La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ;
Etant aussi présents Madame Marie-Hélène MITJAVILE. MM. Jean-Marie COTTERET, Jean-François CARREZ, Claude DOMEIZEL et Dominique RICHARD, membres ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la Directive n°95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié, pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la plainte 11033886 du 23 décembre 2011 ;
Vu la plainte 12006481 du 23 février 2012 ;
Vu la plainte 12007745 du 05 mars 2012 ;
Vu la plainte 12012202 du 11 avril 2012 ;
Vu la plainte 12616663 du 24 mai 2012 ;
Vu la plainte 12025366 du 21 aout 2012 ;
Vu le rapport de M. Jean-Paul AMOUDRY, commissaire rapporteur, adressé par porteur à X, le 13 mars 2013, rapport annexes et convocation;
Vu les observations écrites versées par X le 12 avril 2013, ainsi que les observations présentées oralement lors de la séance de la formation restreinte du 18 avril 2013;
Vu les autres pièces du dossier.
Ayant entendu, lors de la réunion de la formation restreinte du 18 avril 2013 :
- M. Jean-Paul AMOUDRY, commissaire, en son rapport ;
- M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations ;
- M. Edouard GEFFRAY, secrétaire général de la CNIL,
- Mme A, Monsieur B, Me C, avocat et Me D, avocat, ses conseils.
Ces derniers ayant pris la parole en dernier,
A adopté la décision suivante :
FAITS ET PROCÉDURE
La société X (ci-après la "société") est un établissement bancaire, à ce titre elle participe au fonctionnement du fichier national des incidents de remboursement des crédits aux particuliers (FICP).
L'arrêté du 26 octobre 2010 relatif au fichier national des incidents de remboursement des crédits aux particuliers prévoit une procédure d'inscription au FICP des incidents de remboursement des crédits et, symétriquement, de radiation lorsque la situation a été régularisée.
En 2008 et 2009 la Commission nationale de l'informatique et des libertés (ci-après la "CNIL" ou la "Commission") a été saisie de plusieurs plaintes émanant de clients de la société. Ceux-ci se plaignaient du maintien de leurs inscriptions au FICP malgré la régularisation de leurs situations. Une procédure de mise en demeure a été ouverte par délibération 2010-038 du 18 février 2010 à l'encontre de la société. Cette dernière a procédé à sa mise en conformité relativement aux procédures d'inscription et de radiation au FICP. La procédure de mise en demeure a été clôturée le 6 septembre 2011.
Entre les mois de décembre 2011 et d'août 2012 la CNIL a été à nouveau saisie de plaintes à l'encontre de la société et relatives au maintien d'inscriptions au FICP. Les plaignants arguaient de la régularisation de leur situation et des difficultés occasionnées par maintien de leur inscription au FICP en contradiction avec l'obligation de radiation prévue par l'article 6-II de l'arrêté précité.
Au vu de ces éléments, la Présidente de la Commission a désigné comme rapporteur, le 1er mars 2013, M. Jean-Paul AMOUDRY, Vice-président de la CNIL, sur le fondement de l'article 46 de la loi du 6 janvier 1978 modifiée.
A l'issue de son instruction, considérant que la société avait manqué aux obligations lui incombant en application de la loi du 6 janvier 1978 modifiée, le rapporteur a fait notifier à la société par porteur, le 13 mars 2013, un rapport détaillant les manquements à la loi qu'il estimait constitués en l'espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l'encontre de la société un avertissement, dont il sollicitait par ailleurs qu'il soit rendu public.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 18 avril 2013 indiquant à la société qu'elle disposait d'un délai d'un mois pour communiquer ses observations écrites.
La société a fait connaitre ses observations par courrier du 12 avril 2013. Elle a également présenté ses observations orales lors de la séance du 18 avril 2013.
A l'issue de cette procédure, et après en avoir délibéré, la formation restreinte a adopté la décision dont la teneur suit.
MOTIFS DE LA DÉCISION
L'article 6 de la loi du 6 janvier 1978 modifiée prévoit qu'un traitement ne peut porter que sur des données à caractère personnel qui sont exactes, complètes et, si nécessaire, mises à jour. Le même article prévoit que les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées.
Cette disposition de la loi doit être rapprochée de celle de l'article 6-II de l'arrêté du 26 octobre 2010 relatif au fichier national des incidents de remboursement des crédits aux particuliers. Aux termes de cet arrêté pour chaque incident de paiement précédemment déclaré, les établissements et organismes mentionnés à l'article 1er signalent à la Banque de France, (...), le paiement intégral des sommes dues, que celui-ci ait été effectué par le débiteur principal ou par une caution (...), au plus tard le quatrième jour ouvré suivant la date du paiement intégral. Ces informations sont transmises selon les mêmes modalités que la déclaration d'incident.
Il appartient à la formation restreinte de vérifier que le maintien de l'inscription au FICP des plaignants ne résulte pas d'une information inexacte, incomplète ou non mise à jour concernant les plaignants.
En sa défense, la société fait valoir les engagements pris par elle à la suite de la mise en demeure adoptée par délibération 2010-038 du 18 février 2010 et clôturée par courrier du 06 septembre 2011. A ce titre elle indique que ses engagements portent sur l'information et la formation des collaborateurs au respect de la loi du 06 janvier 1978 et sur la mise en place de procédures internes destinées à assurer le respect de l'arrêté du 26 octobre 2010 relatif au fichier national des incidents de remboursement des crédits aux particuliers.
