La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TÜRK ;
Etant aussi présents M. Guy ROSIER, vice-président délégué, M. François GIQUEL, vice-président, Mlle Anne DEBET, membre et M. Bernard PEYRAT, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personne ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la délibération n°2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2006-036 adoptée par la CNIL le 21 février 2006 ;
Vu la saisine n° 05005032 ;
Vu le rapport de M. Francis DELATTRE, commissaire, adressé à X le 8 février 2007 et les observations en réponse reçues le 8 mars 2007.
Après avoir entendu, lors de la réunion du 15 mars 2007, M. Francis DELATTRE, commissaire, en son rapport et Mme Catherine POZZO DI BORGO, commissaire adjointe du Gouvernement, en ses observations.
Après avoir entendu, lors de la réunion du 15 mars 2007, les observations orales de M. A, responsable de la conformité, celui-ci ayant pris la parole en dernier.
Constate les faits suivants :
1. La Commission a été saisie d'une plainte le 7 avril 2005 concernant l'inscription de M. B demeurant [...] au FICP le 30 septembre 2003 par X.
Dans le cadre de l'instruction de cette plainte, la CNIL a demandé à X de lui indiquer à quel incident de paiement caractérisé, tel que défini dans le règlement CRBF 90-05 du 11 avril 1990, correspondait l'inscription du requérant au FICP.
X n'a apporté aucune suite aux demandes de la Commission formulées dans ses courriers des 13 mai, 22 juin, 18 août 2005.
2. Ces faits constituaient un manquement aux obligations découlant de la loi du 6 janvier 1978.
Les dispositions de l'article 21 alinéa 2 de la loi du 6 janvier 1978 modifiée le 6 août 2004 prévoient en effet que "les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche".
3. En conséquence, par délibération adoptée le 21 février 2006, la CNIL a mis en demeure X de répondre aux demandes de la CNIL formulées dans ses courriers des 13 mai, 22 juin, 18 août 2005.
L'avis de réception adressé avec la mise en demeure atteste que celle-ci a été remise le 10 mars 2006. Pourtant, X n'a adressé aucune réponse à la CNIL.
Un rapport relatif à une proposition de sanction a par conséquent été adressé à X le 8 février 2007.
4. Le 8 mars 2007, X a adressé à la CNIL ses observations aux termes desquelles l'absence de réponse à l'ensemble des missives adressées par la CNIL entre 2005 et 2007 serait due à des mutations importantes survenues dans l'organisation interne de la banque.
La Commission considère que les explications fournies par X sur ce point ne sont pas satisfaisantes et que celle-ci n'a manifestement pas respecté le délai de réponse visé dans la mise en demeure du 21 février 2006.
5. Dans sa réponse, X indique également que l'inscription du requérant au FICP était due à l'existence d'un découvert en compte non régularisé au 31 octobre 2004 et que, en mai 2005, suite à la régularisation de la situation sur le plan financier, le fichage FICP a été levé.
Sur ce second point, la Commission estime que les explications apportées par X sur l'inscription du requérant au FICP sont également insatisfaisantes. En particulier, la Commission considère que l'existence d'un découvert en compte non régularisé le 31 octobre 2004 ne saurait en tant que tel expliquer l'inscription du requérant au FICP à une date antérieure (le 30 septembre 2003).
La Commission estime par conséquent ne disposer, de la part de X, d'éléments attestant de la régularité de l'inscription du requérant au FICP.
En conséquence, la Commission décide de faire application des dispositions des articles 45 et suivants de la loi du 6 janvier 1978 modifiée le 6 août 2004 et de prononcer à l'encontre de X sise [...], compte tenu de la gravité des manquements commis, une sanction pécuniaire de 30.000 euros.
Par ailleurs, la Commission enjoint X de lui apporter dans un délai de deux mois à compter de la réception de la présente délibération des garanties permettant de considérer que les manquements qui ont été constatés ne pourront plus se reproduire à l'avenir et notamment de lui communiquer l'intégralité des dispositions prises sur le plan technique et organisationnel permettant de procéder à l'inscription et la mainlevée de clients au FICP ainsi que l'intégralité des dispositions prises sur le plan technique et organisationnel permettant de contrôler la régularité de ces opérations au regard de la réglementation applicable (politique d'audit, contrôles sur échantillonnage, etc.).
La présente décision sera rendue publique.
Le président,
Alex TÜRK.