AgentPublic/cnil huggingface dataset:
Dans un courrier adressé à une association de consommateurs, saisie par le requérant, X indique que l'inscription de son client au FICP résultait "d'un incident de remboursement caractérisé ayant conduit à l'exigibilité anticipée de son prêt en 1991", ajoutant que "tant que la totalité de la créance n'est pas intégralement remboursée, il a l'obligation de maintenir le fichage des époux C".
La CNIL a, le 16 octobre 2003, adressé un courrier à X lui demandant, d'une part, de procéder à la mainlevée de l'inscription du requérant au FICP et, d'autre part, de faire valoir ses observations sur ce dossier, lui indiquant en outre que la Commission examinerait s'il convenait, en l'espèce, de faire application de l'article 21-4° de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
X a indiqué en réponse qu'il procédait à la mainlevée de l'inscription de son client au FICP, sans autre précision.
L'article 4 du règlement n° 90-05 relatif FICP prévoit que "Dès qu'un incident de paiement caractérisé est constaté, l'établissement de crédit informe le débiteur défaillant que l'incident sera déclaré à la Banque de France à l'issue d'un délai d'un mois à compter de la date d'envoi de cette information".
En adoptant la loi n° 89-1010 du 31 décembre 1989, dite "loi Néiertz", qui a créé le fichier national des incidents de remboursement des crédits aux particuliers (FICP), le législateur a entendu mettre en place un dispositif de prévention et de traitement des situations de surendettement.
Le fichier national des incidents de remboursement des crédits aux particuliers (FICP), géré par la Banque de France, constitue un instrument de lutte contre le surendettement des particuliers et n'a pas pour finalité la mise en commun entre les banques, les établissements de crédits et les établissements financiers de La Poste, d'informations relatives à leurs débiteurs, sauf dans les cas prévus par les dispositions du règlement n° 90-05 précité.
Dans le cas d'espèce, X, en inscrivant son client au FICP le 31 août 2002, pour un incident de paiement caractérisé datant de 1991, n'a pas respecté les dispositions du règlement n° 90-05 modifié relatif au FICP, pris après avis de la CNIL.
En outre, cet établissement bancaire, en ne faisant pas droit aux demandes de mainlevée de cette inscription formulées par le requérant et en ne procédant pas à la rectification d'une information erronée transmise à la Banque de France, n'a pas respecté les dispositions des articles 36, 37 et 38 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
Bien qu'ayant répondu qu'il procédait à la mainlevée de l'inscription du requérant du FICP, le responsable du service contentieux de X n'a transmis à la Commission aucune autre observation relative au courrier qu'elle lui avait adressé.
En conséquence la Commission demande à X de prendre des mesures afin de rappeler, au sein de ses services, les règles de fonctionnement du FICP et d'être tenue informée des dispositions prises à cet effet ;
Décide, faisant application des dispositions de l'article 21-4° de la loi du 6 janvier 1978, d'adresser à cet effet un AVERTISSEMENT à X, dont le siège social est situé [...].
Décide que, conformément aux dispositions de l'article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l'article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.
Le Président, 
 
Michel GENTOT
La Commission nationale de l'informatique et des libertés,
Saisie d'une plainte par un particulier inscrit, par X, au fichier national des incidents de remboursement des crédits aux particuliers (FICP), géré par la Banque de France ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, pris ensemble le décret n° 78-774 du 17 juillet 1978 modifié ;
Vu les articles L. 333-4 et suivants du Code de la consommation
Vu l'article L. 613-21 du Code monétaire et financier ;
Vu le règlement n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire, modifié, relatif au fichier national des incidents de remboursement des crédits aux particuliers (FICP) ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 90-29 du 6 mars 1990 portant avis sur le projet de règlement du Comité de la Réglementation bancaire relatif au fichier national des incidents de remboursement des crédits aux particuliers (FICP) ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 90-72 du 29 mai 1990 portant avis sur la mise en oeuvre, par la Banque de France, d'un traitement automatisé d'informations nominatives relatif à la gestion d'un fichier national des incidents de remboursement des crédits aux particuliers (FICP) ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 87-25 du 10 février 1987 fixant le règlement intérieur de la CNIL, et notamment son article 54 ;
Après avoir entendu Monsieur Philippe NOGRIX, commissaire, en son rapport, et Madame Charlotte Marie PITRAT, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
L'instruction de la plainte dont a été saisie la CNIL a permis d'établir que la plaignante a été inscrite par X au fichier national des incidents de remboursement des crédits aux particuliers (FICP), géré par la Banque de France, le 31 octobre 2000 pour une durée de cinq ans, pour un incident de paiement relatif à un prêt personnel.
