit que les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche. 
En conséquence, et compte tenu des conséquences de l'inscription indue au FICP sur les droits de la plaignante, la société X, sise [...], est mise en demeure, sous un délai de cinq (5) jours, à compter de la notification de la présente décision et sous réserve des mesures qu'elle aurait déjà pu adopter, de : 
- Procéder à la levée de l'inscription de l'incident de paiement en date du 5 novembre 2012 au FICP de M. A;
- Prendre toutes mesures afin de faciliter la tâche de la CNIL ;
- Justifier auprès de la CNIL que l'ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti. 
A l'issue de ce délai, si la société X s'est conformée à la présente mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens. 
A l'inverse, si la société X ne s'est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de prononcer l'une des sanctions prévues par l'article 45 de la loi du 6 janvier 1978 modifiée. 
 
La Présidente, 
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l'informatique et des libertés, réuni le 29 avril 2014 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Mme Marie-France MAZARS, Vice-président délégué, et M. Eric PERES, Vice-président, étant présents ;
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2014-029 du 28 avril 2014 de la Présidente de la Commission mettant en demeure la société X. 
A adopté la délibération suivante :
Par décision du 28 avril 2014, la Présidente de la Commission a, sur le fondement de l'article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, dont le siège social est situé sis [...], de faire cesser sous un délai de 5 jours les manquements constatés à cette même loi. 
En application de l'article 46 alinéa 2 de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision. 
Le bureau a été réuni à cette fin le 29 avril 2014. 
Après en avoir délibéré, le bureau relève que l'intervention de la plaignante, M. A [...] et la demande de la Commission, n'ont pas permis d'obtenir la suppression du fichage indu au FICP de cette dernière. 
Le bureau relève par ailleurs que cette société est un acteur majeur du secteur, qu'elle dispose de moyens importants et d'un très grand nombre de clients susceptibles d'être concernés par les procédures internes de fichage au FICP. 
Compte tenu de ces éléments et des conséquences de ce fichage indu au FICP depuis dix-huit mois sur la situation matérielle de la plaignante, le bureau souhaite appeler l'attention de l'organisme en cause sur l'importance des manquements constatés et sur l'urgence de la régularisation de la situation dans le délai imparti par la mise en demeure. Le bureau souhaite également sensibiliser les professionnels du secteur sur cette difficulté dont la Commission est régulièrement saisie.
En conséquence, le bureau de la Commission nationale de l'informatique et des libertés décide de rendre publique la décision n° 2014-029 de la Présidente de la CNIL mettant en demeure la société X. 
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d'une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l'organisme concerné se conforme en tous points aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l'objet d'une clôture qui sera également rendue publique. 
 
La Présidente, 
Isabelle FALQUE-PIERROTIN
La Présidente
[...] 
PAR PORTEUR 
Références à rappeler dans toute correspondance :CTX 2014-026
Paris, le 12/05/2014 
 
Monsieur le Directeur, 
Je fais suite à la décision n° 2014-029 portant mise en demeure et à la délibération n° 2014-170 la rendant publique qui vous ont été adressées par la Commission nationale de l'informatique et des libertés. 
Je vous informe qu'au regard des éléments de réponse apportés par votre correspondance en date du 5 mai 2014, il est procédé à la clôture de ce dossier. 
J'attire votre attention sur la nécessité de respecter les conditions d'inscription et de radiation des personnes au fichier national des incidents de remboursement des crédits aux particuliers prévues par l'arrêté du 26 octobre 2010 ainsi que les droits d'opposition, de rectification et de suppression des données à caractère personnel issus de la loi Informatique et Libertés. Il vous incombe également de veiller à ce que vos procédures internes et votre personnel respectent ce cadre législatif. 
Je vous précise néanmoins que cette clôture ne préjuge en aucune manière des suites données à des vérifications ultérieures qui pourraient être effectuées par la Commission afin de s'assurer du respect des termes de la mise en demeure ou de la réalité de faits nouveaux qui pourraient être portés à sa connaissance.
En tout état de cause, j'attire votre attention sur la nécessité de veiller au respect de la loi Informatique et Libertés qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. 
Je vous précise que vous disposez d'un délai de deux mois à compter de la notification du présent courrier pour exercer un éventuel recours devant le Conseil d'Etat à son encontre. 
Le service des sanctions se tient à votre disposition (01 59 73 22 53) pour tout renseignement complémentaire. 
Je vous prie d'agréer, Monsieur le Directeur, l'expression de mes salutations distinguées. 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par l'Autorité des marchés financiers d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le transfert de données à caractère personnel vers ses homologues étrangers dans le cadre de requêtes d'assistance ou de demandes d'informations ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 68 et 69;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu l'accord multilatéral portant sur la consultation, la coopération et l'échange d'informations de l'Organisation internationale des Commissions de Valeurs mobilières de mai 2002 ;Vu la délibération n° 2013-118 du 16 mai 2013 autorisant l'autorité des marchés financiers (AMF) à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la tenue d'un fichier des personnes rencontrées ayant fait l'objet d'une
suite à l'issue d'une enquête ou d'un contrôle ; Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Sur le contexte :
La Commission a adopté le 16 mai 2013 une délibération n°2013-118 autorisant l'AMF à mettre en œuvre un traitement ayant pour finalité la tenue d'un fichier des personnes rencontrées ayant fait l'objet d'une suite à l'issue d'une enquête ou d'un contrôle. A l'occasion de ce dossier, la question de l'encadrement des transferts de données de l'AMF à destination de ses homologues situés hors de l'Union européenne a été abordée. 
Dans cette précédente délibération, la Commission a rappelé que l'exception de l'alinéa 2° de l'article 69 de la loi du 6 janvier 1978 modifiée qui permet aux responsables de traitement d'invoquer la sauvegarde de l'intérêt public pour transférer des données à caractère personnel vers un pays ne disposant pas d'un niveau de protection suffisant au sens de l'article 68, devait être interprétée de manière restrictive. 
L'AMF a saisi la Commission, le 5 décembre 2013, d'une demande d'autorisation spécifique relative à ces transferts, sur le fondement de l'avant dernier alinéa de l'article 69 de la loi du 6 janvier 1978 modifiée.  Par courrier du 21 mars 2014 l'AMF a fait valoir des éléments nouveaux propres aux circonstances de l'espèce, dont la Commission ne disposait pas lors de l'examen de sa précédente délibération.
Dans ces conditions, prenant en compte l'ensemble des circonstances de l'espèce, il appartient à la Commission de se prononcer de manière définitive sur la question de savoir si les dispositions du 2° de l'article 69 de la loi du 6 janvier 1978 modifiée peuvent trouver à s'appliquer en l'espèce.
Sur l'intérêt public attaché aux transferts de données de l'AMF vers ses homologues étrangers
De manière générale, s'agissant du transfert de données hors Union européenne, le groupe européen de l'article 29 (G29) et la Commission considèrent que le champ d'application des exceptions de l'article 69 (alinéas 1 à 6) doit être limité à des cas ponctuels et exceptionnels. Tant le G29 que la Commission recommandent, en particulier, que les transferts répétitifs, massifs ou structurels de données personnelles ou dont l'importance ou la régularité justifient qu'ils soient encadrés de manière précise, fassent l'objet d'un encadrement juridique spécifique et ne reposent donc pas sur les dérogations prévues par la loi. 
De même, le G29 considère que la dérogation ne peut être invoquée que si le transfert présente un intérêt pour les autorités d'un État membre de l'UE elles-mêmes, et non pas seulement pour une ou plusieurs autorités publiques du pays tiers.
Créée par la loi de sécurité financière du 1er août 2003, l'AMF est une autorité publique indépendante dotée d'un pouvoir réglementaire propre et chargée  par la loi d'assurer dans son champ de compétence, la prévention et la répression de la délinquance financière. 
