La Présidente de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal ;
Vu le code de la consommation ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles, 6-1°, 21, 40 et 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 26 octobre 2010 relatif au fichier national des incidents de remboursement des crédits aux particuliers ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la saisine n°13036258 du 4 décembre 2013 ;
I - Constate les faits suivants
La société X (ci-après la "banque") est un établissement de crédit aux particuliers et compte plus de 20 millions de clients. A ce titre, elle participe au fonctionnement du fichier national des incidents de remboursement des crédits aux particuliers (ci-après FICP ). Le siège social de la banque est situé à [...].
La Commission nationale de l'informatique et des libertés (ci-après la "CNIL" ou la "Commission") a été saisie par courrier, le 4 décembre 2013, d'une plainte émanant de M. A (ci-après la "plaignante") portant sur la contestation du bien-fondé de son inscription au FICP pour un incident caractérisé à l'initiative de la société X et enregistrée le 5 novembre 2012.
Par courrier en date du 4 février 2014, le service des plaintes de la Commission portait l'objet de la plainte à la connaissance de la banque. Il était notamment indiqué que le fichage de la plaignante ne respectait pas les dispositions de l'arrêté du 26 octobre 2010 relatif au fichier national des incidents de remboursement des crédits aux particuliers. A ce titre, elle enjoignait à l'organisme de procéder à la levée de l'inscription au titre des incidents de paiement et de l'en tenir informée dans un délai de quinze jours.
Par un courrier du 14 février 2014, la banque apportait à la Commission plusieurs précisions. Elle indiquait, tout d'abord, avoir procédé à l'inscription de la plaignante au FICP le 5 novembre 2012 en raison du non-paiement des échéances des mois de septembre et octobre 2012 dues par elle conformément à l'échéancier de paiement établi par un jugement du [...] du tribunal d'instance de [...], à la suite de la situation de surendettement de la plaignante.
La banque précisait également avoir adressé le 1er octobre 2012 un courrier mettant en demeure la plaignante de régulariser son défaut de paiement dans un délai d'un mois. Ce courrier valait également préavis de fichage au FICP.
Faute de régularisation à l'issue du délai fixé, la banque a indiqué avoir déclaré à la Banque de France cet incident de paiement caractérisé le 5 novembre 2012 afin qu'il soit enregistré au FICP. La banque a alors adressé à la plaignante un courrier d'avis de fichage au FICP le 6 novembre 2012.
La banque informait également la Commission que la régularisation de la première mensualité due (à savoir celle du mois de septembre 2012) était intervenue le 5 novembre 2012. Or, l'inscription de l'incident de paiement a été maintenue. A cet égard, la banque reconnaissait que le collaborateur en charge du dossier a maintenu le bénéfice du plan mais a omis de procéder à la mainlevée de l'inscription FICP lors de la régularisation des échéances impayées de début de plan.
Par ailleurs, la banque certifiait à la Commission que la plaignante ne faisait plus l'objet d'une inscription au FICP de sa part.
Toutefois, la Commission a constaté après avoir saisi la Banque de France le 29 avril 2014, que l'inscription de l'incident de paiement en date du 5 novembre 2012 persistait.
II- Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978 modifiée
Un manquement à l'obligation d'effectuer un traitement licite des données
Dès le non-paiement de la mensualité du mois de septembre 2012, la banque a adressé à la plaignante le 1er octobre 2012, une mise en demeure en vue de la régularisation de cette échéance.
La banque a déclaré le 5 novembre 2012 cet incident de paiement qu'elle qualifie de caractérisé au sens de l'article 4 de l'arrêté du 26 octobre 2010, à la Banque de France afin que celle-ci procède à l'inscription de la plaignante au FICP.
Or, l'article 4 de l'arrêté du 26 octobre 2010 dispose que "Constituent des incidents de paiement caractérisés pour l'application du présent arrêté : 1° Pour un même crédit comportant des échéances, les défauts de paiement atteignant un montant cumulé au moins égal i) Pour les crédits remboursables mensuellement, à la somme du montant des deux dernières échéances dues (...)".
En outre, l'article 5-I prévoit que "Dès qu'un incident de paiement caractérisé est constaté, l'établissement ou l'organisme mentionné à l'article 1er informe le débiteur défaillant que l'incident sera déclaré à la Banque de France à l'issue d'un délai de 30 jours calendaires révolus courant à compter de la date de l'envoi du courrier d'information, le cachet de la poste faisant foi (...)".
En l'espèce, l'échéancier de paiement étant fixé conformément aux recommandations du jugement du tribunal d'instance au 15 de chaque mois, la plaignante devait donc procéder au paiement de la mensualité du mois de septembre 2012 au plus tard le 15 septembre 2012, et à la mensualité du mois d'octobre 2012, au plus tard le 15 octobre 2012.