Spécifiquement, elle assure à la Commission avoir pris des mesures concernant la gestion des radiations du FICP tant du point de vue organisationnel, qu'informatique et poursuivre ses efforts avec de nouvelles fonctionnalités disponibles depuis février 2013 qui permettent une automatisation des radiations suite à la régularisation des comptes débiteurs.
Concernant les six plaintes examinées par la formation restreinte et les manquements à l'obligation de procéder aux radiations du FICP, la société fait valoir pour chacun des cas ses observations. De façon commune, la société indique que les situations en cause ont un fait générateur antérieur aux mesures adoptées après la mise en demeure. L'ensemble des inscriptions au FICP seraient justifiées et ne résulteraient pas d'erreurs comme cela avait été le cas dans des affaires portant sur le même fichier d'incidents et qui avaient donné lieu à sanctions par la formation restreinte.
- Concernant les plaintes numéro 11033886 du 23 décembre 2011, numéro 12012202 du 11 avril 2012 et numéro 12025366 du 21 août 2012, la société estime que deux des plaignantes n'ont pas demandé leur radiation à la société et que l'absence de défichage résulte d'une erreur de ses préposés dans la mise en œuvre de la procédure interne prévue à cet effet.
La formation restreinte prend acte du maintien indu des inscriptions au FICP, elle rappelle qu'il n'appartient pas au client de demander sa radiation mais à la banque de s'en assurer. La formation restreinte constate que ces erreurs répétées conduisent à ne pas respecter les exigences de la loi du 6 janvier 1978. De telles erreurs ne sauraient en aucune façon exonérer la société de sa responsabilité mais témoignent au contraire de procédures insuffisamment efficaces dans leur mise en œuvre. Dans ces conditions, malgré l'adoption récente de mesures d'automatisation des radiations, elle constate que la société a manqué à son obligation.
- Concernant la plainte 12006481 du 23 février 2012, la société fait valoir que le maintien du fichage au FICP était légitime en l'absence d'un apurement complet de la dette et qu'elle a permis cet apurement par l'abandon de sa créance en mai 2012.
Au regard des pièces communiquées, la formation restreinte constate que la société a été destinataire de plusieurs chèques devant couvrir les dettes du plaignant. En raison d'une erreur d'adresse la société indique que ces sommes n'ont pas été immédiatement comptabilisées et que la levée de l'inscription au FICP n'a pas été demandée par le plaignant. Il reste cependant que cette situation a conduit au maintien de l'inscription pour une durée longue, équivalente à deux années.
- Concernant la plainte 12007745 du 05 mars 2012, la société fait valoir que c'est en raison d'un comportement abusif du plaignant que ses services ont pu hésiter quant à la conduite à tenir. Elle entend faire reconnaître le caractère exceptionnel de la situation pour justifier de l'absence de radiation malgré des demandes effectuées par le client.
La formation restreinte constate à la vue des pièces communiquées et des observations que des demandes de radiation ont été formulées par le client. Elle constate que la situation d'impayé ayant justifié l'inscription avait été régularisée. Dans ces conditions, il importe peu que la société ne puisse justifier clairement du fondement de l'absence de transmission de sa demande de radiation mais il convient de constater que cette demande de radiation n'a été effectuée qu'à la suite de l'intervention de la Commission agissant dans le cadre de l'instruction de la plainte reçue.
- Concernant la plainte 12616663 du 24 mai 2012 pour lequel le client fait l'objet d'une double inscription au FICP pour deux crédits différents, la société fait valoir que l'une des inscriptions a été levée après qu'un geste commercial a permis d'apurer l'une des dettes mais que la seconde inscription résultant d'un incident de paiement, non régularisé à ce jour, justifie le maintien de l'inscription.
La formation restreinte prend acte de ce que l'un des incidents a été clos après qu'un des éléments de la dette a été abandonné par le créancier. Elle constate que dans l'hypothèse où le plaignant est redevable d'une autre dette, le maintien de la seconde inscription est justifié.
Ces éléments étant rappelés, il apparaît que les dysfonctionnements qui ont conduit au maintien abusif de plusieurs inscriptions des plaignants au FICP attestent d'une procédure insuffisamment efficace et qui ne permettait pas de procéder à l'information automatique de la Banque de France dans les délais prévus par l'arrêté. Cette situation a conduit à la persistance d'informations inexactes et en tout état de cause non mises à jour.
Elle rappelle que la transmission de la demande de radiation incombe à l'établissement dès la régularisation et ceci indépendamment de toute demande du client.
Au regard des conséquences pour les personnes concernées, l'erreur des préposés de la société ne peut en aucune façon justifier le maintien d'une inscription au fichier national des incidents de remboursement des crédits aux particuliers.
Dans ces conditions la formation restreinte constate que le manquement à l'article 6 de la loi du 6 janvier 1978 modifiée est constitué.
Sur les manquements constatés et la publicité de la décision
La formation restreinte considère que la société a manqué aux obligations lui incombant en application des dispositions susvisées de la loi du 6 janvier 1978 modifiée. Il y a donc lieu de prononcer l'avertissement prévu par l'article 45 de la même loi.
Eu égard à la nature des manquements et aux dysfonctionnements constatés, la formation restreinte décide de rendre publique cette sanction.
PAR CES MOTIFS
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide :
- De prononcer un avertissement à l'encontre de la société X ;
- De rendre publique sa décision sur le site Internet de la Commission et sur le site Légifrance.
La Présidente,
Claire DAVAL
Cette décision est susceptible de faire l'objet d'un recours devant le Conseil d'Etat dans un délai de deux mois à compter de sa notification.