(Demande d’autorisation n° 1803723)
La Commission nationale de l'informatique et des libertés,
Saisie par La Chambre d’agriculture des Vosges d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un fichier nominatif des incidents de paiement ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Chambre d’agriculture des Vosges.
Outre ses missions de service public, la chambre d’agriculture réalise, à titre onéreux, des prestations de services principalement à l’attention des exploitants agricoles (suivi d’installation, conseils juridiques, plans de bâtiments, appuis techniques divers, etc.).
Sur la finalité
La Chambre d’agriculture des Vosges a saisi la Commission nationale de l’informatique et des libertés d’un projet de traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un fichier nominatif recensant les incidents de paiement survenus à l'occasion des prestations de services délivrées.
Étant confrontée à des impayés, la chambre d’agriculture souhaite constituer une liste noire des personnes en impayés. Il s’agit de celles ayant bénéficié d’une prestation payante et n’ayant pas réglé leur dette malgré plusieurs relances et dont le recouvrement de la créance a été confié à un huissier de justice.
Il y a donc lieu, en l’espèce, de faire application de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation préalable de la CNIL les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
A défaut de paiement à l’issue de la prestation, la Chambre d’agriculture des Vosges contacte dans un premier temps la personne par téléphone puis lui adresse deux relances par courrier.
A la suite de ces relances, si le débiteur ne s’acquitte pas du prix de la prestation, la Chambre d’agriculture des Vosges envoie une mise en demeure par courrier recommandé et l’informe que le non-paiement au terme d’un délai de quinze jours entraînera son inscription au fichier des incidents de paiement. Cette liste aura notamment pour but d’empêcher que ne soient proposées de nouvelles prestations à un débiteur n’ayant pas régularisé sa situation vis-à-vis de la Chambre d’agriculture.
La Commission prend acte que cette inscription sur le fichier des incidents n’aura pas d’incidence sur la délivrance des autres services assurés par la Chambre d’agriculture des Vosges au titre de ses missions de service public.
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données contenues dans le fichier sont les suivantes :
identification du débiteur : nom, prénom, adresse ;
n° cheptel (numéro d’éleveur) ;
huissier en charge du dossier ;
montant global de la créance et reste à payer.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Seules les personnes habilitées de la Chambre d’agriculture des Vosges auront accès à ce fichier à savoir les conseillers en contact direct avec les agriculteurs.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes sont informées de l’existence du fichier, conformément aux prescriptions de l’article 32 de la loi du 6 janvier 1978 modifiée via le bon de commande.
En cas de non paiement, la personne est informée par courrier postal recommandé de son inscription sur la liste des impayés, passé un délai de quinze jours à réception de ce courrier et, le cas échéant, lors de l’inscription effective dans le fichier.
La Commission considère que l’information délivrée aux personnes est suffisante.
Les droits d’opposition, d’accès et de rectification s’exercent par voie postale auprès de la Chambre d’agriculture des Vosges.
Sur les mesures de sécurité
La Commission rappelle que des mesures de protection physique et logique doivent être mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
En l’espèce, la Chambre d’agriculture des Vosges met en place un système permettant de s’assurer que seuls les destinataires habilités aient accès au fichier des impayés. A ce titre, un dispositif  d’authentification couplant un identifiant et un mot de passe d’une longueur minimale de huit caractères et composés des types de caractères suivants: chiffres, minuscules, majuscule et caractère spéciaux est mis en œuvre.
Sur les autres caractéristiques du traitement
Les données sont supprimées dès régularisation de l’incident de paiement. À défaut de régularisation, les informations sont conservées pendant 15 mois.
Autorise, conformément à la présente délibération, la Chambre d’agriculture des Vosges à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN