AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie, le 16 janvier 2004, d'une plainte par un particulier inscrit par X au Fichier des incidents de remboursement des crédits aux particuliers (FICP), géré par la Banque de France,
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, pris ensemble le décret n° 78-774 du 17 juillet 1978 modifié ;
Vu les articles L. 333-4 et suivants du Code de la consommation ;
Vu l'article L. 613-21 du Code monétaire et financier ;
Vu le règlement n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire, modifié, relatif au Fichier des incidents de remboursement des crédits aux particuliers (FICP) ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 87-25 du 10 février 1987 fixant le règlement intérieur de la CNIL, et notamment son article 54 ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 90-29 du 6 mars 1990 portant avis sur la mise en oeuvre, par la Banque de France, d'un traitement automatisé d'informations nominatives relatif à la gestion d'un fichier des incidents de remboursement des crédits aux particuliers ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 03-050 du 20 novembre 2003 portant avis sur le projet de règlement modifié n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire relatif au Fichier des incidents de remboursement des crédits aux particuliers ;
Après avoir entendu Monsieur Philippe NOGRIX, commissaire, en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations.
FORMULE LES OBSERVATIONS SUIVANTES :
L'instruction de la plainte dont a été saisie la CNIL a permis d'établir que la plaignante avait été inscrite le 31 juillet 2003 au FICP par X, pour une durée de 5 ans.
La plaignante a indiqué que le compte ouvert dont elle était titulaire dans cet établissement ne fonctionnait plus depuis 15 ans et qu'elle n'avait, en outre, jamais été informée de son inscription au FICP.
Interrogée par la Commission sur le point de savoir quels étaient les motifs de cette inscription, et plus particulièrement la nature de l'incident de paiement caractérisé qui en était à l'origine, X a indiqué que cette inscription résultait d'un dysfonctionnement du traitement informatique géré par un GIE informatique qui utilise des applicatifs communs à plusieurs Y. Cette erreur de programmation "consistait à omettre les co-titulaires des comptes dans les déclarations de clients à ficher au FICP".
X a ajouté que ses services avaient corrigé cette anomalie et procédé a posteriori à l'inscription des co-titulaires de comptes débiteurs qui avaient été omis. Lors de cette opération la requérante aurait été sélectionnée par erreur et fichée à tort au FICP, de même que 47 autres clients.
La CNIL a indiqué à X qu'en inscrivant par erreur la plaignante au FICP, elle n'avait pas respecté les dispositions du règlement n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire, modifié. L'inscription de la plaignante au FICP, injustifiée, a de surcroît été maintenue par X, la mainlevée de cette inscription n'ayant été finalement opérée qu'après l'intervention de la Commission.
En adoptant la loi n° 89-1010 du 31 décembre 1989, dite "Loi Néiertz" qui a créé le Fichier des incidents de remboursement des crédits aux particuliers (FICP), le législateur a entendu mettre en place un dispositif de prévention et de traitement des situations de surendettement.
Le Fichier des incidents de remboursement des crédits aux particuliers (FICP), géré par Banque de France, constitue un instrument de lutte contre le surendettement des particuliers et n'a pas pour finalité la mise en commun entre les banques, les établissements de crédit et les établissements financiers de La Poste, d'informations relatives à leurs débiteurs, sauf dans les cas prévus par les dispositions du règlement n° 90-05 précité.
L'article 37 de la loi du 6 janvier 1978 prévoit par ailleurs qu'"un fichier nominatif doit être complété ou corrigé même d'office lorsque l'organisme qui le tient acquiert connaissance de l'inexactitude ou du caractère incomplet d'une information nominative contenue dans ce fichier" et l'article 38 de la loi dispose que "si une information a été transmise à un tiers, sa rectification ou son annulation doit être notifiée à ce tiers, sauf dispense accordée par la Commission".
Ainsi, X n'a respecté ni les dispositions du règlement n° 90-05 précité, ni celles de la loi du 6 janvier 1978.
