(demande d’autorisation n° 8032V1)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 10 et 25 ;
Vu le code monétaire et financier, en particulier les articles L. 141-1 à L. 141-6, L. 142-9, L. 142-10, L. 144-1 et L. 144-5 ;
Vu le décret n° 2009-198 du 18 février 2009 relatif à la durée de diffusion par la Banque de France des informations afférentes aux dirigeants et aux entrepreneurs ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007, et notamment son article 103 ;
Vu l’arrêté du 20 février 2007 relatif aux exigences de fonds propres applicables aux établissements de crédit et aux entreprises d'investissement ;
Vu le règlement n° 86-08 du 27 février 1986 modifié du Comité de la réglementation bancaire et financière, relatif à la centralisation des incidents de paiements et l’instruction de la Banque de France n° 3-86 du 28 août 1986 prise pour son application ;
Vu le règlement n° 86-09 du 27 février 1986 modifié du Comité de la réglementation bancaire et financière, relatif à la centralisation des risques et l’instruction de la Banque de France n° 1-93 du 25 janvier 1993 prise pour son application ;
Vu le contrat de service public entre l’Etat et la Banque de France pour la période 2007-2009 ;
Sur le rapport de M. Jean-Paul AMOUDRY, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :²
La Banque de France (BDF) a saisi la CNIL d’une demande d’autorisation relative aux modifications apportées au fonctionnement du FIchier Bancaire des ENtreprises non financières (FIBEN), automatisé depuis 1976 et administré par la direction des entreprises de la BDF.
Les modifications apportées au traitement, qui sont pour partie liées à la prise en compte du nouveau cadre prudentiel applicable aux établissements de crédit en vertu des accords Bâle II, portent sur les conditions d’utilisation des données qui sont diffusées, le système de cotation des entreprises et de leurs dirigeants, la durée de conservation des données traitées et les garanties mises en place.
Dès lors, la Commission est appelée à se prononcer sur l’ensemble des caractéristiques du fichier FIBEN telles qu’elles se présentent à ce jour.
Sur la procédure applicable
La Commission souligne que la consultation des informations réunies et synthétisées dans FIBEN sous la forme de « cotes de crédit » et de scores, pour celles qui concernent les entreprises, et d’indicateurs, pour celles relatives aux dirigeants d’entreprise et entrepreneurs individuels, peut conduire certains de leurs destinataires, en particulier les établissements de crédit, à suspendre leurs relations contractuelles avec certaines des personnes concernées.
Le traitement peut ainsi conduire à exclure des personnes physiques du bénéfice d’une prestation ou d’un contrat en l’absence de toute disposition légale prévoyant une telle exclusion.
Dès lors, le traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978. Il convient, par voie de conséquence, de soumettre la modification de FIBEN à l’autorisation préalable de la CNIL.
La Commission rappelle que, conformément à la loi du 6 janvier 1978 modifiée, la présente délibération définit dorénavant les conditions de mise en œuvre de FIBEN, en lieu et place de l’arrêté du Conseil général de la Banque de France du 10 septembre 1987.
Sur les finalités du traitement
FIBEN a pour objet, d’une part, de collecter, centraliser et valoriser des informations portant sur les entreprises non financières, domiciliées en France métropolitaine, dans les départements d’outre-mer (DOM) ou dans la Principauté de Monaco, et sur leurs dirigeants, d’autre part, de les communiquer aux établissements de crédit et à certains services et organismes publics.
La Commission prend acte que le contrat de service public signé entre l’Etat et la Banque de France pour la période 2007-2009 mentionne, parmi les missions attribuées à la BDF, « la production et la diffusion d’informations sur les entreprises fondées sur des analyses de bilans et de risques et l’attribution d’une “cotation” (expression d’une appréciation globale et synthétique sur le degré de solidité financière ou de vulnérabilité d’une entreprise) », qui s’effectuent par le biais de FIBEN.
La Commission note que les informations enregistrées dans FIBEN peuvent être utilisées pour les finalités suivantes :
- Faciliter la surveillance par les établissements de crédit de la solidité de leurs créances sur les entreprises non financières au titre du contrôle prudentiel qu’ils doivent mettre en place conformément aux accords Bâle II, en leur proposant une appréciation de la valeur de ces créances bancaires qui soit conforme aux standards internationaux ;
- Apporter aux établissements de crédit une aide au calcul de leurs besoins de fonds propres en fonction de leurs engagements à l’égard de la clientèle professionnelle ;
- Identifier les créances des établissements de crédit sur les entreprises non financières qui  peuvent, du fait de leur qualité, être utilisées pour garantir leurs opérations de refinancement  auprès de l’Eurosystème des banques centrales ;
- Permettre aux dirigeants d’entreprise et entrepreneurs individuels, d’une part, d’identifier les facteurs qui vont influer sur l’analyse de leur situation financière, d’autre part, de connaître le positionnement de leur entreprise sur une échelle de risque de défaillance ;
- Favoriser le dialogue entre les entreprises non financières et les établissements de crédit en proposant une analyse de référence, qui leur soit commune, de la situation financière de ces entreprises et de leur niveau de risque de crédit ;
- Mettre à la disposition du Secrétariat général de la Commission bancaire une documentation utile à l’exercice des contrôles qu’il réalise au titre de la surveillance du bon fonctionnement du système bancaire ;
- Réaliser des études sur le comportement financier des entreprises précitées ;
- Apporter aux établissements de crédit une aide à la décision en matière d’octroi de crédit aux entreprises et d’évaluation de la qualité de leurs prospects professionnels ;
- Apporter à certains services et organismes publics spécialement habilités une aide lors de l’instruction des demandes d’aide publique, ainsi que dans le cadre du traitement des difficultés des entreprises ou la passation de marchés publics.
La Commission note en particulier que la BDF a obtenu en 2007 le statut d’« organisme externe d’évaluation du crédit » qui atteste que son système de cotation des entreprises non financières respecte les standards internationaux d’un système d’évaluation du risque de crédit.
Il résulte de ce qui précède que les données diffusées dans le cadre de FIBEN ne sauraient être utilisées à d’autres fins que l’évaluation financière des forces et faiblesses des entreprises ; qu’en particulier, leur prise en compte lors de l’examen d’une demande de crédit présentée par une personne physique pour des besoins non professionnels est prohibée.
Sur la liste des catégories de données enregistrées dans FIBEN et leur durée de conservation et de diffusion
La Commission rappelle, à titre préalable, que les données enregistrées dans FIBEN ont un caractère personnel lorsqu’elles concernent des personnes physiques identifiées ou identifiables de manière directe – telles que les données relatives aux dirigeants d’entreprises, aux entrepreneurs individuels, aux sociétés unipersonnelles - ou indirecte – telles que les données prises en compte lors du calcul des indicateurs attribués aux personnes physiques précitées.
Les données traitées sont collectées, souvent dans le cadre de processus en grande partie automatisés, auprès de l’INSEE, des GIE des greffes de tribunaux de commerce, des journaux d’annonces légales, des établissements de crédit et de l’entreprise concernée. Le nombre et le degré de précision de ces informations sont fonction de la taille de l’entreprise et du niveau de risque de crédit qu’elle représente pour les établissements de crédit.
Les informations traitées peuvent concerner :
- les noms de famille, prénoms, surnom, sexe, date et lieu de naissance et domicile des personnes physiques ; un identifiant interne à la BDF ; les nom et prénom de leur conjoint ;
- la dénomination sociale, l’adresse du siège social, la catégorie juridique, le n° SIREN, la date de création, le capital, l’activité, les enseignes et les dénominations commerciales de l’entreprise ;
- pour les seules entités non résidentes : le numéro national d’identification ;
- les effectifs, le chiffre d’affaires net et à l’export, sur sept ans ;
- la « cote d’activité », qui est fonction du dernier chiffre d’affaires connu ;
- la « cote de crédit » de l’entreprise, ses motifs déterminants, ses dates d’attribution et de dernière mise à jour ;
- au-delà d’un certain seuil de chiffre d’affaires ou de montant de crédits bancaires : les documents comptables et financiers de l’entreprise, consultables via FIBEN pendant trois ans, et les éventuels comptes consolidés, consultables pendant deux ans ;
- des renseignements sur la politique de transparence de l’entreprise, notamment à l’égard de ses bailleurs de fonds ;