Dans un contexte de forte intégration des marchés financiers, l'AMF apporte son concours à la régulation européenne et mondiale en participant aux instances internationales et en coopérant avec ses homologues européens et étrangers. A ce titre, elle est membre de l'Organisation internationale des commissions de valeurs (OICV), du Conseil de stabilité financière (CSF) et du  Joint Forum . 
La coopération internationale de l'AMF avec les autorités ou personnes relevant d'un Etat non membre de l'Union européenne, ni partie à l'accord sur l'espace économique européen, est autorisée dans les conditions prévues par les articles L.632-7 et L.632-16 du code monétaire et financier (CMF) et par dérogation à la loi n°68-678 du 26 juillet 1968, dite de  blocage . 
La coopération n'est autorisée de manière générale, qu'avec des autorités homologues ou les personnes limitativement énumérées par les articles L. 632-7 du CMF  ainsi qu'avec des entités auxquelles ces autorités ont délégué le contrôle de leurs obligations, dès lors qu'elles sont astreintes aux mêmes obligations de secret professionnel.
Les informations ne peuvent être communiquées par l'AMF que dans la mesure où cette communication est destinée à l'exécution de ses missions, sous réserve que les informations bénéficient de garanties de secret professionnel au moins équivalentes à celles auxquelles l'AMF est soumise et sous condition de réciprocité.
Le code monétaire et financier prévoit en son article L.632-7 la possibilité pour l'AMF de conclure des accords de coopération prévoyant ces échanges d'informations. 
En outre, la Commission relève que l'AMF lui a apporté des informations précises dans le cadre de l'instruction de cette demande, attestant que la coopération internationale instaurée par l'AMF avec ses homologues bénéficie autant à celle-ci qu'à ses homologues étrangers. 
Sur l'encadrement des transferts de données hors Union européenne
L'AMF, en qualité de membre de l'organisation internationale des commissions de valeurs mobilières (OICV), est partie à  l'accord multilatéral portant sur la consultation, la coopération et l'échange d'informations  (ci-après Multilateral Memorandum of Understanding  MMOU ). L'OICV est une organisation internationale qui regroupe les régulateurs de marchés financiers dans le monde. Elle a pour mission d'élaborer des standards internationaux permettant d'assurer le bon fonctionnement, la transparence, l'intégrité des marchés financiers et la protection de l'investisseur. L'un des objectifs de l'OICV est notamment d'assurer l'échange d'informations et une meilleure coopération internationale en matière de supervision des marchés et des intermédiaires.
Le MMOU, signé en mai 2002 et qui comprend, à ce jour, 101 autorités financières signataires, correspond à une volonté d'harmonisation au plan international des règles en matière d'échanges d'informations. Il vient encadrer l'assistance mutuelle à laquelle s'engage chaque signataire de la convention en précisant leurs conditions et modalités de mise en œuvre en vue de garantir le respect des lois et réglementations en vigueur dans les juridictions respectives de chaque autorité concernée. 
La Commission observe que d'autres accords bilatéraux relatifs aux échanges d'informations ont été signés par l'AMF et comportent des stipulations similaires. Ces accords sont majoritairement antérieurs au MMOU.
La Commission, après avoir procédé à l'analyse du MMOU et des règles de procédure interne fournis par l'AMF, relève les éléments suivants.
Garanties sur le champ d'application des transferts
La coopération internationale de l'AMF concerne les activités d'enquête, de contrôle et de surveillance et est, pour l'essentiel, mise en œuvre par des demandes d'informations émanant des homologues étrangers et réciproquement des requêtes d'assistance adressées par l'AMF.
Deux grandes catégories de demandes peuvent être adressées à l'AMF. Il s'agit, d'une part, des demandes destinées à renseigner l'autorité requérante quant à l'honorabilité et la compétence d'une personne physique dans le cadre d'une procédure d'agrément, d'autorisation ou de délivrance de carte professionnelle  d'autre part, des demandes d'informations qui supposent de mener des investigations approfondies (enquêtes en matière d'abus de marché, etc.).