En conséquence,
DEMANDE à X de rappeler, au sein de ses services, les règles de fonctionnement du FICP et d'être tenue informée des dispositions prises à cet effet ;
DECIDE d'adresser un AVERTISSEMENT à X, dont le siège social est situé [...] ;
DECIDE que, conformément aux dispositions de l'article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l'article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.
Le président, 
 
Alex TURK
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et notamment ses articles 16, 19, 25, 26, 27 et 29 ;
Vu le code des assurances et notamment ses articles L. 113-2, A. 335-9 et suivants, ainsi que l'annexe à l'article A. 121-1 ;
Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi susvisée ;
Vu la délibération n° 92-010 du 21 janvier 1992 relative à la refonte du système informatique du fichier des risques de l'association pour la gestion des informations sur le risque automobile (AGIRA) ;
Vu la délibération n° 95-113 du 3 octobre 1995 relative à la refonte du système informatique du fichier des risques de l'association pour la gestion des informations sur le risque automobile (AGIRA) ;
Vu la déclaration du fichier AGIRA déposée le 21 novembre 1994 et référencée 272 581 ;
Vu le courrier de l'AGIRA du 23 novembre 1995 ;
Après avoir entendu Monsieur Jacques Ribs, commissaire en son rapport et Madame Charlotte-Marie Pitrat, commissaire du Gouvernement en ses observations ;
Considérant que l'Association pour la gestion des informations sur le risque automobile (AGIRA) a déposé un projet de modification de son traitement, présenté dans le détail lors des séances de commission des 12, 19 septembre et 3 octobre dernier ;
Considérant que la Commission, dans la délibération n° 95-113 du 3 octobre 1995, sans faire d'observations sur les autres aspects du traitement, a retenu que l'allongement de 2 à 5 ans de la durée de conservation des informations contenues dans le fichier n'était pas justifiée pour les résiliations autres que celles rattachées à l'intervention de sinistres ; qu'en effet si la durée de 5 ans correspond à la période pendant laquelle les sinistres survenus doivent figurer sur les relevés d'informations prévus par le code des assurances, aucune disposition du code des assurances ne permet de justifier l'allongement de cette durée de conservation pour les informations relatives à des résiliations pour un motif autre que l'intervention de sinistre ;
Considérant que l'AGIRA par lettre du 23 novembre 1995 a accepté que le traitement déclaré soit modifié conformément aux observations de la Commission ; c'est ainsi que les informations relatives aux résiliations pour intervention de sinistres seront conservées pendant 5 ans, et que les informations relatives aux autres causes de résiliations continueront à être conservées deux ans, comme dans le fichier actuel ;
Considérant au surplus, que s'agissant des inscriptions pour résiliation au motif du non paiement de prime, l'AGIRA s'engage à faire adopter par ses adhérents les dispositions suivantes : les sociétés d'assurance, membres de l'AGIRA procéderaient, sans délai, à l'effacement de ce motif de résiliation dès le versement des sommes dues ; dans le cas où la société d'assurance estimerait ne pas être en mesure d'assurer cette mise à jour, l'information relative à la résiliation pour non paiement de prime ne figurerait pas au fichier de l'AGIRA ; il serait seulement fait état de la date de la résiliation ;
Considérant qu'ainsi les observations formulées par la CNIL ont été prises en compte par l'AGIRA ;
Est dès lors d'avis qu'il y a lieu de délivrer à l'AGIRA le récépissé prévu par l'article 16 de la loi du 6 janvier 1978.
La Commission nationale de l'informatique et des libertés,
Saisie, le 1er août 2003, d'une plainte par un particulier inscrit, par la Banque X au Fichier des incidents de remboursement des crédits aux particuliers (FICP), géré par la Banque de France ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel.
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, pris ensemble le décret n° 78-774 du 17 juillet 1978 modifié.
