AgentPublic/cnil huggingface dataset:
Vu le rapport de M. Jean-Paul AMOUDRY, commissaire rapporteur, adressé par porteur à X, le 13 mars 2013, rapport annexes et convocation;
Vu les observations écrites versées par X le 12 avril 2013, ainsi que les observations présentées oralement lors de la séance de la formation restreinte du 18 avril 2013;
Vu les autres pièces du dossier.
Ayant entendu, lors de la réunion de la formation restreinte du 18 avril 2013 :- M. Jean-Paul AMOUDRY, commissaire, en son rapport ;- M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations ;- M. Edouard GEFFRAY, secrétaire général de la CNIL,- Mme A, Monsieur B, Me C, avocat et Me D, avocat, ses conseils.
Ces derniers ayant pris la parole en dernier,
A adopté la décision suivante :  
FAITS ET PROCÉDURE
La société X (ci-après la "société") est un établissement bancaire, à ce titre elle participe au fonctionnement du fichier national des incidents de remboursement des crédits aux particuliers (FICP).
L'arrêté du 26 octobre 2010 relatif au fichier national des incidents de remboursement des crédits aux particuliers prévoit une procédure d'inscription au FICP des incidents de remboursement des crédits et, symétriquement, de radiation lorsque la situation a été régularisée.
En 2008 et 2009 la Commission nationale de l'informatique et des libertés (ci-après la "CNIL" ou la "Commission") a été saisie de plusieurs plaintes émanant de clients de la société. Ceux-ci se plaignaient du maintien de leurs inscriptions au FICP malgré la régularisation de leurs situations. Une procédure de mise en demeure a été ouverte par délibération 2010-038 du 18 février 2010 à l'encontre de la société. Cette dernière a procédé à sa mise en conformité relativement aux procédures d'inscription et de radiation au FICP. La procédure de mise en demeure a été clôturée le 6 septembre 2011. 
Entre les mois de décembre 2011 et d'août 2012 la CNIL a été à nouveau saisie de plaintes à l'encontre de la société et relatives au maintien d'inscriptions au FICP. Les plaignants arguaient de la régularisation de leur situation et des difficultés occasionnées par maintien de leur inscription au FICP en contradiction avec l'obligation de radiation prévue par l'article 6-II de l'arrêté précité.
Au vu de ces éléments, la Présidente de la Commission a désigné comme rapporteur, le 1er mars 2013, M. Jean-Paul AMOUDRY, Vice-président de la CNIL, sur le fondement de l'article 46 de la loi du 6 janvier 1978 modifiée.
A l'issue de son instruction, considérant que la société avait manqué aux obligations lui incombant en application de la loi du 6 janvier 1978 modifiée, le rapporteur a fait notifier à la société par porteur, le 13 mars 2013, un rapport détaillant les manquements à la loi qu'il estimait constitués en l'espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l'encontre de la société un avertissement, dont il sollicitait par ailleurs qu'il soit rendu public. 
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 18 avril 2013 indiquant à la société qu'elle disposait d'un délai d'un mois pour communiquer ses observations écrites. 
La société a fait connaitre ses observations par courrier du 12 avril 2013. Elle a également présenté ses observations orales lors de la séance du 18 avril 2013. 
A l'issue de cette procédure, et après en avoir délibéré, la formation restreinte a adopté la décision dont la teneur suit.
MOTIFS DE LA DÉCISION
L'article 6 de la loi du 6 janvier 1978 modifiée prévoit qu'un traitement ne peut porter que sur des données à caractère personnel qui sont exactes, complètes et, si nécessaire, mises à jour. Le même article prévoit que les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées.
Cette disposition de la loi doit être rapprochée de celle de l'article 6-II de l'arrêté du 26 octobre 2010 relatif au fichier national des incidents de remboursement des crédits aux particuliers. Aux termes de cet arrêté pour chaque incident de paiement précédemment déclaré, les établissements et organismes mentionnés à l'article 1er signalent à la Banque de France, (...), le paiement intégral des sommes dues, que celui-ci ait été effectué par le débiteur principal ou par une caution (...), au plus tard le quatrième jour ouvré suivant la date du paiement intégral. Ces informations sont transmises selon les mêmes modalités que la déclaration d'incident. 