De même, des auditions peuvent également être organisées par l'AMF pour le compte d'homologues étrangers notamment dans le cadre de recherches relatives à un délit d'initié pour déterminer les liens personnels de la personne concernée avec d'autres protagonistes ou pour connaître les motivations qui ont conduit à la réalisation de la transaction litigieuse. L'AMF procède alors, en amont, au contrôle de l'adéquation, de la pertinence et du caractère proportionné des questions que son homologue étranger souhaite poser par l'intermédiaire de l'AMF. Des représentants de l'autorité requérante peuvent être présents lors de l'audition réalisée par l'AMF. Celle-ci est menée par les enquêteurs de l'AMF, en conformité avec les dispositions procédurales du code monétaire et financier relatives aux auditions (article R. 621-35). Le procès-verbal d'audition est ensuite transmis au régulateur étranger.
Les demandes d'assistance sont adressées au service compétent de l'AMF et doivent être dûment motivées. Elles doivent notamment comporter les éléments suivants : -	une description des faits sur lesquels repose l'enquête faisant l'objet de la demande et les raisons pour lesquelles l'assistance est demandée ;-	une description de l'assistance souhaitée par l'autorité requérante et les raisons pour lesquelles les informations demandées lui  seront utiles ;-	toute information qui pourrait aider l'autorité requérante à identifier les personnes susceptibles de posséder les informations demandées, les documents recherchée ou encore les entités auprès desquelles ces informations pourraient être obtenues ;-	les éventuelles précautions particulières qui devraient être prises dans le cadre du recueil des informations en raison de considérations liées à l'enquête et notamment du caractère sensible desdites informations ;-	la désignation des lois et réglementations qui ont pu être enfreintes et qui concernent l'objet de la demande.
L'AMF procède à un examen au cas par cas de chaque demande d'assistance afin de déterminer si elle est en mesure d'y répondre. Le cas échéant, elle peut demander des précisions complémentaires à l'autorité requérante.
Elle vérifie la compatibilité de chaque demande reçue ou à destination de l'étranger avec les stipulations de l'accord concerné auquel il doit être expressément fait référence dans la demande. Elle décide alors si les informations demandées peuvent ou non être communiquées. Le cas échéant, l'AMF opère une sélection des informations pour ne transmettre que celles strictement nécessaires.
Garanties sur la pertinence des données communiquées
Les informations susceptibles d'être transférées ne pourront se rapporter qu'à des questions relevant de l'exécution des missions respectives des autorités homologues.
Dans le cadre des requêtes d'assistance portant sur l'honorabilité et la compétence des personnes, l'AMF sera amenée à communiquer  des données à caractère personnel suivantes : nom, prénom, date de naissance, adresse ou coordonnées téléphoniques, éléments d'informations relatifs à l'expérience professionnelle et aux fonctions actuelles et passées de la personne concernée et des données d'infractions, le cas échéant (sanctions émises par l'AMF, transmission d'un dossier au procureur de la République, etc.).
Les autres requêtes d'assistance peuvent conduire au transfert de données à caractère personnel permettant d'identifier la personne physique objet de la demande (nom, prénom, date de naissance, adresse, ou coordonnées téléphoniques) ainsi qu'à des informations relatives aux transactions réalisées sur les instruments financiers, à ses comptes titres ou à ses portefeuilles (document bancaire d'ouverture de compte, relevé de compte titres, relevé de transactions, détail de portefeuille) ou à ses activités professionnelles (formation, fonctions, identification des clients). 
A l'issue des investigations, seules les informations et les documents strictement utiles sont transmis à l'autorité requérante. A cet égard, l'AMF opère un tri sélectif et ne transfère pas d'éléments concernant des tiers qui ne seraient pas strictement en lien avec l'objet de l'assistance demandée.
Garanties concernant le traitement et les transferts ultérieurs des informations communiquées par l'AMF à ses homologues étrangers
Les accords bilatéraux et le MMOU limitent, de manière générale, l'utilisation permise des informations échangées. L'autorité requérante ne pourra utiliser les informations que pour répondre aux objectifs présentés dans la demande d'assistance.