La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'économie et des finances d'une demande d'avis concernant un projet d'arrêté modificatif de l'arrêté du 26 octobre 2010 relatif au fichier des incidents de remboursement des crédits aux particuliers (FICP) ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le code de la consommation en ses articles L. 751-1 et L. 751-6 et L. 333-4 ;
Vu le code monétaire et financier en son article L. 312-1-3 ;
Après avoir entendu M. Cabourdin, commissaire en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le projet d'arrêté modificatif du 26 octobre 2010 relatif au fichier des incidents de remboursement des crédits aux particuliers (ci-après désigné FICP ) dont la commission est saisie vise, en premier lieu, à actualiser les références juridiques relatives notamment à la protection des données pour prendre en compte les règles introduites par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après désigné RGPD ).
Il tend, en deuxième lieu, à prendre en compte les besoins opérationnels apparus dans le cadre de la mise en œuvre de la procédure relative à la gestion du fichier et notamment la clarification du principe d'unicité dans le temps de l'inscription au FICP, pour prévoir qu'en cas d'incident déclaré sur un crédit, aucune autre déclaration sur ce même crédit ne peut être réalisée.
De même, l'obligation de conservation du résultat de la consultation du FICP par les établissements ou organismes mentionnés au I de l'article 1er a été remplacée par la simple preuve de cette consultation sans mention de son résultat.
Le présent arrêté modificatif précise, en troisième lieu, que la consultation facultative qui peut avoir lieu avant l'attribution de moyens de paiement doit être notamment effectuée en vue d'identifier les personnes en situation de fragilité financière .
En quatrième lieu, le projet d'arrêté modifie et uniformise les moyens de preuve des consultations du FICP produits par les établissements ou organismes, devant les tribunaux, en cas de contentieux. Le projet d'arrêté modificatif donne ainsi la possibilité aux établissements ou organismes mentionnés au I de l'article 1er de se voir délivrer, par la Banque de France, une attestation de consultation du FICP, dans les cas où cette consultation est obligatoire.
1. Sur les finalités du FICP (article 2)
L'arrêté du 26 octobre 2010 fixe des cas de consultations obligatoires et facultatives du FICP pour les établissements ou organismes.
Le projet d'arrêté modificatif apporte, d'une part, des modifications relatives aux cas de consultations obligatoires et, notamment, une mise à jour des références juridiques au code de la consommation, qui n'appellent pas d'observation de la commission.
Le projet d'arrêté modificatif précise, d'autre part, que la consultation facultative qui peut avoir lieu avant l'attribution de moyens de paiement doit être notamment effectuée en vue d'identifier les personnes en situation de fragilité financière , et ce afin d'être en mesure de leur proposer l'offre de services bancaires spécifiques prévue au 2e alinéa de l'article L. 312-1-3 du code monétaire et financier (article 2 [III-2°] du projet d'arrêté). Cet ajout n'appelle pas d'observation de la part de la commission.
La commission observe toutefois que la finalité attribuée à la consultation obligatoire du FICP n'est pas systématiquement rappelée. En effet, l'article 2 (II) du projet d'arrêté prévoit bien que lorsque la consultation obligatoire a lieu avant l'octroi d'un crédit (tel qu'encadré par le chapitre II et III du titre Ier du livre III du code de la consommation), celle-ci doit avoir pour finalité d' éclairer la décision finale de l'établissement ou organisme prêteur (article 2 [II-1° et 3°] de l'arrêté). En revanche, la mention de cette finalité n'apparaît pas pour l'autre cas de consultation obligatoire du FICP, à savoir avant de proposer à un client la reconduction annuelle de son contrat de crédit renouvelable (art. 2 [II-2°] du projet d'arrêté).
De même, le projet d'arrêté ne précise pas la finalité de la consultation facultative préexistante à la modification de l'arrêté et prévue à l'article 2 (III-1°) de l'arrêté, à savoir celle pouvant être effectuée avant l'octroi des crédits autres que ceux prévus par le chapitre II et III du titre Ier du livre III du code de la consommation. Dans un objectif de clarté et pour répondre aux exigences de l'article 5 (1-b) du RGPD, la commission estime que la finalité des consultations du FICP prévue par l'article L. 751-2 du code de la consommation, qui précise que le FICP a pour finalité de fournir (…) un élément d'appréciation de la solvabilité des personnes qui sollicitent un crédit pourrait utilement être rappelée en complément du 1°-III de l'article 2 du projet d'arrêté.
2. Sur les modalités de justification des consultations (article 13)
Le projet d'arrêté modificatif en son article 13 (IV) ajoute la possibilité pour les établissements ou organismes de se faire délivrer par la Banque de France une attestation de consultation du FICP lorsque celle-ci est obligatoire.
Les établissements peuvent demander cette attestation de consultation durant un délai de :
- 20 ans pour un crédit relevant du chapitre II du titre Ier du livre III du code de la consommation ainsi que pour l'octroi d'une autorisation de découvert remboursable dans un délai supérieur à 1 mois ;
- 35 ans pour un crédit relevant du chapitre III du titre Ier du livre III du code de la consommation ;
- 5 ans dans le cadre de la reconduction annuelle d'un contrat de crédit renouvelable en application des articles L. 312-57 et suivants du code de la consommation.
La commission considère que ces durées sont conformes à l'article 5 (1-e) du RGPD imposant que la durée de conservation des données soit limitée à ce qui est nécessaire au regard des finalités poursuivies, pour autant que ces durées correspondent aux délais de prescription des recours contentieux applicables aux contrats de crédits auxquels cet article fait référence.
3. Sur la conservation des données relatives aux résultats des consultations (article 13)
Concernant les données relatives aux résultats des consultations, l'article 13 (III) modifié par le projet d'arrêté modificatif prévoit la possibilité (et non plus l'obligation) pour les établissements et organismes de conserver le résultat de la dernière consultation du FICP et de le rendre accessible uniquement pour l'instruction du dossier de demande de crédit, de reconduction annuelle d'un contrat de crédit renouvelable ou d'attribution de moyens de paiement dans le cadre de laquelle la consultation a été effectuée .
La commission observe que cet article ne pose pas de durée de conservation de ces données, ce qui n'est pas conforme à l'article 5 (1-e) du RGPD.
La commission rappelle qu'il appartient en tout état de cause aux responsables de traitement - établissements ou organismes - de déterminer une durée maximale précise de conservation des résultats des consultations dans le cadre de l'instruction du dossier, et que celle-ci ne doit pas excéder celle nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément à l'article 5 (1-e) du RGPD.
Le projet d'arrêté prévoit enfin en son article 13 (III) que Lorsque le résultat d'une consultation comporte des informations relatives à plusieurs personnes en raison d'une homonymie, toutes ces informations doivent être conservées.
La commission rappelle que ce traitement doit être respectueux du principe de minimisation posé par l'article 5 (1-c) du RGPD exigeant que les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. En l'occurrence, les données ne correspondant pas à la personne concernée par la demande ne sauraient être conservées même sous forme d'archives tel que décrit au 3e paragraphe du III. Elles devront être détruites dès que l'établissement aura constaté que l'homonymie établie à partir de la clé Banque de France réduite à la date de naissance et aux cinq premières lettres du nom aura été levée par l'exploitation de la fiche transmise. La commission souhaite que le projet d'arrêté soit précisé en ce sens.
Les autres dispositions du projet n'appellent pas d'observations de la commission.
Pour la présidente :
La vice-présidente déléguée,
S. Lambremon