Par jugement en date du 10 mai 2001, la plaignante a été condamnée à rembourser à X les sommes de 6785,85 euros au titre d'un prêt personnel et de 655,49 euros, augmentée des intérêts légaux, au titre du solde débiteur sur son compte courant.
Il convient de relever que la plaignante n'a été inscrite au FICP que pour l'incident de paiement relatif au non-remboursement des échéances de son prêt personnel et qu'elle n'a fait l'objet d'aucune inscription de la part de X pour le solde débiteur de son compte courant.
La plaignante indique avoir réglé l'intégralité des sommes dues au titre du prêt personnel contracté auprès de X au mois de janvier 2002.
Or, X a maintenu son inscription au FICP jusqu'au mois de juin 2003.
Elle indique avoir tenté, à plusieurs reprises, d'obtenir de cet établissement la mainlevée de cette inscription, démarche demeurée infructueuse.
Saisi par la CNIL dans ce dossier le 15 mai 2003, X a finalement indiqué à la Commission avoir procédé à la mainlevée de l'inscription de sa cliente du FICP le 13 juin 2003 dans la mesure où la créance pour laquelle elle avait fait l'objet d'une condamnation avait été réglée par la requérante le 4 avril 2003 puisqu'il subsistait un reliquat sur son compte courant.
Toutefois, et dans la mesure où seule la date de régularisation de l'impayé relatif au prêt personnel de la requérante devait déterminer la date de mainlevée de son inscription au FICP, la CNIL a demandé des informations complémentaires sur ce point à cet établissement bancaire.
X a finalement indiqué que la plaignante avait réglé sa dette relative au prêt personnel "avant le 7 juin 2002".
La CNIL a, le 16 octobre 2003, adressé un courrier à X lui demandant de faire valoir ses observations sur ce dossier, lui indiquant en outre que la Commission examinerait s'il convenait, en l'espèce, de faire application de l'article 21-4° de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
Par courrier du 18 novembre 2003, le directeur de X indiquait à la CNIL que le maintien de l'inscription de la requérante au FICP résultait d'une erreur d'interprétation des règles relatives au fonctionnement du FICP et ajoutait qu'il présentait ses excuses pour ce "fâcheux incident",
L'article 6 du règlement n° 90-05 du 11 avril 1990 modifié relatif au FICP prévoit que l'établissement de crédit signale à la Banque de France "le paiement intégral des sommes dues".
En adoptant la loi n° 89-1010 du 31 décembre 1989, dite "loi Néiertz", qui a créé le fichier national des incidents de remboursement des crédits aux particuliers (FICP), le législateur a entendu mettre en place un dispositif de prévention et de traitement des situations de surendettement. Le fichier national des incidents de remboursement des crédits aux particuliers (FICP), géré par la Banque de France, constitue un instrument de lutte contre le surendettement des particuliers et n'a pas pour finalité la mise en commun entre les banques, les établissements de crédits et les établissements financiers de la Poste, d'informations relatives à leurs débiteurs, sauf dans les cas prévus par les dispositions du règlement n° 90-05 précité.
Dans le cas d'espèce, X, en ne procédant pas à mainlevée de l'inscription de sa cliente au FICP dès le règlement intégral des sommes dues au titre de l'incident ayant généré l'inscription, n'a pas respecté les dispositions du règlement n° 90-05 modifié relatif au FICP, pris après avis de la CNIL.