Il appartient à la formation restreinte de vérifier que le maintien de l'inscription au FICP des plaignants ne résulte pas d'une information inexacte, incomplète ou non mise à jour concernant les plaignants.
En sa défense, la société fait valoir les engagements pris par elle à la suite de la mise en demeure adoptée par délibération 2010-038 du 18 février 2010 et clôturée par courrier du 06 septembre 2011. A ce titre elle indique que ses engagements portent sur l'information et la formation des collaborateurs au respect de la loi du 06 janvier 1978 et sur la mise en place de procédures internes destinées à assurer le respect de l'arrêté du 26 octobre 2010 relatif au fichier national des incidents de remboursement des crédits aux particuliers.
Spécifiquement, elle assure à la Commission avoir pris des mesures concernant la gestion des radiations du FICP tant du point de vue organisationnel, qu'informatique et poursuivre ses efforts avec de nouvelles fonctionnalités disponibles depuis février 2013 qui permettent une automatisation des radiations suite à la régularisation des comptes débiteurs.
Concernant les six plaintes examinées par la formation restreinte et les manquements à l'obligation de procéder aux radiations du FICP, la société fait valoir pour chacun des cas ses observations. De façon commune, la société indique que les situations en cause ont un fait générateur antérieur aux mesures adoptées après la mise en demeure. L'ensemble des inscriptions au FICP seraient justifiées et ne résulteraient pas d'erreurs comme cela avait été le cas dans des affaires portant sur le même fichier d'incidents et qui avaient donné lieu à sanctions par la formation restreinte.
- Concernant les plaintes numéro 11033886 du 23 décembre 2011, numéro 12012202 du 11 avril 2012 et numéro 12025366 du 21 août 2012, la société estime que deux des plaignantes n'ont pas demandé leur radiation à la société et que l'absence de défichage résulte d'une erreur de ses préposés dans la mise en œuvre de la procédure interne prévue à cet effet.
La formation restreinte prend acte du maintien indu des inscriptions au FICP, elle rappelle qu'il n'appartient pas au client de demander sa radiation mais à la banque de s'en assurer. La formation restreinte constate que ces erreurs répétées conduisent à ne pas respecter les exigences de la loi du 6 janvier 1978. De telles erreurs ne sauraient en aucune façon exonérer la société de sa responsabilité mais témoignent au contraire de procédures insuffisamment efficaces dans leur mise en œuvre. Dans ces conditions, malgré l'adoption récente de mesures d'automatisation des radiations, elle constate que la société a manqué à son obligation.
- Concernant la plainte 12006481 du 23 février 2012, la société fait valoir que le maintien du fichage au FICP était légitime en l'absence d'un apurement complet de la dette et qu'elle a permis cet apurement par l'abandon de sa créance en mai 2012. 
Au regard des pièces communiquées, la formation restreinte constate que la société a été destinataire de plusieurs chèques devant couvrir les dettes du plaignant. En raison d'une erreur d'adresse la société indique que ces sommes n'ont pas été immédiatement comptabilisées et que la levée de l'inscription au FICP n'a pas été demandée par le plaignant. Il reste cependant que cette situation a conduit au maintien de l'inscription pour une durée longue, équivalente à deux années.
- Concernant la plainte 12007745 du 05 mars 2012, la société fait valoir que c'est en raison d'un comportement abusif du plaignant que ses services ont pu hésiter quant à la conduite à tenir. Elle entend faire reconnaître le caractère exceptionnel de la situation pour justifier de l'absence de radiation malgré des demandes effectuées par le client.