- le « score BDF », calculé pour certains secteurs d’activité, actualisé chaque année, qui mesure l’exposition de l’entreprise au risque de défaillance et qui est le fruit d’une étude statistique des ratios économiques et financiers opposant les entreprises défaillantes aux autres ;
- les principales participations de l’entreprise ;
- la liste des relations bancaires de l’entreprise ;
- les encours de crédits mobilisés, les crédits mobilisables et les garanties que les établissements de crédit ont l’obligation de déclarer à chaque fin de mois ou trimestre ; ces données sont consultables pendant 13 mois ;
- les incidents de paiement portant sur des effets de commerce (montant, date d’échéance, créancier, motif) que les établissements de crédit ont l’obligation de déclarer ; ils sont consultables pendant 60 semaines ;
- les arriérés URSSAF, au besoin ;
- les principaux dirigeants actifs de l’entreprise et les anciens dirigeants ayant cessé leur activité durant les dernières années avec, pour chacun d’eux, la fonction exercée, les dates de prise et de cessation de fonction et un « indicateur Dirigeant » ;
- les associés indéfiniment et solidairement responsables ;
- les jugements rendus par les juridictions commerciales et les juridictions civiles statuant en matière commerciale ;
- d’autres informations de type descriptif : établissements exploités, cessation d’activité, perte de la moitié du capital social, dissolution, radiation du registre du commerce et des sociétés…
Conformément au décret du 18 février 2009 susvisé, les données de FIBEN relatives aux dirigeants d’entreprise et entrepreneurs individuels ne peuvent pas, à compter du 1er octobre 2009, être communiqués à des tiers au-delà :
- d’une durée de deux ans,  pour les données relatives à l’ouverture d’une procédure de sauvegarde ou de redressement judiciaire ;
- de la durée du plan de sauvegarde ou de redressement,  pour les données relatives à ces plans ;
- de la durée de la faillite personnelle ou de l’interdiction de gérer prononcées sur le fondement des articles L. 653-1 et suivants du code de commerce, pour les données relatives à ces mesures ;
- d’une durée de trois ans à compter de la cessation de la fonction de dirigeant ou de l’exercice de l’activité d’entrepreneur, pour les données relatives à ces événements ;
- d’une période de quatre ans après l’intervention de l’événement auquel elles se rapportent, pour les autres informations.
Ces durées devront être prises en compte pour la fixation de la durée de diffusion des indicateurs Dirigeant lorsque leur valeur tient compte des événements mentionnés dans le décret.
La Commission observe, par ailleurs, que les données relatives aux dirigeants et entrepreneurs individuels peuvent être conservées par la BDF dans FIBEN pendant une durée plus longue, qui peut actuellement atteindre 15 ans, pour permettre l’application des règles d’attribution des indicateurs et la réalisation d’études statistiques. Ce délai maximum a vocation à être réduit à terme, afin de tenir compte de la réduction des délais de diffusion prévue par le décret du 18 février 2009.
La Commission estime que la nature des jugements enregistrés dans FIBEN, la « cote de crédit » des entreprises et l’« indicateur Dirigeant » justifient d’un examen spécifique. Les autres catégories de données et leur durée de conservation inscrites dans le dossier transmis à la CNIL sont adéquates, pertinentes et non excessives au regard des finalités de FIBEN et n’appellent pas d’observation particulière.
Sur les décisions de justice prises en compte dans FIBEN
La Commission prend bonne note que FIBEN ne diffuse aucun jugement frappé d’appel - à moins qu’il ne soit assorti d’une mesure d’exécution provisoire -, aucune décision de justice amnistiée ; que sont également exclus les condamnations, faits ou décisions en rapport avec une procédure pénale.
De même, l’attribution d’une « cote de crédit » aux entreprises ou d’un indicateur aux dirigeants ne tient compte que des décisions judiciaires définitives ou assorties de l’exécution provisoire, à l’exclusion des décisions de justice amnistiées et des condamnations, faits ou décisions en rapport avec une procédure pénale.
Sur le système de cotation des entreprises non financières
Toute entreprise non financière mentionnée dans FIBEN, y compris les plus petites, fait l’objet d’une « cote de crédit », arrêtée par la BDF selon une échelle comportant treize gradations (0, 3++, 3+, 3, 4+, 4, 5+, 5, 6, 7, 8, 9, P). Elle constitue un outil de mesure et de suivi du risque de crédit de l’entreprise.
L’évaluation du risque de crédit est définie, dans le cadre de FIBEN, comme une appréciation globale de la capacité de l’entreprise à honorer ses engagements financiers à l’horizon des trois prochaines années. Elle n’est pas réalisée à la demande de l’entreprise concernée et n’est diffusée qu’auprès de la communauté bancaire, de certains services de la BDF ou en charge du contrôle bancaire et de quelques services et organismes publics.
