AgentPublic/cnil huggingface dataset:
Les 27 avril et 2 mai 2006, la Banque de France, interrogée par les services de la CNIL pour vérifier que la mainlevée des requérants avait été effectuée, a indiqué que non seulement leurs inscriptions n'avaient pas été levées, mais qu'une deuxième inscription identique apparaissait, effectuée par le même établissement bancaire pour le même incident de paiement caractérisé, pour la même durée.
Ces faits constituent un manquement aux dispositions de la loi du 6 janvier 1978 modifiée le 6 août 2004 et du règlement du Comité de la réglementation bancaire n°90-05 du 11 avril 1990 modifié relatif au FICP.
Il ressort tout d'abord de l'article 4 du règlement du Comité de la réglementation bancaire n° 90-05 du 11 avril 1990 modifié relatif au FICP que Dès qu'un incident de paiement caractérisé est constaté, l'établissement de crédit informe le débiteur défaillant que l'incident sera déclaré à la Banque de France à l'issue d'un délai d'un mois à compter de la date d'envoi de cette information. Au terme de ce délai, sauf si les sommes dues ont été réglées ou si une solution amiable a été trouvée, le débiteur défaillant est informé par l'établissement de crédit de la teneur des informations que ce dernier transmet à la Banque de France .
Ainsi le signalement doit être effectué dans les meilleurs délais. X ayant procédé à l'inscription des requérants au FICP en 2004 pour un incident intervenu en 1988, soit seize ans après l'incident, il apparaît que X n'a pas respecté les dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée le 6 août 2004 qui dispose qu'un traitement ne peut porter que sur des données à caractère personnel qui sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Il ressort par ailleurs des dispositions de l'article 6 du règlement du Comité de la réglementation bancaire n° 90-05 du 11 avril 1990 modifié relatif au FICP que lorsqu'un incident caractérisé ayant affecté le remboursement d'un crédit donné est enregistré dans le fichier, il n'est procédé à aucune nouvelle déclaration au titre du même crédit [...].
Il ressort également des dispositions de l'article 6-4° de la loi du 6 janvier 1978 modifiée que les données doivent être exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées .
Ces faits mettent en cause les conditions dans lesquelles la sécurité des données sur les clients semble être assurée par X alors que l'article 34 de la loi du 6 janvier 1978 modifiée dispose que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés (l'ensemble des établissements de crédit ayant communication des personnes physiques inscrites au FICP) y aient accès.
2. En conséquence, la Commission a, par délibération adoptée le 10 mai 2006, mis en demeure X, sous dix jours, de :
- procéder à la radiation des données concernant les requérants qui figuraient au Fichier des incidents de remboursement des crédits aux particuliers (FICP) géré par la Banque de France et d'en justifier ;
- justifier la raison pour laquelle les requérants ont fait l'objet d'une seconde inscription au FICP alors même qu'un engagement avait été pris de procéder à la mainlevée de leur inscription au FICP ;
- apporter des garanties permettant à la CNIL de considérer que les manquements qui ont été constatés ne pourront plus se reproduire à l'avenir.
3. En réponse à la mise en demeure, X a indiqué par courrier du 8 juin 2006 qu'il a été procédé à la : levée du fichage de ces clients, et nous serons en mesure de vous fournir la preuve matérielle dans les tous prochains jours. Un dysfonctionnement technique explique le maintien à tort de ce fichage FICP.
Les services de la CNIL n'ayant pas été destinataires, comme cela était pourtant indiqué par X, de la preuve matérielle du défichage des requérants, ceux-ci ont interrogé la Banque de France qui a indiqué, par courrier du 15 septembre 2006, qu'ils n'étaient plus inscrits au FICP.
4. S'agissant de la mise en demeure de procéder à la radiation des données concernant les requérants qui figuraient au Fichier des incidents de remboursement des crédits aux particuliers (FICP) géré par la Banque de France et d'en justifier, la Commission considère que, bien qu'il aurait dû en justifier directement auprès de la CNIL, X a bien procédé à la radiation des données concernant les requérants au FICP. La mise en demeure a donc été respectée sur ce premier point.
5. S'agissant ensuite de la mise en demeure de justifier la raison pour laquelle les requérants ont fait l'objet d'une seconde inscription au FICP alors même qu'un engagement avait été pris de procéder à la mainlevée de leur inscription au FICP, la Commission relève que X s'est limité, dans sa réponse à la mise en demeure, à indiquer qu'un : dysfonctionnement technique explique le maintien à tort de ce fichage FICP .
Cette réponse, pour le moins lapidaire, ne permet pas à la Commission de comprendre pour quelles raisons exactes les requérants ont été inscrits à tort, puis fichés une seconde fois, au FICP alors même que la Commission avait demandé leur radiation.