La formation restreinte constate à la vue des pièces communiquées et des observations que des demandes de radiation ont été formulées par le client. Elle constate que la situation d'impayé ayant justifié l'inscription avait été régularisée. Dans ces conditions, il importe peu que la société ne puisse justifier clairement du fondement de l'absence de transmission de sa demande de radiation mais il convient de constater que cette demande de radiation n'a été effectuée qu'à la suite de l'intervention de la Commission agissant dans le cadre de l'instruction de la plainte reçue.
- Concernant la plainte 12616663 du 24 mai 2012 pour lequel le client fait l'objet d'une double inscription au FICP pour deux crédits différents, la société fait valoir que l'une des inscriptions a été levée après qu'un geste commercial a permis d'apurer l'une des dettes mais que la seconde inscription résultant d'un incident de paiement, non régularisé à ce jour, justifie le maintien de l'inscription.
La formation restreinte prend acte de ce que l'un des incidents a été clos après qu'un des éléments de la dette a été abandonné par le créancier. Elle constate que dans l'hypothèse où le plaignant est redevable d'une autre dette, le maintien de la seconde inscription est justifié.
Ces éléments étant rappelés, il apparaît que les dysfonctionnements qui ont conduit au maintien abusif de plusieurs inscriptions des plaignants au FICP attestent d'une procédure insuffisamment efficace et qui ne permettait pas de procéder à l'information automatique de la Banque de France dans les délais prévus par l'arrêté. Cette situation a conduit à la persistance d'informations inexactes et en tout état de cause non mises à jour. 
Elle rappelle que la transmission de la demande de radiation incombe à l'établissement dès la régularisation et ceci indépendamment de toute demande du client.
Au regard des conséquences pour les personnes concernées, l'erreur des préposés de la société ne peut en aucune façon justifier le maintien d'une inscription au fichier national des incidents de remboursement des crédits aux particuliers. 
Dans ces conditions la formation restreinte constate que le manquement à l'article 6 de la loi du 6 janvier 1978 modifiée est constitué. 
Sur les manquements constatés et la publicité de la décision
La formation restreinte considère que la société a manqué aux obligations lui incombant en application des dispositions susvisées de la loi du 6 janvier 1978 modifiée. Il y a donc lieu de prononcer l'avertissement prévu par l'article 45 de la même loi. 
Eu égard à la nature des manquements et aux dysfonctionnements constatés, la formation restreinte décide de rendre publique cette sanction.
PAR CES MOTIFS
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide : 
- De prononcer un avertissement à l'encontre de la société X ;
- De rendre publique sa décision sur le site Internet de la Commission et sur le site Légifrance. 
La Présidente, 
Claire DAVAL 
Cette décision est susceptible de faire l'objet d'un recours devant le Conseil d'Etat dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,Saisie par le secrétariat général pour la modernisation de l'action publique (SGMAP) d'une demande d'avis sur un projet d'arrêté autorisant la mise en œuvre, par les collectivités territoriales, les établissements publics de coopération intercommunale, les syndicats mixtes, les établissements publics locaux qui leur sont rattachés ainsi que les groupements d'intérêt public et les sociétés publiques locales dont ils sont membres de traitements automatisés de données à caractère personnel ayant pour objet la mise à disposition des usagers d'un ou de plusieurs téléservices de l'administration électronique ;Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, notamment son article 27-II (4°) et 27-III ;Vu la loi n° 2000-321 du 12 avril 2000 relative aux droits des citoyens dans leurs relations avec l'administration, notamment son article 16-A ;Vu l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et
entre les autorités administratives, notamment ses articles 9 et suivants ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance citée relatif à la sécurité des informations échangées par voie électronique ;Vu la délibération n° 2011-107 du 28 avril 2011 portant autorisation unique de mise en œuvre de traitements automatisés de données à caractère personnel relatifs à la gestion des applications billettiques par les exploitants et les autorités organisatrices de transport publics (autorisation unique n° 15) ;
Après avoir entendu le rapport de M. Gaëtan GORCE, commissaire, et les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,Emet l'avis suivant :
Les ministères en charge de l'intérieur et de la réforme de l'Etat, par l'intermédiaire du secrétariat général pour la modernisation de l'action publique (SGMAP), ont saisi la Commission nationale de l'informatique et des libertés d'une demande d'avis sur un projet d'arrêté autorisant la mise en œuvre par  les entités publiques locales  - à savoir les collectivités territoriales, les établissements publics de coopération intercommunale (EPCI), les syndicats mixtes et les établissements publics locaux qui leur sont rattachés, les groupements d'intérêt public (GIP) et les sociétés publiques locales (PLS) dont ils sont membres - de traitements automatisés de données à caractère personnel ayant pour objet la mise à disposition des usagers d'un ou de plusieurs téléservices de l'administration électronique.Cet arrêté a pour but de prévoir les conditions dans lesquelles un ensemble de services publics accessibles par voie électronique, les  téléservices publics locaux , peuvent être mis à disposition des administrés. Il s'agit principalement de rappeler les règles de sécurité et de protection des données personnelles à mettre en œuvre dans la gestion des échanges dématérialisés entre les administrés et les autorités administratives.Sans préjudice de l'exercice par les collectivités territoriales de leur droit de créer, après un avis spécifique de la commission, des téléservices en dehors du cadre du présent projet d'arrêté ministériel, ce projet d'arrêté ministériel a vocation à
constituer un acte réglementaire unique au sens de l'article 27-III de la loi  informatique et libertés  permettant aux entités publiques locales d'accomplir leurs formalités préalables de manière simplifiée, par le biais de l'envoi à la commission d'un engagement de conformité au cadre ainsi prévu.
A titre liminaire, la commission souligne qu'elle a été largement associée à l'élaboration de ce projet d'arrêté par les administrations compétentes, de même que les associations représentatives des élus locaux. Elle se félicite de cette démarche de concertation, de nature à permettre la bonne application par les entités publiques locales des principes de protection des données personnelles dans le cadre de la dématérialisation des démarches administratives locales.
Sur les finalités des traitements :Les traitements de données concernés par le projet d'arrêté ont pour finalités de permettre aux administrés d'accomplir en ligne leurs démarches administratives auprès des entités publiques locales et aux agents de celles-ci d'en assurer le traitement et le suivi. La commission considère que ces traitements sont de nature à simplifier les démarches administratives réalisées au niveau des collectivités territoriales et à améliorer les relations entre les administrés et l'administration, A ce titre, elle estime que ces finalités sont déterminées, explicites et légitimes, conformément aux dispositions de l'article 6 (2°) de la loi du 8 janvier 1978 modifiée.Elle rappelle néanmoins qu'il est nécessaire de limiter la mise en œuvre de traitements de données à caractère personnel à ceux qui sont strictement nécessaires et, en particulier, de ne pas systématiser l'identification d'un administré dès lors qu'une information générale peut être mise à disposition de tout internaute.Les services susceptibles d'être proposés dans un  bouquet de téléservices  sont groupés en sept secteurs identifiant des catégories d'activités de services publics. L'article 1er du projet d'arrêté précise qu'il s'agit de gérer toutes les démarches administratives s'inscrivant dans les secteurs publics suivants : la fiscalité locale ; le travail et le social ; la santé ; les transports ; l'état civil et la citoyenneté ; les relations avec les élus ; la  vie quotidienne
(comprenant les prestations scolaires et périscolaires, les activités sportives et socioculturelles, l'économie et l'urbanisme, les polices spéciales et la voirie ainsi que les relations avec les usagers).