La « cote de crédit » tient compte de l’ensemble des renseignements juridiques, économiques et financiers disponibles ou recueillis par la BDF, en particulier :
- de l’appréciation de l’environnement économique et financier de l’entreprise, sur la base de la collecte de renseignements objectifs (secteur d’activité, filiales, entreprises en relation avec elle…), d’agrégats et de ratios financiers,
- de l’identité des personnes qui y exercent une fonction de direction et de leurs antécédents tels que les jugements ou sanctions personnelles prononcés à leur encontre en matière commerciale,
- des événements marquants de la vie de l’entreprise,
- des éventuels facteurs de fragilité identifiés (incidents de paiement sur effet de commerce, jugements prononcés…),
- pour les entreprises les plus importantes dont la « cote de crédit » inclut une analyse détaillée de la situation financière : les documents comptables sociaux enregistrés dans FIBEN.
La Commission souligne que le choix de la « cote de crédit » et sa durée de validité avant réexamen systématique de sa valeur tiennent compte, lorsqu’il y a lieu, non seulement, de l’existence d’incidents de paiement mais aussi de leur motif.
La « cote de crédit » est attribuée, sous la responsabilité du directeur local de la BDF, par un analyste qui est l’interlocuteur habituel de l’entreprise. Pour être validée, elle doit être soumise à l’examen contradictoire d’un second analyste ou d’un comité de cotation.
Toutefois, pour les cas les plus simples, le premier niveau du processus de cotation est assuré par un applicatif d’assistance à la cotation des entreprises (ASCOT) qui reprend les règles d’analyse des entreprises définies par la BDF. La proposition de cotation qui en résulte doit cependant être validée par un analyste. Lorsque la cote retenue par l’analyste ne correspond pas à la proposition de cotation, elle doit être spécialement argumentée.
Chaque « cote de crédit » inscrite dans FIBEN est assortie d’éléments justificatifs.
La BDF a adopté et rendu public un code de conduite pour l’activité de cotation des entreprises qui expose les règles que ses analystes doivent respecter. Il en résulte que la « cote de crédit » doit être systématiquement transmise aux responsables de l’entreprise :
- lorsqu’une documentation comptable et financière a été analysée par la BDF ;
- en l’absence de documentation comptable, en cas d’attribution d’une « cote de crédit » non neutre.
Cette communication est assortie d’une proposition écrite d’entretien pour expliquer les motifs qui ont conduit à retenir la cote ou l’indicateur, conformément à l’article 10 de la loi du 6 janvier 1978.
Plus généralement, tout représentant légal d’une entreprise peut demander, à tout moment, à obtenir des explications sur la « cote de crédit » de son entreprise, dans le cadre d’un entretien personnalisé.
Les « cotes de crédit » sont vérifiées et, si nécessaire, actualisées chaque fois qu’une nouvelle information significative est intégrée dans FIBEN, notamment lorsqu’elle a été transmise par le dirigeant de l’entreprise, ou qu’une donnée non pérenne dépasse la durée de validité qui lui était assignée. Les analystes bénéficient d’une assistance informatique pour faciliter le respect de ces règles.
La Commission observe que s’il doit, en toute hypothèse, être procédé au réexamen des « cotes de crédit » au moins tous les deux ans, celui-ci intervient au terme d’un délai de 6 mois pour les entreprises cotées 7, 8 et 9, qui sont ainsi placées sous une surveillance particulière.
Sur l’indicateur affecté aux dirigeants d’entreprise et aux entrepreneurs individuels
Un « indicateur Dirigeant » (000, 040, 050 ou 060) est attribué aux entrepreneurs individuels et aux personnes physiques qui exercent une fonction de direction dans une société, notamment les associés majoritaires des sociétés de personnes.
De même que la cotation des entreprises, l’« indicateur Dirigeant » est le fruit d’un travail d’analyse d’expert et non d’un processus automatisé.
Il est exempt de tout jugement de valeur sur les capacités de gestionnaire de la personne physique concernée et ne constitue qu’une synthèse des données objectives recueillies sur un dirigeant et ses entreprises, en particulier les décisions judiciaires de nature commerciale enregistrées aux greffes des tribunaux de commerce et dans FIBEN. Il tient compte des mesures judiciaires qui ont été prises, de leur nombre, de leur gravité et de leur ancienneté. La période retenue à cette occasion est limitée aux trois dernières années, sauf en présence de plans de sauvegarde ou de redressement, d’interdictions de gérer et de faillites personnelles.