Vu les articles L. 333-4 et suivants du Code de la consommation.
Vu l'article L. 613-21 du Code monétaire et financier.
Vu le règlement n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire, modifié, relatif au Fichier des incidents de remboursement des crédits aux particuliers (FICP).
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 87-25 du 10 février 1987 fixant le règlement intérieur de la CNIL, et notamment son article 54.
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 90-29 du 6 mars 1990 portant avis sur la mise en oeuvre, par la Banque de France, d'un traitement automatisé d'informations nominatives relatif à la gestion d'un fichier des incidents de remboursement des crédits aux particuliers.
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 03-050 du 20 novembre 2003 portant avis sur le projet de règlement modifié n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire relatif au Fichier des incidents de remboursement des crédits aux particuliers.
Après avoir entendu Monsieur Philippe NOGRIX, commissaire, en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations.
FORMULE LES OBSERVATIONS SUIVANTES :
La CNIL a été saisie par un client de la Banque X, qui a été inscrit au FICP par cet établissement bancaire le 30 avril 2003 jusqu'au 30 avril 2008, pour un découvert.
Il a indiqué qu'il n'avait plus de compte dans cette banque depuis 1994.
La CNIL a interrogé X afin de savoir à quels incidents de paiement caractérisés correspondait l'inscription du référant au FICP.
X a indiqué que le requérant avait été inscrit au FICP pour une créance produite dans le cadre de la procédure de liquidation judiciaire de la société qu'il dirigeait, en 1995.
Pour plus d'informations, la CNIL a demandé à X de lui préciser la date exacte à laquelle l'incident de paiement motivant l'inscription du requérant au FICP en avril 2003 avait été caractérisé et lui a rappelé les conditions d'inscription au FICP prévues par les dispositions de l'article 4 du règlement 90-05.
X a indiqué en réponse que cet incident de paiement a été caractérisé le 20 avril 1993.
Ainsi, le requérant a été inscrit au FICP en avril 2003 pour un incident de paiement survenu en avril 1993, soit dix ans après.
Or, l'article 4 du règlement 90-05 précité prévoit que "dès qu'un incident de paiement caractérisé est constaté, l'établissement de crédit informe le débiteur défaillant que l'incident sera déclaré à la Banque de France à l'issue d'un délai d'un mois à compter de la date de l'envoi de cette information".
En outre, X n'a procédé à la mainlevée de l'inscription du requérant au FICP qu'après de multiples courriers de la Commission, reconnaissant finalement que ses services n'avaient pas respecté les dispositions du règlement précité et qu'elle procédait à une vérification exhaustive afin de s'assurer que d'autres de ses clients n'avaient pas fait l'objet d'inscriptions "erronées" au FICP.
En adoptant la loi n° 89-1010 du 31 décembre 1989, dite "Loi Néiertz" qui a créé le Fichier des incidents de remboursement des crédits aux particuliers (FICP), le législateur a entendu mettre en place un dispositif de prévention et de traitement des situations de surendettement.
Le fichier des incidents de remboursement des crédits aux particuliers (FICP), géré par la Banque de France, qui constitue un instrument de lutte contre le surendettement des particuliers, n'a pas pour finalité la mise en commun entre les banques, les établissements de crédit et les établissements financiers de La Poste d'informations relatives à leurs débiteurs, autres que les cas limitativement définis par les dispositions du règlement n° 90-05 précité.
L'article 37 de la loi du 6 janvier 1978 prévoit par ailleurs qu'"un fichier nominatif doit être complété ou corrigé même d'office lorsque l'organisme qui le tient acquiert connaissance de l'inexactitude ou du caractère incomplet d'une information nominative contenue dans ce fichier" et l'article 38 de la loi dispose que "si une information a été transmise à un tiers, sa rectification ou son annulation doit être notifiée à ce tiers, sauf dispense accordée par la Commission".