Cet article établit une liste non exhaustive d'exemples de services publics compris dans chacun de ces secteurs et précise, en outre, que tous les téléservices s'inscrivant dans le même secteur et recueillant les mêmes catégories de données sont inclus dans le périmètre du projet d'arrêté. La mise en œuvre de ces autres téléservices sera ainsi entourée des mêmes garanties que pour ceux qui y sont expressément mentionnés, sans nécessiter de modification de l'acte réglementaire unique.La commission rappelle que le développement de l'administration électronique ne doit en aucun cas conduire à la création d'un identifiant unique des administrés, au plan local comme au plan national, Elle rappelle également que les traitements de données mis en œuvre dans ce cadre ne doivent pas être utilisés à d'autres fins que l'accomplissement de certaines démarches administratives, et tout particulièrement aux fins d'alimenter d'autres fichiers ou de constituer un fichier de population.Elle prend dès lors acte que, à sa demande, le projet d'arrêté prévoit en son article 2 que les portails d'accès ou les bouquets de téléservices garantissent l'étanchéité des données entre les différents secteurs de services publics et que la création d'un fichier de population et d'un identifiant administratif unique est interdite.
Néanmoins, la commission estime que cette étanchéité doit également être garantie entre les différents secteurs composant la catégorie  vie quotidienne . En effet, les services compris dans cette catégorie relèvent d'intérêts publics différents et peuvent nécessiter la collecte des données particulières relevant de la vie privée des administrés, alors même que l'interconnexion de traitements de gestion de services publics relevant d'intérêts publics différents n'est pas autorisée par le projet d'arrêté. Dès lors, la commission estime qu'il n'y a pas lieu de créer un identifiant sectoriel commun à ces activités et qu'il conviendrait de distinguer, comme cela était initialement envisagé, dix catégories de services publics.A cet égard, elle prend acte de la décision des ministères compétents de suivre la recommandation de la commission.
Ces garanties nécessaires à la protection des données personnelles des usagers de l'administration ne doivent pas pour autant conduire à complexifier l'utilisation des téléservices locaux, et notamment à leur redemander des informations qu'ils auraient déjà fournies à la même entité publique. A cet égard, l'article 2 du projet d'arrêté prévoit qu'au cas où un service traitant a besoin d'une information déjà produite par l'administré auprès d'un autre service traitant il est possible d'obtenir cette information auprès de ce dernier  après avoir recueilli le consentement exprès et non équivoque de l'usager .Dans la mesure où les données personnelles de l'administré restent ainsi sous son contrôle et où cette disposition permet la bonne application de la loi du 12 avril 2000 qui vise à faciliter les relations entre les citoyens et les administrations, la commission prend acte de cette possibilité.
Sur les données à caractère personnel collectées :L'article 3 du projet d'arrêté précise les catégories de données à caractère personnel enregistrées dans les traitements, en distinguant celles nécessaires pour la gestion de l'accès au portail et celles relatives à l'accomplissement des démarches administratives.Les téléservices inclus dans le périmètre de l'acte réglementaire unique seront en effet accessibles, au choix de l'administré, par plusieurs procédés d'identification : un couple identifiant/mot de passe, un numéro de téléphone portable, un certificat électronique, une  carte de vie quotidienne  ou encore des clés de fédération, ou  alias , générés par le système et permettant à l'administré d'établir des liens avec ses différents comptes.Suivant l'architecture du dispositif, déterminée par chaque responsable de traitement, l'administré peut ainsi choisir parmi ces modalités pour accéder aux fonctionnalités proposées par un portail de téléservices.La fédération d'identités permet à l'administré d'utiliser des services différents sans avoir à s'identifier à nouveau auprès de chacun d'eux au moyen de clés de fédération propres aux différents services. Ainsi que l'a déjà rappelé la commission, ce dispositif permet ainsi de simplifier l'utilisation de portails de téléservices tout en prévenant la création d'un identifiant administratif unique des administrés et les risques d'interconnexions de fichiers dont les finalités correspondent à des intérêts publics différents.
Concernant les données nécessaires à l'accomplissement de chaque démarche administrative offerte par un téléservice, il s'agit des données qui, figurant sur les formulaires CERFA dématérialisés, sont enregistrées et traitées dans les applications métier des entités publiques locales.Compte tenu, d'une part, du nombre important des démarches administratives concernées par le projet d'arrêté et, d'autre part, de la variété des données demandées à l'administré, il apparaît impossible de mentionner dans le texte l'ensemble des données susceptibles d'être enregistrées dans ces traitements.