Par courrier du 20 novembre 2006 adressé suite à la proposition de sanction, X a précisé que le dysfonctionnement technique était lié à une fusion informatique de novembre 2004 de [...] avec le système d'information de [...]. Au surplus, X a évoqué une erreur humaine ayant conduit à l'oubli de la mainlevée du fichage des requérants. 
La Commission observe que ces précisions ne répondent en aucune manière à la question posée dans la mise en demeure relative à la raison pour laquelle les requérants ont fait l'objet, en raison d'un autre dysfonctionnement survenu en 2006, d'une seconde inscription au FICP alors même qu'un engagement avait été pris de procéder à la mainlevée de leur inscription au FICP. 
La Commission relève en outre, au regard de ce qui a été exposé oralement par le représentant de X, que le dysfonctionnement évoqué n'était pas isolé et a eu des conséquences sur plusieurs centaines d'autres clients.
Il ressort pourtant des dispositions de l'article 21 alinéa 2 de la loi du 6 janvier 1978 modifiée le 6 août 2004 que les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche .
La Commission considère par conséquent que X ne s'est pas conformé, sur ce second point, à la mise en demeure de la Commission.
6. S'agissant enfin de la mise en demeure d'apporter des garanties permettant à la CNIL de considérer que les manquements qui ont été constatés ne pourront plus se reproduire à l'avenir, X indique dans son courrier du 8 juin 2006 que : le compte de ces clients est en cours de clôture, et en conséquence, nous concernant, il n'y aura donc plus de risque de fichage au FICP .
La Commission considère que, au-delà du dossier des requérants et compte-tenu de la gravité des manquements constatés, il appartenait à X de présenter à la Commission des garanties, de nature organisationnelle et technique, lui permettant de considérer que les manquements ne se reproduiront pas à l'avenir concernant d'autres clients. Telle était bien la demande formulée par la Commission dans sa mise en demeure du 10 mai 2006.
Dans son courrier du 20 novembre 2006, X a ajouté que : le service concerné a (...) mis à jour les procédures internes du traitement des dossiers de surendettement en supprimant toute référence, dans le cas d'un plan de surendettement, à une éventuelle perte comptable, ce qui permettra de réaliser automatiquement la mainlevée de l'inscription au FICP . 
La Commission considère que, dans la mesure où aucune information précise n'a été communiquée sur la nature du dysfonctionnement survenu en 2006, X n'a pas apporté des garanties suffisantes, par exemple concernant les mesures de sécurité utilisées en cas de migration informatique, de politique d'audit appliquée aux processus d'inscription ou de mainlevée au FICP ou bien encore concernant la formation des personnels. 
La Commission considère en outre que X n'a manifestement pas pris la mesure de la gravité des manquements constatés ni des conséquences qui peuvent en résulter pour les personnes concernées. Il considère par conséquent que X ne s'est donc pas conformé à la mise en demeure de la Commission sur ce dernier point.
7. Il ressort de l'ensemble de ce qui précède que X :
- n'a pas justifié la raison pour laquelle les requérants ont fait l'objet d'une seconde inscription au FICP ;
- n'a pas apporté de garanties suffisantes permettant à la CNIL de considérer que les manquements constatés ne pourront plus se reproduire à l'avenir.
En conséquence, la Commission décide de faire application des dispositions des articles 45 et suivants de la loi du 6 janvier 1978 modifiée le 6 août 2004 et de prononcer à l'encontre de X sise [...], compte tenu de la gravité des manquements commis, une sanction pécuniaire de 20.000 euros.
La présente décision sera rendue publique sur le site internet de la CNIL et communiquée à la Commission bancaire. 
Le président
Alex TURK
Dossier n° 1200351
La Commission nationale de l’informatique et des libertés,
Saisie par le ministère de l’intérieur d’une demande d’avis portant sur le projet de décret pris pour l’application des articles L. 611-3 à L. 611-5 du code de l’entrée et du séjour des étrangers et du droit d’asile, portant création d’un traitement automatisé de données à caractère personnel des ressortissants étrangers ayant été contrôlés à l’occasion du franchissement de la frontière et ne respectant pas les conditions d’entrée sur le territoire national ;
Vu la convention n°108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’entrée et du séjour des étrangers et du droit d’asile, notamment ses articles  L. 211-1, L. 611-3 et L. 611-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et notamment son  article 27 ;
Vu la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers, notamment son  article 9 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Après avoir entendu M. François GIQUEL, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du gouvernement, en ses observations ;
Emet l’avis suivant :
La Commission a été saisie par le ministère de l’intérieur d’une demande d’avis portant sur le projet de décret pris pour l’application des articles L. 611-3 à L. 611-5 du code de l’entrée et du séjour des étrangers et du droit d’asile (CESEDA).