En l'espèce, X n'a respecté ni les dispositions du règlement n° 90-05 précité, ni celles de la loi du 6 janvier 1978.
En conséquence,
DEMANDE à X de rappeler, au sein de ses services, les règles de fonctionnement du FICP et d'être tenue informée des dispositions prises à cet effet ;
DECIDE d'adresser un AVERTISSEMENT à la Banque X, dont le siège est situé [...] ;
DECIDE que, conformément aux dispositions de l'article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l'article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.
Le président, 
 
Alex TURK.
La Commission nationale de l'informatique et des libertés,
Saisie, le 13 janvier 2004, d'une plainte par un particulier qui a pu accéder, les 13 et 14 novembre 2003, via le service [...], proposé par X, après identification par ses mot de passe et code d'accès personnels, au compte bancaire d'une tierce personne ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère à personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, pris ensemble le décret n° 78-774 du 17 juillet 1978 modifié ;
Vu les articles 226-16 à 226-22 du code pénal ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 87-25 du 10 février 1987 fixant le règlement intérieur de la CNIL, et notamment son article 54 ;
Après avoir entendu Monsieur Philippe NOGRIX, commissaire, en son rapport, et Madame Charlotte Marie PITRAT, commissaire du Gouvernement, en ses observations ;
FORMULE LES OBSERVATIONS SUIVANTES
L'instruction de la plainte dont a été saisie la CNIL a permis d'établir qu'au moins un client de X a accédé, alors qu'il se connectait sur internet à son compte détenu dans cette banque, au compte d'une tierce personne.
La CNIL a rappelé à cet établissement bancaire, par courrier du 3 février 2004 que ces faits sont susceptibles d'être qualifiés pénalement et d'engager la responsabilité de X sur le fondement de l'article 226-17 du code pénal qui punit de cinq ans d'emprisonnement et de 300.000 euros d'amende "le fait de procéder ou de faire procéder à un traitement automatisé d'informations nominatives sans prendre toutes les précautions utiles pour préserver la sécurité de ces informations et notamment empêcher qu'elles ne soient déformées, endommagées, ou communiquées à des tiers non autorisés".
X a indiqué en réponse que cette situation résultait d'un dysfonctionnement informatique intervenu lors de la "bascule" de son système d'informations, le 11 novembre 2003. Lors de cet événement, les données personnelles relatives à 256.900 contrats de banque à distance ont été enregistrées dans le nouveau système.
Elle ajoute que, dès réception de la télécopie du plaignant, le 14 novembre 2003, lui exposant les faits, ses services ont bloqué l'ensemble des accès internet au système, à titre conservatoire, pour permettre à ses informaticiens d'identifier le dysfonctionnement.
Une "erreur de programmation pouvant générer des dysfonctionnements sur 62 clients sur les 256.900 précités" a alors été décelée. Par précaution, X a maintenu le blocage pour ces 62 comptes, et a rétabli l'accès aux autres comptes dès le 15 novembre 2003.
Par courrier du 5 mai 2004, la Commission a toutefois indiqué à X qu'il apparaissait en l'espèce que cet établissement n'avait pas pris toutes les précautions utiles pour assurer la sécurité des informations concernant les comptes de ses clients qui accèdent à leur compte bancaire via internet, et lui a demandé de lui faire part de ses observations complémentaires.
X s'est bornée à indiquer en réponse, par télécopie du 2 juin 2004, qu'elle ferait parvenir à la Commission la justification des tests réalisés "préalablement à la bascule informatique".
La Commission rappelle que, conformément à l'article 29 de la loi du 6 janvier 1978, le responsable du traitement "s'engage de ce fait, vis-à-vis des personnes concernées, à prendre toutes précautions utiles afin de préserver la sécurité des informations et notamment d'empêcher qu'elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés".
Tel est tout particulièrement le cas pour les établissements financiers, dans la mesure où ils sont soumis au respect du secret bancaire.
