La Commission nationale de l'informatique et des libertés ;
Saisie par le Comité des établissements de crédit et des entreprises d'investissement (CECEI) d'une demande d'avis relative à la mise en oeuvre d'un traitement automatisé de données nominatives dénommé "FIDEC" ayant pour finalité la centralisation d'informations susceptibles de permettre d'apprécier l'expérience, la compétence et l'honorabilité des dirigeants et actionnaires personnes physiques des établissements de crédit et des entreprises d'investissement ;
Vu la Convention du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le code monétaire et financier, notamment ses articles L. 511-9 à L. 511-20, L. 532-1 à L. 532-10 à L. 532-13, L. 612-1 à L. 612-7 et L. 631-1 à L. 632-1 ;
Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 précitée ;
Vu le projet de décision du président du Comité des établissements de crédit et des entreprises d'investissement ;
Après avoir entendu Monsieur Pierre LECLERCQ, commissaire, en son rapport et Madame Charlotte-Marie PITRAT, commissaire du gouvernement, en ses observations;

Le Comité des établissements de crédit et des entreprises d'investissement (CECEI) a saisi la Commission d'une demande d'avis relative à la mise en oeuvre d'un traitement automatisé de données nominatives dénommé "FIDEC" ayant pour finalité la centralisation d'informations susceptibles de permettre d'apprécier l'expérience, la compétence et l'honorabilité des dirigeants et actionnaires personnes physiques des établissements de crédit et des entreprises d'investissement ;
Le CECEI est chargé de délivrer l'agrément que les établissements de crédit et entreprises d'investissement doivent obtenir, conformément aux dispositions de l'article L. 532-1 du code monétaire et financier, pour pouvoir exercer leurs activités.
A cette fin, il vérifie, aux termes mêmes de l'article L. 511-10 du code monétaire et financier, que les dirigeants des établissements de crédit possèdent à tout moment l'honorabilité et la compétence nécessaires, ainsi que l'expérience adéquate à leurs fonctions.
Dans le cadre de sa mission de surveillance et de contrôle, le CECEI est amené à collaborer avec la Commission bancaire (CB), s'agissant du respect, par les prestataires de services d'investissement des dispositions législatives et réglementaires qui leur sont applicables (article L. 613-1 du code monétaire et financier), avec la Commission des opérations de bourse (COB), s'agissant des services de gestion de portefeuille (article L. 621-22 du même code), et avec le Conseil des marché financiers (CMF), s'agissant des conditions d'exercice, par les prestataires de services d'investissement, de leur activité (article L. 622-7).
En outre, le CECEI est l'interlocuteur unique des entreprises demanderesses : il reçoit les dossiers de demande d'agrément et leur réclame, le cas échéant, les compléments d'information nécessaires avant de les transmettre aux autres autorités compétentes. C'est à ce titre de "guichet unique" qu'il procède à la déclaration du traitement projeté.
Le traitement envisagé recensera les informations nominatives suivantes : l'état civil (noms patronymique et usuel, prénoms, sexe, date et lieu de naissance, nationalité, adresse personnelle, nom et prénoms des parents), le curriculum vitae (expérience professionnelle et, éventuellement, diplômes), les références du questionnaire rempli à l'appui de la demande d'agrément (références, date, existence éventuelle d'informations significatives), références des dossiers d'instruction de candidatures formulées antérieurement auprès du CECEI, existence de sanctions ou décisions défavorables non amnistiées et notifiées à l'intéressé émanant du CECEI, de la CB, du CMF, de la COB ou du CDGF, constatation d'une transmission de renseignement inexacts auprès de l'une de ces cinq autorités, mention d'un retrait de candidature auprès du CECEI, du CMF ou de la COB, références de procès-verbaux mettant fin aux fonctions d'un dirigeant, retrait agrément d'office ou initié par le CECEI, le CMF ou la COB, mention des ordres donnés par la CB de procéder à des publications rectificatives de comptes présentant des inexactitudes ou des omissions, mention d'avis défavorable par la CB à la désignation d'un commissaire aux comptes, références des documents dont une des cinq autorités a prévu l'inscription dans la base.
Ces informations apparaissent pertinentes au regard de la finalité du traitement.
S'agissant des données collectées directement auprès des personnes, les intéressés sont informés, par le questionnaire de demande d'agrément, du fondement juridique de la collecte, du caractère obligatoire des réponses à fournir, des organismes destinataires (CECEI, CB, Banque de France, CMF et COB), de la possibilité d'exercer leur droit d'accès et de rectification auprès de la direction des établissements de crédit et des entreprises d'investissement de la Banque de France, ainsi que du délai et de la forme de la réponse à leur demande de droit d'accès.