Ce projet de décret porte création d’un traitement automatisé de données à caractère personnel des ressortissants étrangers qui, ayant été contrôlés à l’occasion du franchissement de la frontière, ne respectent pas les conditions d’entrée sur le territoire national. De surcroît, ce projet modifie la partie réglementaire de ce même code.
Ce traitement comportera, parmi les données à caractère personnel enregistrées, les images numérisées de la photographie et des empreintes digitales des dix doigts.
La Commission considère que ce traitement relève de l’article 27-I. 2° de la loi du 6 janvier 1978 modifiée.
Selon l’article R. 611-18 nouveau du CESEDA, introduit par l’article 1er du décret, est créé, à titre expérimental, un traitement de données à caractère personnel en application des articles L. 611-3 à L. 611-5 de ce code. Relevant du ministère de l’intérieur, ce fichier des non-admis (FNAD) est destiné à « lutter contre l’entrée et le séjour irréguliers en France des étrangers non ressortissants d’un Etat membre de l’Union européenne, d’un autre Etat partie à l’accord sur l’Espace économique européen ou de la Confédération suisse, en facilitant l’identification des étrangers qui, ayant été contrôlés à l’occasion du franchissement de la frontière aux points de contrôle français situés à l’aéroport Roissy-Charles-de-Gaulle, en provenance d’un pays tiers aux Etats parties à la convention signée à Schengen le 19 juin 1990, ne remplissent pas les conditions prévues à l’article 5 de cette convention ou à l’article L. 211-1 ».
La Commission relève que si le projet de décret reprend la finalité générale formulée par le législateur (article L. 611-3 du CESEDA) « lutter contre l’entrée et le séjour irrégulier en France des étrangers (…) », il précise également que ce traitement doit « faciliter l’identification des étrangers (concernés) ».
La Commission souligne cependant que l’identification des nouveaux arrivants, dépourvus de documents d’identité ou munis de fausses pièces, ne sera possible que s’ils ont déjà fait l’objet d’une procédure de non admission et que leurs empreintes ont été relevées et mémorisées. Le principal intérêt du fichier résiderait donc dans la prévention et la détection des personnes commettant de nouveau une infraction aux règles d’entrée et de séjour des étrangers. En outre, l’identification de la personne requiert que les données d’identité associées aux empreintes relevées la première fois soient exactes.
L’adéquation des moyens utilisés au regard de la finalité du traitement soulevant donc certaines interrogations, il importe que la période d’expérimentation et l’évaluation prévue permettent de mieux cerner les objectifs poursuivis afin d’apprécier la pertinence des procédés mis en œuvre et celle des données recueillies, notamment des données biométriques.
Compte tenu des engagements pris par le Commissaire du gouvernement, la Commission prend acte qu’une première évaluation sera faite dès la fin de la première année et qu’elle sera destinataire de ce rapport d’évaluation ainsi que du rapport final.
La Commission constate que le projet de décret introduit un nouvel article R. 611-19 dans le CESEDA précisant les données enregistrées. Ces données sont relatives à l’identité (nom, date et lieu de naissance, sexe, nationalité, lieu de résidence, complétée par l’identité des éventuels mineurs), au titre de voyage, aux images numérisées de la photographie et des empreintes digitales des dix doigts, au transport, au motif de refus d’entrée sur le territoire, à la demande d’admission au titre de l’asile, à la décision prise et, enfin, à la suite effective réservée à la procédure de non-admission.
La Commission estime que le projet de décret devrait préciser que le traitement ne comportera pas de dispositif de reconnaissance faciale à partir de l’image numérisée de la photographie.
La Commission prend acte que sont destinataires du fichier :
les agents de la police aux frontières, individuellement désignés et spécialement habilités par le directeur central de la police aux frontières ;
les personnels, individuellement désignés et spécialement habilités, chargés de l’application de la réglementation relative aux étrangers à la direction des libertés publiques et des affaires juridiques (à l’exclusion des données biométriques) ;
les agents, individuellement désignés et spécialement habilités, des services de la direction générale de la police nationale, de la direction de la gendarmerie nationale réglementairement chargés des missions de prévention et de répression du terrorisme au sens de la loi du 23 janvier 2006 relative à la lutte contre le terrorisme ;
les agents, individuellement désignés et spécialement habilités, des services de renseignement du ministère de la défense, réglementairement chargés des missions de prévention du terrorisme au sens de la loi du 23 janvier 2006.
La Commission prend acte que le projet de décret sera complété, pour les destinataires qui ne comportent pas cette information, de la mention relative à l’autorité qui les désigne et les habilite à être destinataire du fichier.
