Délibération prononçant un avertissement à l'encontre de X
Nature: Sanction

La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TURK, président ;
Etant aussi présents M. Guy ROSIER, vice-président délégué, M. François GIQUEL, vice-président, M. Hubert BOUCHET, membre, Mlle Anne DEBET, membre et M. Bernard PEYRAT, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu les articles L. 131-85 et L. 613-21 du Code monétaire et financier ;
Vu le décret n° 92-456 du 22 mai 1992 pris pour l'application du décret du 30 octobre 1935 modifié par la loi n° 91-1382 du 30 décembre 1991 et relatif au refus de paiement des chèques et à l'interdiction d'émettre des chèques ;
Vu la saisine n° 06003050 ;
Vu le rapport de M. Philippe NOGRIX, commissaire, notifié à X le 20 octobre 2006 et les observations en réponse reçues le 20 novembre 2006.
Après avoir entendu, M. Philippe NOGRIX, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Après avoir entendu, lors de la réunion du 23 novembre 2006, les observations orales de M. A, directeur général de X et de M. B, responsable de la conformité de X, ceux-ci ayant pris la parole en dernier.
Constate les faits suivants
 :
La Commission nationale de l'informatique et des libertés a été saisie, le 14 février 2006, d'une plainte dirigée à l'encontre de X concernant l'absence de mainlevée de l'inscription du requérant au Fichier Central des Chèques (FCC) géré par la Banque de France.
Dans le cadre de l'exercice de sa mission de contrôle, la Commission a interrogé la Banque de France qui lui a confirmé que X avait procédé à l'inscription du requérant au FCC les 27 septembre et 2 octobre 2002.
Interrogée par les services de la Commission, X a indiqué, le 20 mars 2006, qu'après "étude de ce dossier, ... les incidents de paiement pour lesquels M. x était inscrit au Fichier Central des Chèques (FCC) ont été régularisés". Cette banque informait également la CNIL qu'elle avait procédé à la main-levée de ces inscriptions au FCC.
Toutefois, les services de la Commission ont adressé un nouveau courrier à X afin d'obtenir des précisions sur la date de la mainlevée et sur la raison pour laquelle cette inscription était toujours effective le 23 février 2006 alors même que le requérant avait régularisé sa situation en 2002.
Le 13 avril 2006, X a indiqué à la CNIL que "la mainlevée de l'inscription de M. x au Fichier Central des Chèques (FCC) a été effectuée le 16 mars 2006".
Cette banque précisait que "les conclusions de l'audit interne ... révèlent que le dossier de M. x n'a pas été traité avec toute la rigueur nécessaire. C'est une erreur de traitement en interne qui a conduit M. x à faire toujours l'objet, à tort, d'une inscription au FCC à la date du 23 février 2006".
Ces faits sont donc contraires à l'article 6-4° de la loi du 6 janvier 1978 modifiée qui dispose que les données doivent être "exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées".
Ces faits mettent aussi en cause les conditions dans lesquelles la sécurité des données sur les clients semble assurée par X alors que l'article 34 de la loi du 6 janvier 1978 modifiée dispose que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés (l'ensemble des établissements de crédit ayant communication des personnes physiques inscrites au FCC) y aient accès.
Ces faits sont enfin contraires aux dispositions de l'article 18 du décret n° 92-456 du 22 mai 1992 pris pour l'application de la loi du 30 décembre 1991 relatif au refus du paiement des chèques et à l'interdiction d'émettre des chèques.
En effet, cet article dispose que : "le tiré avise la Banque de France de la régularisation au plus tard le deuxième jour ouvré suivant la justification".
Or, X a avisé la Banque de France près de quatre ans après la régularisation du paiement effectuée par le requérant.
La Commission prend bonne note de l'ensemble des mesures de correction présentées par X tant dans ses observations en réponse du 20 novembre 2006 que lors de la présentation orale du 23 novembre 2006. Si la Commission considère que les garanties apportées sont de nature à éviter que les faits précités ne se reproduisent à l'avenir, elle considère néanmoins que celles-ci ne sont pas de nature à atténuer la gravité des manquements constatés et des conséquences qui en ont découlé pour la personne inscrite à tort au FCC.
En conséquence, la Commission décide de faire application des dispositions de l'article 45 de la loi du 6 janvier 1978 modifiée le 6 août 2004 et d'adresser un avertissement à X sise [...] qui sera rendu public sur le site internet de la CNIL.
La présente décision sera communiquée à la Commission bancaire.
Le président Alex TURK.