Sur ce point, la Commission rappelle que si, pour des raisons pratiques, le droit d'accès au fichier du CECEI peut s'exercer dans les locaux de la Banque de France, regardée comme sous-traitant, c'est à la condition expresse que cette consultation soit effectuée sous la responsabilité du président du CECEI organisme déclarant et responsable juridique du traitement au sens de la loi du 6 janvier 1978.
S'agissant des informations collectées indirectement, celles-ci ne seront enregistrées qu'après avoir été notifiées aux intéressés ou après qu'ils auront été mis en mesure de présenter des observations écrites.
Le CECEI a souhaité exclure, en application de l'article 26 de la loi, la possibilité pour les intéressés de s'opposer à ce que des informations nominatives les concernant soient saisies et traitées dans le fichier projeté. Cette demande paraît pertinente compte tenu de la finalité poursuivie.
La base FIDEC sera interconnectée avec la base de données des agents financiers (BAFI), déclarée par la Banque de France le 16 octobre 1991 et ayant fait l'objet d'un avis favorable de la CNIL en date du 8 avril 1992.
En outre, afin de connaître la cotation des entreprises concernées et de leurs dirigeants, l'inscription dans la base FIDEC donnera lieu à une consultation automatique du fichier bancaire des entreprises (FIBEN), déclaré le 27 février 1981 auprès de la Commission et qui a fait l'objet de plusieurs modifications depuis l'avis favorable rendu le 7 juillet 1987.
La durée de conservation des informations nominatives traitées est soit de 20 ans, s'agissant de l'état civil et du curriculum vitae des intéressés, soit de 15 ans pour ce qui concerne les autres informations collectées. Dans la mesure où l'objet même de la base projetée est d'empêcher des dirigeants ou des actionnaires d'établissements de crédit ou d'entreprises d'investissement qui se seraient signalés négativement de pouvoir diriger à nouveau une société de ce type, cette durée n'apparaît pas excessive.
Afin de pouvoir disposer de l'ensemble des éléments et documents lui permettant d'apprécier l'honorabilité des dirigeants et la qualité des actionnaires des établissements de crédit et des entreprises d'investissement, le CECEI a souhaité obtenir communication du bulletin n° 2 du casier judiciaire, comme d'ailleurs la CB, la COB et le CMF.
Le contenu du casier ne sera pas stocké dans FIDEC et seule la réponse électronique du casier y figurera sous la forme "casier vierge", "réponse par courrier" ou "erreur dans la demande". Cette réponse sera conservée deux mois dans la base.
Sur ce point, la Commission demande dans un souci de clarté que les formules "casier vierge" et "réponse par courrier" soient remplacées par "néant au bulletin n° 2" et "inscription au bulletin n° 2".
S'agissant de la conservation des bulletins sur support papier, la Commission demande que le CECEI s'engage à interroger le casier judiciaire lors de l'examen de chaque demande d'agrément et qu'un bulletin du casier judiciaire demandé par le passé ne puisse être utilisé dans l'instruction d'une demande nouvelle.
Plusieurs autorités (CB, CMF, CDGF et COB) ont vocation, à raison de leurs responsabilités, à avoir accès à ce traitement. Cette possibilité de communication trouve son fondement juridique dans les dispositions de l'article L. 631-1 du code monétaire et financier.
L'organisme déclarant (CECEI) et les différents destinataires mentionnés dans le projet de décision portant création du traitement (CB, CMF, COB et CDGF) sont tenus au secret professionnel en vertu des dispositions du même code.
Le fonds de garantie des dépôts, institué par l'article L. 312-4 du code monétaire et financier, ainsi que les autorités étrangères, figurent au nombre des destinataires des informations de la base FIDEC, mais n'auront pas un accès direct, sous forme électronique, au traitement. Il appartiendra à leur personnel, pour l'exercice de leurs missions, de s'adresser au CECEI ou à l'une des quatre autorités ayant accès au traitement.
La transmission, par le CECEI, d'informations à des autorités de surveillance étrangères trouve son fondement dans l'article L. 612-6 du code monétaire et financier et n'est possible qu'à la condition, notamment, que cette possibilité de communication soit réciproque et que le personnel de ces autorités soient soumis au secret professionnel.
EMET, AU BENEFICE DE CES OBSERVATIONS, un avis favorable au projet de décision du président du CECEI portant création de la base "FIDEC".
Le Président, Michel GENTOT.