La Commission relève également que, tout en prévoyant une expérimentation d’une durée de deux ans (article R. 611-25), le projet de décret introduit un article (R. 611-20) disposant que la durée de conservation des données est de cinq ans. Elle prend acte du fait que cette différence de durée tient à la nécessité, pour le responsable du traitement, de s’assurer de la conservation des données une fois l’expérimentation achevée dans l’hypothèse où le dispositif serait pérennisé. C’est pourquoi la Commission considère nécessaire d’ajouter les termes « sous réserve de l’engagement de créer le traitement » dans le projet de décret.
Elle constate que les données relatives exclusivement aux procédures administratives ou juridictionnelles de refus d’entrée sur le territoire et, le cas échéant, de maintien en zone d’attente des ressortissants étrangers ne seront conservées que 32 jours.
La Commission prend acte qu’il en sera de même pour les données relatives à l’asile. 
La Commission considère qu’il convient de compléter le document d’information remis aux ressortissants étrangers non-admis par la liste de l’ensemble des données à caractère personnel enregistrées. 
Elle prend acte que ce document sera rédigé dans diverses langues et qu’il indiquera clairement aux intéressés la possibilité d’exercer sur place leurs droits d’accès et de rectification. 
Enfin, la Commission prend acte que le FNAD ne fera l’objet d’aucune interconnexion, rapprochement ou mise en relation avec un traitement de données à caractère personnel.
Le président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministre de la justice d’un projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel dénommé « Centre de gestion des interceptions judiciaires » (CGIJ) ;
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la Directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal, notamment les articles 226-15 et 432-9 ;
Vu le code de procédure pénale, notamment les articles 12, 14 à 16, 28-1, 74-2, 80-4, 100 à 100-7, 706-95 ;
Vu le code des postes et des communications électroniques ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel ;
Vu la loi n° 91- 646 du 10 juillet 1991 relative au secret des correspondances émises par la voie des communications électroniques ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu le projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel dénommé « Centre de gestion des interceptions judiciaires » (CGIJ) ;
Après avoir entendu, M. Patrick DELNATTE, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du gouvernement, en ses observations ;
Emet l’avis suivant :
Le ministre de la justice a saisi pour avis la Commission nationale de l’informatique et des libertés, le 18 novembre 2006, d’un projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel dénommé « Centre de gestion des interceptions judiciaires » (CGIJ).
Le CGIJ a pour finalité de permettre aux magistrats, aux officiers de police judiciaire et, sous leur responsabilité, aux agents de police judiciaire et aux agents des douanes habilités à effectuer des enquêtes judiciaires, qui procèdent, conformément aux dispositions des articles 74-2, 80-4, 100 à 100-7 et 706-95 du code de procédure pénale, à des interceptions de correspondances émises par la voie de communications électroniques, d'exploiter les compte-rendus techniques de ces interceptions. Ces compte-rendus comprennent d’une part, les données de trafic relatives à ces correspondances interceptées et d’autre part, les contenus des mini-messages de type SMS (Short Message Service) et MMS (Multimédia Message Service) envoyés d'un numéro de téléphone ou reçus par un numéro de téléphone dont la ligne est interceptée.
Le CGIJ ne traite pas des autres contenus des correspondances émises par la voie de communications électroniques interceptées, notamment de la voix, qui sont directement transmis par les opérateurs de communications électroniques aux magistrats, officiers de police judiciaire et agents des douanes habilités à effectuer des enquêtes judiciaires. Le CGIJ traitera exclusivement des contenus des SMS et MMS et des données techniques qui y sont associées et des seules données techniques associées aux contenus des communications téléphoniques ou par Internet (interceptions phoniques).
La Commission estime que, nonobstant le fait que les données feront l’objet d’un chiffrement, les contenus des SMS et des MMS qui seront traités par le CGIJ sont susceptibles de comporter des données relevant de l’article 8-I de la loi du 6 janvier 1978 modifiée, dans la mesure où ils pourront faire apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou être relatives à la santé ou à la vie sexuelle des personnes.
Dans ces conditions, la Commission estime que la mise en œuvre de ce traitement relève d’un décret en Conseil d’Etat, en application du II de l’article 26 de la loi du 6 janvier 1978 modifiée. Dès lors, elle demande à être saisie d’un projet de décret en Conseil d’Etat. 
Le CGIJ sera implanté sur 2 sites protégés du ministère de la Justice. Ce centre sera placé sous le contrôle d’un magistrat du siège hors hiérarchie nommé par le ministère de la justice pour trois ans et assisté d’un comité composé de trois membres nommés dans les mêmes conditions.
Le responsable du CGIJ sera le Secrétaire général du ministère de la Justice, et son gestionnaire, le magistrat chef de la délégation aux interceptions judiciaires.