La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex Türk, président ;
Etaient aussi présents M. Guy Rosier, vice-président délégué, M. François Giquel, vice-président, Mlle Anne Debet, membre ; M. Hubert Bouchet, membre ; M. Bernard Peyrat, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ;
Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel modifiant la loi n° 78-17 du 6 janvier 1978 ;
Vu les articles L. 333-4 et suivants du Code de la consommation ;
Vu l'article L. 613-21 du Code monétaire et financier ;
Vu le règlement n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire et financière, relatif au Fichier des Incidents de remboursement des Crédits aux Particuliers (FICP) dans sa version antérieure aux modifications survenues le 26 février 2004 ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 90-29 du 6 mars 1990 portant avis sur la mise en oeuvre, par la Banque de France, d'un traitement automatisé d'informations nominatives relatif à la gestion d'un fichier des incidents de remboursement des crédits aux particuliers ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 87-25 du 10 février 1987 modifiée par la délibération n° 2004-098 du 9 décembre 2004 fixant le règlement intérieur de la CNIL ;
Vu les saisines n° 04003664 du 5 mars 2004 et n° 04011316 du 7 juillet 2004 ;
Vu les courriers reçus ou adressés par la CNIL les 5 mars 2004, 7 juillet 2004, 8 juillet 2004, 24 septembre 2004 annexés au rapport ;
Après avoir entendu, lors de la réunion du 31 mars 2005, M. Philippe Nogrix, Commissaire, en son rapport ;
Constate les faits suivants :
L'organisme de crédit X a fait procéder le 31 janvier 2001 à l'inscription de Madame A au Fichier National des Incidents de remboursement des Crédits aux Particuliers (FICP) géré par la Banque de France, en raison d'échéances impayées d'un crédit à la consommation.
Madame A a remboursé la totalité de ses dettes en juillet 2001. Pourtant, son défichage n'a eu lieu que le 16 octobre 2003. Elle est donc restée fichée de façon injustifiée pendant plus de deux ans.
Par ailleurs, Monsieur C a été inscrit au FICP en 1998 par X suite au non-règlement de plusieurs échéances d'un crédit à la consommation. L'intégralité de sa dette a été réglée en septembre 2000. Pourtant, la mainlevée de son inscription n'est finalement intervenue qu'en juin 2004 après plusieurs demandes en ce sens. Monsieur C est donc resté inscrit au FICP pendant près de quatre ans.
L'article 6 du règlement du Comité de la réglementation bancaire n° 90-05 du 11 avril 1990 relatif au FICP prévoit expressément que l'établissement de crédit signale à la Banque de France "le paiement des sommes dues". Ce signalement doit être effectué dans les meilleurs délais. Ainsi, cette disposition n'a pas été respectée par l'organisme de crédit X.
En outre, l'article 37 de la loi du 6 janvier 1978 (art. 6-4° et 40 de la loi nouvelle) énonce qu'"un fichier nominatif doit être corrigé même d'office lorsque l'organisme qui le tient acquiert connaissance de l'inexactitude d'une information nominative contenue dans ce fichier" et l'article 38 de la loi prévoit (art. 40 de la loi nouvelle) que "si une information a été transmise à un tiers, son annulation doit être notifiée à ce tiers". Ainsi, X n'a pas non plus respecté les dispositions de la loi du 6 janvier 1978.
Interrogé sur la saisine de Madame A, X a expliqué dans un courrier du 8 juillet 2004 que la demande de mainlevée n'avait pas été faite en raison d'un dysfonctionnement. X expliquait que son "système d'information ayant considéré qu'il restait encore un solde comptable débiteur, ce système n'avait pas demandé automatiquement la radiation auprès de la Banque de France". X a indiqué que la créance de Madame A était "soldée juridiquement en vertu du jugement", mais ne l'était pas "conformément aux conditions contractuelles paramétrées dans ses systèmes". Aussi, cette demande devait être faite manuellement.
X a finalement précisé dans ses observations reçues le 25 mars 2005 que le défichage tardif de Madame A était dû à un oubli du collaborateur en charge du dossier.
Concernant la saisine de Monsieur C, X a expliqué dans un courrier du 24 septembre 2004 que Monsieur C disposait d'un contrat de location automobile et d'un compte carte Peugeot.
Lors de la création de son dossier, un dysfonctionnement, relatif à une erreur dans l'enregistrement de la date de naissance sur l'un des deux financements, aurait entraîné la création de deux dossiers à son nom (un seul dossier aurait normalement dû être créé).
Le contrat de prêt relatif à sa carte Peugeot ayant fait l'objet de différents impayés, Monsieur C a été inscrit au FICP par X en 1998.
Par suite, une seconde erreur est intervenue : après vérification de la date de naissance de Monsieur C, X a procédé à la fusion de ses deux dossiers informatiques. A l'occasion de cette fusion, l'inscription de Monsieur C au FICP a disparu du dossier. En septembre 2000, à l'extinction de la dette, X n'a pas effectué la demande de radiation puisque l'inscription n'existait plus dans son dossier.
Dans ses observations reçues le 25 mars 2005, X précise que la création des deux dossiers résulterait de la mauvaise indication de la date de naissance par Monsieur C et produit, à l'appui de son argumentation, la copie de sa carte d'identité ainsi que de son permis de conduire dont les dates de naissance qui y figurent sont différentes.
Toutefois, X reconnaît qu'un dysfonctionnement informatique a entraîné la perte de l'information relative au fichage de Monsieur C au FICP, sans apporter de précisions sur la nature exacte de ce dysfonctionnement.
La Commission considère que si deux dossiers informatiques ont été créés à la suite d'une erreur éventuelle imputable à Monsieur C, il n'en reste pas moins que son inscription au FICP n'aurait pas dû disparaître lors de la fusion de ses deux dossiers. Cette seconde erreur n'est en aucune manière imputable à Monsieur C, puisqu'aux termes de l'article 29 de la loi du 6 janvier 1978 (dans sa version antérieure à la loi du 6 août 2004, soit art. 34 nouveau), il appartient à celui qui met en oeuvre un traitement d'en garantir la sécurité.
Dans les deux dossiers, l'organisme de crédit X n'a donc ni respecté les dispositions du règlement n° 90-05 précité, ni les prescriptions édictées par la loi du 6 janvier 1978, tant dans sa version antérieure à la loi du 6 août 2004 que dans sa version nouvelle.
Prend acte des différentes mesures évoquées dans ses observations écrites reçues le 25 mars 2005, et en particulier la tenue de réunions pour envisager des mesures correctrices mais n'indique aucune des mesures qui ont été prises suite à ces réunions. Par ailleurs X affirme avoir "sensibilisé ses collaborateurs et rappelé la "nécessité d'appliquer strictement le processus en place en matière de radiation du FICP suite au solde d'une créance conformément à une décision de justice".
Estime néanmoins que les mesures que X a évoquées dans ses courriers s'agissant de la sensibilisation de ses collaborateurs aux règles relatives au FICP n'excusent pas les manquements survenus en l'espèce ainsi que le manque de diligence avec lequel X a répondu aux demandes de ses clients, et semblent insuffisantes pour éviter que de tels faits ne se reproduisent à l'avenir.
En conséquence, décide de faire application des dispositions des articles 45 et 46 de la loi du 6 janvier 1978 modifiée et d'adresser un avertissement à l'organisme de crédit X, dont le siège social est situé [...] et de le rendre public ;
Décide aussi que, conformément aux dispositions de l'article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l'article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.
Le Président, Alex TURK.
Guy ROSIER, Vice-Président Délégué.