La commission nationale de l'informatique et des libertés,    Vu les articles 6, 17 et 21 (par. 1) de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés habilitant la commission nationale de l'informatique et des libertés à édicter, en vertu de son pouvoir réglementaire, des normes simplifiées concernant certains traitements automatisés d'informations nominatives ;    Considérant que pour l'application de l'article 17 susvisé, il faut entendre par norme simplifiée l'ensemble des conditions que doivent remplir certaines catégories les plus courantes de traitements pour être regardées comme ne comportant manifestement pas de risques d'atteinte à la vie privée et aux libertés et comme pouvant dès lors faire l'objet d'une déclaration simplifiée ;    Considérant que certains des traitements automatisés concernant la gestion, par les établissements bancaires ou assimilés, des crédits ou des prêts à des personnes physiques sont de ceux qui peuvent, sous certaines conditions, relever de l'article 17 susmentionné,
Décide :    Article 1er.    Les dispositions de la présente décision concernent les traitements automatisés d'informations nominatives relatifs à la gestion des établissements bancaires et assimilés.    Pour pouvoir faire l'objet de la procédure de déclaration simplifiée, ces traitements doivent :    Ne porter que sur des données objectives aisément contrôlables par les intéressés grâce à l'exercice du droit individuel d'accès ;    N'appliquer à ces données que des logiciels dont les résultats puissent être facilement contrôlés ;    Ne pas donner lieu à des cessions ou locations des informations contenues dans les fichiers de l'établissement, y compris celles relatives aux incidents de paiement ;    Ne pas donner lieu à des interconnexions ou échanges autres que ceux nécessaires à l'accomplissement des fonctions énoncées à l'article 2 ci-dessous ;    Comporter des dispositions propres à assurer la sécurité des traitements et des informations et la garantie des secrets protégés par la loi ;    Satisfaire en outre aux conditions énoncées aux articles 2 à 7 ci-dessous.
Article 2.    Finalité du traitement.    Le traitement ne doit pas avoir d'autres fonctions que :    a) La constitution et l'étude de mise en place du dossier de crédit ou de prêt, à l'exclusion du calcul automatisé de l'appréciation du risque ;    b) La gestion du crédit ou du prêt consenti ;    c) La sélection des clients pour réaliser des actions de prospection commerciale et de promotion liées exclusivement aux activités propres de l'établissement ;    d) L'exécution des obligations légales d'information.
Article 3.    Catégories d'informations traitées.    Dès lors que les dispositions de l'article 27 de la loi n° 78-17 du 6 janvier 1978 ont été respectées lors du recueil des informations traitées, celles-ci doivent relever seulement des catégories suivantes :    a) Identité : nom, prénoms, nationalité (exclusivement les mentions suivantes : français, étranger, ressortisssant C.E.E.), adresse postale, date, lieu de naissance, numéro du dossier de prêt, identité bancaire ;    b) Situation familiale : situation matrimoniale, état civil, situation professionnelle du conjoint, nombre de personnes à charge ;    c) Logement : statut d'habitation (propriétaire ou locataire) ;    d) Vie professionnelle : profession ou emploi occupé, ancienneté dans l'emploi ou dans la profession ;    e) Situation économique et financière : montant des ressources, caractéristiques du crédit, intérêts, commissions, assurances, garanties, montant des risques ;    f) Biens et services faisant l'objet du prêt ;    g) Les informations concernant la santé, fournies par l'emprunteur, dans le cas où une assurance garantissant le remboursement du prêt doit être souscrite et sous réserve du respect par les personnes concernées des dispositions prévues à l'article 378 du code pénal.
Article 4.    Durée de conservation.    Les informations nominatives nécessaires aux traitements automatisés tels que définis aux articles 1er, 2 et 3 ne doivent pas être conservées au-delà de la durée d'exécution du contrat pour lequel lesdites informations ont été collectées.    Toutefois, certaines de ces informations peuvent être conservées au-delà de la durée du prêt pour être utilisées, dans un délai n'excédant pas cinq ans à compter de la fin du contrat, à des fins de prospection commerciale. Ces informations sont, parmi celles énumérées à l'article 3 : nom, prénoms, nationalité, adresse postale, date et lieu de naissance, caractéristiques du crédit consenti. Les clients doivent alors, conformément aux dispositions des articles 26 et 27 de la loi, être informés que les données les concernant pourront être utilisées pour des actions commerciales et être mis en mesure de s'opposer à un tel traitement.    Si le contrat n'est pas conclu, la durée de conservation des informations collectées ne doit pas dépasser six mois.    La durée de conservation des données comptables ne doit pas excéder celle prévue par les dispositions du code de commerce relatives à la durée de conservation des livres et documents créés à l'occasion d'activités commerciales.
Article 5.    Destinataires des informations.    Peuvent seuls dans les limites de leurs attributions respectives être destinataires de certaines des informations :    Les personnels chargés de la gestion des crédits ou des prêts ;    Les supérieurs hiérarchiques de ces personnels ;    Les établissements bancaires ou assimilés liés contractuellement pour la gestion du crédit ou du prêt ;    Les entreprises d'assurances concernées par les opérations de crédit ou de prêt, dans le cadre de conventions spéciales avec les bénéficiaires ;    Les organismes apporteurs ;    Les entreprises extérieures liées contractuellement pour l'exécution du contrat ;    Les caisses d'allocations familiales, les caisses de mutualité sociale agricole (tiers payant) ;    Les auxiliaires de justice et officiers ministériels dans le cadre de leurs missions de recouvrement des créances ;    Les agents habilités de la direction générale des impôts, de la direction générale des douanes, de la Banque de France et les divers organismes publics habilités à les recevoir ;    Les services chargés du contrôle (commission bancaire, commissaire aux comptes, audit, les services chargés des procédures internes de contrôle) ;    Les co-obligés (tiers, cautions).
Article 6.    Autres enregistrements et traitements    Les traitements dont les finalités sont autres que celles définies à l'article 2 ci-dessus ou qui comportent l'enregistrement d'informations non énumérées à l'article 3 ou qui aboutissent à la transmission d'informations à des destinataires autres que ceux définis à l'article 5 doivent faire l'objet de demandes d'avis ou de déclarations ordinaires, selon qu'ils relèvent des articles 15 ou 16.    Les demandes d'avis ou les déclarations ordinaires peuvent être effectuées selon un modèle établi en concertation entre la C.N.I.L. et les associations représentatives des établissements de crédit.