En outre, cet établissement bancaire n'a pas fait droit aux demandes de mainlevée de cette inscription formulées par la requérante et a maintenu son inscription pendant près de dix-huit mois. 
X aurait en effet dû procéder à la mise à jour de l'information relative à l'inscription de la requérante auprès de la Banque de France dès le règlement intégral des sommes dues au titre du prêt personnel souscrit par la plaignante.
Dès lors, cet établissement n'a pas respecté les dispositions des articles 36, 37 et 38 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
En conséquence, la Commission demande à X de prendre des mesures afin de rappeler, au sein de ses services, les règles de fonctionnement du FICP et d'être tenue informée des dispositions prises à cet effet ;
Décide, faisant application des dispositions de l'article 21-4° de la loi du 6 janvier 1978, d'adresser à cet effet un AVERTISSEMENT à X dont le siège social est situé [...].
Décide que, conformément aux dispositions de l'article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l'article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.
Le Président, 
 
Michel GENTOT
La Commission nationale de l'informatique et des libertés,   Vu la convention du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;   Vu les articles 226-13 et 226-14 du code pénal relatifs au secret professionnel ;   Vu le décret n° 95-100 du 6 septembre 1995 portant code de déontologie médicale ;   Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 ;   Vu l'arrêté du 6 novembre 1995 modifié relatif au Comité national des registres ;   Après avoir entendu Monsieur Pierre LECLERCQ, Commissaire, en son rapport et Madame POZZO DI BORGO, Commissaire-adjoint du gouvernement, en ses observations ;
Formule les observations suivantes :   Les systèmes d'information mis en oeuvre par les registres du cancer pour assurer le recueil continu, dans une zone géographique déterminée, de données personnelles de santé auprès des structures de soins qui participent au diagnostic de cancer et à la prise en charge des patients concernés constituent un fondement essentiel de la surveillance épidémiologique du cancer et s'inscrivent au coeur de la politique de lutte contre le cancer affirmée par les pouvoirs publics comme une priorité nationale en matière de santé publique.   L'efficacité de ce mode de surveillance épidémiologique implique que tous les professionnels de santé concernés participent à l'enrichissement des données gérées par les registres et qu'ils soient informés régulièrement des résultats de leur contribution.   Pour assurer la fiabilité et la qualité scientifique des statistiques produites, les registres du cancer doivent disposer de données individuelles qui permettent d'éliminer les doubles enregistrements, de rassembler et de vérifier sur un patient déterminé les renseignements obtenus, de suivre, cas par cas, l'évolution d'une pathologie ou d'une thérapeutique et de réaliser, le cas échéant, des enquêtes complémentaires.   A cet égard, la CNIL rappelle que la loi autorise les médecins qui participent au diagnostic et à la prise en charge des patients en cancérologie à transmettre des données nominatives à des personnes nommément désignées et astreintes au
secret professionnel tel que défini par l'article 226-13 du code pénal au sein des registres du cancer.   Les données personnelles de santé, parce qu'elles relèvent de l'intimité de la vie privée doivent faire l'objet d'une protection particulière, qu'imposent tant l'article 6 de la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel que l'article 8 de la directive européenne du 24 octobre 1995.   Après avoir procédé à une évaluation générale auprès des registres du cancer des modalités prévues pour assurer le respect des droits des personnes et des dispositions mises en oeuvre pour garantir la confidentialité des données, la Commission estime nécessaire d'adopter les recommandation suivantes.