La Commission estime dès lors que X n'a pas pris toutes les précautions utiles pour assurer la sécurité et la confidentialité des informations concernant ses clients ayant souscrit un contrat d'accès à distance à leur compte bancaire.
En conséquence,
DEMANDE à X d'informer la Commission non seulement sur les tests réalisés préalablement à la "bascule" de son système d'informations, mais également sur la nature exacte de l'erreur de programmation ayant entraîné ces dysfonctionnements ;
DECIDE de faire application des dispositions de l'article 21.4° de la loi du 6 janvier 1978 et d'adresser un AVERTISSEMENT à X, dont le siège social est situé [...].
DECIDE que le présent avertissement sera porté à la connaissance de la Commission bancaire.
Le président, 
 
Alex TÜRK
La Commission nationale de l'informatique et des libertés,   Saisie pour avis, en application de l'article 15 de la loi du 6 janvier 1978, par la Société des Autoroutes Paris-Rhin-Rhône (SAPRR), d'un projet d'acte réglementaire portant création d'un traitement automatisé d'informations nominatives relatif à l'étude expérimentale de fiabilité d'un système de télépéage automatique ;   Vu la Convention européenne de sauvegarde des Droits de l'homme et des libertés fondamentales du 4 novembre 1950 ;   Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation des données ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet 1978 pris pour son application ;   Après avoir entendu M. Guy ROSIER, commissaire, en son rapport, et Mme Charlotte-Marie PITRAT, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :   La société des Autoroutes Paris-Rhin-Rhône (SAPRR) a saisi la Commission nationale de l'informatique et des libertés d'une demande d'avis relative à la mise en oeuvre d'un dispositif expérimental de lecture et de reconnaissance des plaques minéralogiques, situé sur l'autoroute A 40 dans le sens Macon-Genève.   Cette expérimentation constitue la phase préparatoire au développement d'un service de télépéage automatique visant principalement à améliorer le service offert aux usagers et plus particulièrement à fluidifier le trafic autoroutier. Elle doit être mise en oeuvre pendant une durée de six mois et n'est destinée à fonctionner que pendant six heures la journée et quatre heures la nuit.   Le dispositif technique repose sur deux portiques espacés de quelques mètres et placés en travers d'une section courante de l'autoroute afin que tous les usagers soient amenés à les franchir.   Le premier portique est équipé d'antennes de communication à courte portée (DSRC) uniquement destinées à repérer la présence d'un badge de télépéage situé à l'intérieur des véhicules dont les propriétaires sont abonnés au service de télépéage actuellement en vigueur. Le passage de ce portique ne donne pas lieu à la lecture du numéro de badge. Le second portique est équipé de caméras qui captent les numéros de plaques minéralogiques de l'ensemble des véhicules circulant sur l'autoroute. Un "horodatage" du cliché effectué par les caméras est effectué. Le
dispositif s'accompagne également d'une boucle de comptage installée proximité du premier portique.   Les informations collectées par les différents capteurs détaillés ci-dessus sont transmises aux ordinateurs du site central, situés à la gare de péage de Genay au sein du service clientèle de la direction régionale Rhône-Ain de la SAPRR, via un réseau privé permettant d'avoir un contrôle sur l'intégralité des flux de données entrants et sortants. Les ordinateurs du site central sont équipés d'un logiciel de reconnaissance de caractères afin de procéder à l'identification des numéros de plaques minéralogiques.   Les traitements mis en oeuvre dans le cadre de cette expérimentation ne donnent lieu à aucune transmission à des tiers. Ils ont pour finalités la vérification de la validité du dispositif de lecture des plaques et la réalisation de statistiques relatives au nombre de véhicules qui empruntent la section d'autoroute concernée en vingt-quatre heures, au nombre de véhicules détectés avec et sans badge de télépéage, au nombre de plaques minéralogiques dont les photos sont correctement reconnues par le logiciel et au nombre de plaques minéralogiques dont les photos sont exploitables visuellement.