Pour les exploitants individuels, l’« indicateur Dirigeant » de l’entrepreneur et la cotation de l’entreprise sont, le plus souvent, directement fonction l’un de l’autre.
La Commission note que, lorsque l’indicateur 040 (« les données recueillies appellent une attention particulière ») est attribué à une personne physique au titre de ses fonctions dans une société en  liquidation judiciaire, il n’est diffusé dans FIBEN que pendant trois ans après les faits et n’a aucun impact sur la « cote de crédit » des autres entreprises dirigées.
L’« indicateur Dirigeant » est systématiquement communiqué à la personne concernée lorsque les renseignements recueillis par la Banque de France appellent au moins une « attention particulière » du fait de ses précédentes ou actuelles fonctions de direction dans une ou plusieurs sociétés en liquidation judiciaire ou qui font l’objet d’une « cote de crédit » défavorable. Il en va de même lorsqu’un indicateur défavorable est modifié.
Les personnes concernées pourront ainsi demander à prendre connaissance de l’ensemble des informations les concernant inscrites dans FIBEN et, s’il y a lieu, les contester auprès de la succursale de la BDF territorialement compétente.
La Commission note que les modalités d’information des personnes concernées et de proposition d’un entretien ou d’informations complémentaires sont de même nature en présence d’une « cote de crédit » défavorable ou d’un « indicateur Dirigeant » différent de 000.
Par ailleurs, la Commission prend acte que la BDF s’engage à exploiter tout élément objectif porté à sa connaissance par un dirigeant d’entreprise à l’appui d’une demande de révision de son indicateur. La décision de modification de l’indicateur du requérant sera prise par la direction des entreprises de la BDF.
Sur les destinataires des données
Seuls peuvent avoir communication de tout ou partie des données de FIBEN, sur demande préalable ou de façon systématique, selon leurs besoins :
- les agents habilités de la direction des entreprises de la Banque de France ;
- au sein du réseau de la BDF, les analystes et les personnels habilités des succursales départementales et des antennes économiques ;
- les agents habilités des services de la BDF et de la Commission Bancaire en charge du contrôle bancaire ;
- les agents habilités des services de la BDF chargés de la politique monétaire, de la surveillance de la filière fiduciaire et du suivi de l’économie des territoires et des bassins d’emploi ;
- les membres de l’inspection générale dans le cadre de leurs missions de contrôle ;
- l’Institut d’émission des départements d’outre-mer (IEDOM) ;
- les établissements de crédit, sous réserve qu’ils aient souscrit un contrat d’adhésion à FIBEN, pour leurs seuls agents habilités à intervenir au titre d’une ou plusieurs des finalités du traitement susmentionnées et pour ces seules finalités ;
- certains organismes publics chargés d’examiner des demandes d’aide publiques, de traiter des difficultés des entreprises ou de passer des marchés publics, sous réserve d’une habilitation particulière et sous condition d’un strict cantonnement de leurs interrogations.
La liste des destinataires des données n’appelle pas d’observations particulières.
La Commission rappelle que l’ensemble de éléments contenus dans FIBEN sont couverts par le secret professionnel et ne peuvent, en aucun cas, être communiqués à des tiers non autorisés, tels que les agences de renseignement et les assureurs-crédit.
Sur les autres droits des personnes figurant dans FIBEN
Les personnes physiques ou les représentants légaux des personnes morales peuvent obtenir communication, sur place ou par écrit, de l’ensemble des informations enregistrées dans leur dossier en s’adressant, à Paris, à la direction des entreprises de la Banque de France ou, en région, à l’une de ses unités ou, dans les départements d’outre-mer, à une agence de l’IEDOM. Lorsque la demande est présentée au guichet d’une succursale départementale, la communication des données est immédiate. Lorsqu’elle est présentée par écrit, il y est répondu dans les 10 jours ouvrables suivant la réception de la demande.
Les mêmes personnes peuvent également exercer le droit de rectification dans les mêmes conditions. Cependant, si les données contestées proviennent d’un établissement ou organisme déclarant, seul ce dernier peut procéder aux rectifications nécessaires.
Autorise la Banque de France à mettre en œuvre selon les modalités susmentionnées le Fichier bancaire des entreprises non financières.