Sur l'information des personnes concernées   La Commission rappelle qu'en application de l'article 40-5 de la loi du 6 janvier 1978, les personnes dont les données sont transmises aux registres du cancer doivent être, avant le début du traitement de ces données, individuellement informées de la nature des informations transmises, de la finalité du traitement des données, des personnes physiques ou morales destinataires des données et des modalités d'exercice du droit d'accès, de rectification et de leur droit d'opposition.   L'obligation d'une information individuelle et personnalisée   La Commission estime qu'il appartient à chaque registre du cancer de définir les mesures appropriées afin que les malades concernés soient individuellement informés des conditions dans lesquelles certaines informations les concernant sont susceptibles d'être transmises au registre.   La Commission considère que seul le médecin, responsable de la prise en charge thérapeutique, en contact direct avec le patient est en mesure de procéder, au moment qu'il estimera le plus opportun et en conscience à cette information.   L'annonce d'un diagnostic de cancer constituant pour le patient un traumatisme grave, il appartient en effet au médecin de délivrer, dans l'intérêt du malade, une information adaptée et personnalisée tenant compte de son état psychologique.   Dans un souci de clarté des textes, la Commission estime que la rédaction des dispositions du III de l'article 25-20 du décret n° 78-774
du 17 juillet 1978 pourrait utilement être précisée de façon à indiquer que c'est le professionnel de santé en contact direct avec le patient et effectivement chargé de la prise en charge thérapeutique qui procède à l'information exigée par la loi.
Le contenu de l'information   La Commission considère que cette information doit permettre au malade de connaître le nom du registre du cancer, son adresse et les objectifs de santé publique qu'il poursuit. Le patient doit également être informé de la nature des informations transmises aux registres et des conditions dans lesquelles il peut refuser cette transmission.   La Commission préconise qu'à l'appui de cette information, une note reprenant l'ensemble de ces précisions soit remise au patient. La possibilité d'obtenir communication des données doit également lui être rappelée.   La CNIL recommande donc aux registres du cancer de mettre en place une procédure de rappel systématique aux professionnels de santé concernés de la nécessité d'informer individuellement les personnes tout en leur laissant le choix de déterminer le moment estimeront en conscience le plus opportun pour le patient.   La Commission souhaite que lorsqu'une prise en charge individualisée est proposée dans le cadre d'un réseau régional de soins en cancérologie, le document d'information qui doit être, à ce titre, remis à la personne et signé par elle mentionne aussi l'activité du registre du cancer.   Elle considère également que des réunions associant l'ensemble des acteurs locaux qui participent au fonctionnement des registres du cancer devraient être organisées afin de procéder à une information sur l'activité épidémiologique du registre, de rappeler la nécessité de l'information individuelle des
malades et de définir en concertation les modalités pratiques de celle-ci.   La CNIL rappelle qu'une information générale sur l'existence du registre et ses principes de fonctionnement doit être diffusée dans les établissements de santé où s'exercent des activités de diagnostic et de soins donnant lieu à la transmission de données nominatives.
Sur la confidentialité des données   S'il est dans l'intérêt de la santé publique de disposer de statistiques fiables sur l'évolution du cancer en France et donc, de faire appel à des systèmes fondés sur le recueil à la source de données directement nominatives, il demeure que, eu égard à la sensibilité des informations traitées, toutes garanties doivent être prises pour assurer la confidentialité des informations.   Il convient que des mesures de sécurité physiques appropriées soient prises afin de contrôler l'accès aux locaux du registre et prévoir en particulier que les supports d'information ayant permis la collecte des données soient conservés dans des conditions de nature à garantir leur confidentialité (armoires fermées à clef par exemple).   Les conditions d'accès au système informatique doivent être arrêtées en particulier par une définition précise des modalités d'identification des personnes habilitées à accéder aux données. Dès lors, il importe qu'une politique de gestion des mots de passe individuels soit définie en fonction des habilitations reconnues à chacun et qu'un dispositif de déconnexion automatique en cas d'absence ou de frappes incorrectes du mot de passe soit instauré.   Il convient qu'un système de journalisation des connexions soit mis en place afin de permettre la détection d'éventuelles intrusions dans le système. Ce système devra également permettre de contrôler les éditions de listes effectuées à partir de données directement nominatives.
La base de données nominatives doit être chiffrée par un algorithme public réputé "fort".   En cas de recours pour la maintenance à un prestataire extérieur au registre, il est nécessaire que le contrat de maintenance comporte une clause spécifique sur la confidentialité des données afin que l'accès à la base de données soit entouré de toutes les garanties. A cet effet, un registre de maintenance devra être mis en place et indiquer les dates et heures d'intervention ainsi que l'identité de la personne ayant effectué l'opération de maintenance et les raisons l'ayant justifiée.   De façon plus générale, il appartient à chaque registre du cancer de formaliser dans une charte de sécurité l'ensemble des mesures prises pour assurer la confidentialité des données. Ce document devrait être porté à la connaissance de chaque personne appelée à travailler au sein du registre.   Le Président, Michel GENTOT.
La Commission nationale de l'informatique et des libertés ;   Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;   Vu la loi n° 51-711 du 7 juin 1951 modifiée sur l'obligation, la coordination et le secret en matière de statistiques ;   Vu la loi n° 79-18 du 3 janvier 1979 sur les archives ;   Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application des dispositions de la loi du 6 janvier 1978 susvisée ;   Vu le projet de décret fixant la date et les conditions dans lesquelles sera exécuté le recensement général de la population de Wallis et Futuna ;   Vu le projet d'arrêté portant création d'un traitement automatisé réalisé à l'occasion du recensement général de la population de Wallis et Futuna en 1996 ;   Après avoir entendu Monsieur Michel MAY, Commissaire en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que la Commission est saisie d'une demande d'avis concernant la mise en oeuvre d'un traitement automatisé d'informations nominatives ayant pour objet la collecte et l'exploitation de données dans le cadre du recensement général de la population de Wallis et Futuna, à l'exclusion de toute opération de cession des résultats ;   Considérant que le recensement général de la population à Wallis-et-Futuna sera effectué en septembre 1996, sous la responsabilité de l'Institut National de la Statistique et des Etudes Economiques (INSEE), associé, par convention technique, avec l'Institut Territorial de la Statistique et des Etudes Economiques (ITSEE) ;   Considérant que le recensement a pour finalité la détermination de la population légale de Wallis-et-Futuna ; la production de statistiques permettant de décrire les structures socio-démographiques et les caractéristiques du parc immobilier et la constitution de bases d'échantillonnage de logements en vue des enquêtes statistiques ultérieures de l'ITSEE ; que cette enquête a un caractère obligatoire ;   Considérant que les données collectées concerneront les personnes physiques, les logements et immeubles bâtis ; que les informations relatives aux personnes porteront sur le sexe, la date et le lieu de naissance, la nationalité, la situation familiale, le niveau ou la nature de la formation, les activités professionnelles, les migrations, les conditions de logement, l'équipement du ménage ;   Considérant qu'afin de
valider les opérations de dénombrement de la population légale, les nom et prénoms des personnes recensées au titre des établissements et des collectivités et ceux des personnes ayant fait l'objet d'une adoption traditionnelle pourront être saisis, que les fichiers comportant ces données seront détruits dès la détermination de la population légale ;   Considérant que, eu égard aux spécificités du Territoire de Wallis-et-Futuna, les informations enregistrées dans le traitement sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie ;   Considérant que les agents de l'INSEE et de l'ITSEE sont astreints au secret statistique en application des dispositions de la loi du 7 juin 1951 susvisée ;   Considérant que les destinataires des informations seront l'INSEE, l'ITSEE et le service des archives de France ; que l'archivage des documents et des fichiers du RGP fera l'objet d'un protocole d'accord entre le directeur général de l'INSEE et le directeur général des archives de France, en concertation avec le directeur de l'ITSEE ainsi qu'avec le chef du service territorial des archives ;   Considérant que le droit d'accès organisé par l'article 34 de la loi du 6 janvier 1978, s'exercera auprès du directeur de l'ITSEE de Nouvelle-Calédonie, sous couvert de l'INSEE ;   Considérant que la diffusion des résultats du RGP à un niveau géographique fin fera l'objet d'une saisine ultérieure de la Commission ;