Dès lors, la banque ne pouvait adresser son courrier de mise en demeure à la plaignante le 1er octobre 2012 puisque l'incident de paiement n'était à cette date pas caractérisé. En effet, la banque aurait dû attendre le non-paiement de la deuxième échéance due, à savoir le 15 octobre 2012, avant d'informer le débiteur défaillant que l'incident serait déclaré à la Banque de France.
En outre, la banque ne pouvait déclarer cet incident de paiement à la Banque de France sans méconnaître les dispositions de l'arrêté, et en particulier le délai de 30 jours calendaires révolus. Elle aurait dû, conformément aux dispositions précitées, procéder à la déclaration de l'incident auprès de la Banque de France, le 15 novembre 2012.
La plaignante n'avait donc pas à être inscrite au FICP au 5 novembre 2012.
Enfin, il est précisé à l'article 5 de l'arrêté du 26 octobre 2010 que le délai de 30 jours calendaires révolus permet notamment à la personne concernée de régulariser la situation ou de contester auprès de l'établissement ou de l'organisme le constat d'incident caractérisé.
La plaignante a régularisé le paiement du mois de septembre 2012 le 5 novembre 2012, le jour même de l'envoi de la déclaration de fichage à la Banque de France.
Le non-respect de ce délai par la banque a privé la plaignante de la possibilité de régulariser son défaut de paiement dans les délais prévus par l'arrêté.
La Commission constate que les faits précités, en particulier la violation des dispositions prévues par l'arrêté du 26 octobre 2010 relatif au fichier national des incidents de remboursement des crédits aux particuliers, constituent un manquement aux obligations découlant du 1° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 qui dispose que "les données à caractère personnel sont collectées et traitées de manière loyale et licite".
Il est rappelé qu'en application de l'article 226-18 du code pénal le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d'emprisonnement et de 300 000 € d'amende.
Un manquement à l'obligation de respecter la demande de suppression des données
Malgré l'intervention de la plaignante auprès de la banque par courrier en date du 27 juin 2013 et la demande de la Commission par courrier du 4 février 2014, sollicitant le défichage au FICP, la banque n'a pas fait droit à ces demandes.
En effet, la Commission, après avoir saisi la Banque de France le 29 avril 2014, constate que l'inscription de l'incident de paiement au FICP en date du 5 novembre 2012 persiste à ce jour.
La Commission relève que les faits précités constituent un manquement aux dispositions de l'article 40 de la loi n°78-17 du 6 janvier 1978 modifiée qui dispose que "Toute personne physique justifiant de son identité peut exiger du responsable d'un traitement que soient, selon les cas, rectifiées, complétées mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées ou dont la collecte, l'utilisation, la communication ou la conservation est interdite".
La Commission relève enfin que ces faits sont susceptibles de constituer les infractions prévues à l'article R. 625-12 du code pénal qui prévoit qu' "Est puni de l'amende prévue pour les contraventions de la cinquième classe le fait, pour le responsable d'un traitement automatisé de données à caractère personnel, de ne pas procéder, sans frais pour le demandeur, aux opérations demandées par une personne physique justifiant de son identité et qui exige que soient rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant ou concernant la personne décédée dont elle est l'héritière, lorsque ces données sont inexactes, incomplètes, équivoques, périmées, ou lorsque leur collecte, leur utilisation, leur communication ou leur conservation est interdite".
Un manquement à l'obligation de coopérer avec les services de la CNIL
Par courrier en date du 4 février 2014, la Commission demandait à l'organisme, conformément à l'article 21 de la loi du 6 janvier 1978 modifiée, à défaut d'éléments nouveaux, de faire lever l'inscription de M. A au FICP et de [l]'en tenir informée dans un délai de quinze jours.
Dans son courrier de réponse du 14 février 2014, la banque a expressément informé la Commission que M. A ne faisait plus l'objet d'une inscription au FICP de sa part.
Or, la CNIL a constaté le 29 avril 2014 que l'inscription de l'incident de paiement précité persiste à ce jour.
Ces faits constituent un manquement aux dispositions de l'article 21 de la loi du 6 janvier 1978 modifiée qui prévoit que les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche.
En conséquence, et compte tenu des conséquences de l'inscription indue au FICP sur les droits de la plaignante, la société X, sise [...], est mise en demeure, sous un délai de cinq (5) jours, à compter de la notification de la présente décision et sous réserve des mesures qu'elle aurait déjà pu adopter, de :
- Procéder à la levée de l'inscription de l'incident de paiement en date du 5 novembre 2012 au FICP de M. A;
- Prendre toutes mesures afin de faciliter la tâche de la CNIL ;
- Justifier auprès de la CNIL que l'ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
A l'issue de ce délai, si la société X s'est conformée à la présente mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens.
A l'inverse, si la société X ne s'est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de prononcer l'une des sanctions prévues par l'article 45 de la loi du 6 janvier 1978 modifiée.
La Présidente,
Isabelle FALQUE-PIERROTIN