Délibération n° 2014-216 du 6 mai 2014 autorisant la Chambre nationale des commissaires-priseurs judiciaires (CNCPJ)  à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un fichier nominatif des incidents de paiement.
Nature: Autre autorisation

(Demande d’autorisation n° 1712658)
La Commission nationale de l'informatique et des libertés,
Saisie par la Chambre nationale des commissaires-priseurs judiciaires d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un fichier  nominatif des incidents de paiement;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Chambre nationale des commissaires-priseurs judiciaires (ci-après « CNCPJ ») est un établissement d’utilité publique créé par l’ordonnance n°45-2593 du 2 novembre 1945.
Sur la finalité
La Chambre nationale des commissaires-priseurs judiciaires a saisi la Commission nationale de l’informatique et des libertés d’un projet de traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un fichier  nominatif recensant les incidents de paiement intervenus à l'occasion des ventes aux enchères publiques judiciaires des commissaires-priseurs judiciaires et des ventes volontaires aux enchères publiques des opérateurs de ventes agréés (ci après « opérateurs ») qui lui sont affiliés.Le traitement a pour objet d’identifier les adjudicataires n’ayant pas réglé le montant du bien acquis aux enchères réalisées à distance ou en salle afin de prévenir les risques d’impayés. L’incident de paiement peut résulter d’un moyen de paiement insuffisamment provisionné ou d’un paiement frauduleux.Le fichier est mutualisé entre les commissaires-priseurs judiciaires et les opérateurs de ventes volontaires. Ces derniers pourront refuser l’enchère d’une personne enregistrée dans ledit fichier.Il y a donc lieu, en l’espèce, de faire application de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée  qui soumet à autorisation préalable de la CNIL les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.La mise en œuvre d’un signalement suivra les principales étapes chronologiques suivantes.A défaut de paiement à l’issue de la vente, le commissaire-priseur ou l’opérateur de ventes agréées (ci-après « le professionnel »)  adresse une mise en demeure à l’adjudicataire défaillant, conformément à l’article L.321-14 du Code de commerce.A la suite de cette mise en demeure, si l’adjudicataire ne s’acquitte pas du prix du bien acheté, le professionnel l’informe, par courrier recommandé, que le non-paiement au terme d’un délai de quinze jours entraînera son inscription au fichier des incidents de paiement.En l’absence de régularisation par l’adjudicataire, le professionnel signale l’incident de paiement à la CNCPJ, qui procède à son inscription dans le fichier d’impayés après vérifications des documents prouvant la créance du débiteur. Dans le même temps, l’intéressé est informé de cette inscription par courrier recommandé de la CNCPJ. Si l’adjudicataire conteste l’impayé, la CNCPJ analyse les justificatifs de la contestation produits par l’adjudicataire et se prononce sur le bien-fondé de la contestation. Elle informe l’adjudicataire défaillant de sa décision par courrier recommandé ainsi que le commissaire-priseur, auteur du signalement, par tous moyens. La CNCPJ peut suspendre provisoirement l’inscription le temps des vérifications.La Commission considère la finalité poursuivie comme déterminée, explicite et légitime. 
Sur les données traitées
Les catégories de données contenues dans le fichier sont les suivantes :
identification de l’adjudicataire défaillant : nom, prénom, date et lieu de naissance, adresse ;
lieu, date, nature de chaque incident ;
données relatives à la vente ayant donné lieu à l’incident ;
moyen de paiement utilisé si frauduleux (n° de chèque, 4 derniers chiffres de la carte de paiement) et identité(s) y associées ;
identification du commissaire-priseur ou de l’opérateur de vente agréé auteur du signalement : nom, prénom, adresse.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Des personnes habilitées seront désignées dans chaque étude et auront seules la tâche d’éditer, de consulter, de modifier et de supprimer les dossiers édités par l’étude. Elles pourront seules consulter la base de données des acquéreurs défaillants. Les éditions, modifications ou suppressions effectuées ne seront mises en ligne qu’après validation par l’administrateur du système, responsable du traitement.Les Commissaires-priseurs judiciaires et les opérateurs de ventes pourront seulement consulter le fichier via un formulaire permettant une recherche nominative.Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes sont informées de l’existence du fichier, conformément aux prescriptions de l’article 32 de la loi du 6 janvier 1978 modifiée via plusieurs supports d’information (affichage en salle, mentions dans le catalogue de vente, dans les conditions générales de vente ainsi que dans le formulaire d’ordre d’achat et la facture).L’adjudicataire défaillant est informé de son inscription sur la liste des impayés en cas de non paiement passé un délai de quinze jours à réception de ce courrier par courrier postal recommandé du commissaire-priseur puis, le cas échéant, par la CNCPJ lors de l’inscription effective dans le fichier.La Commission considère que l’information délivrée aux personnes est suffisante.Les droits d’opposition, d’accès et de rectification s’exercent par voie postale auprès de la CNCPJ.
Sur les mesures de sécurité
Le fichier d’impayés est accessible aux professionnels concernés via un site Internet. La confidentialité des accès est assurée par le protocole SSL.Chaque utilisateur dispose d'un identifiant et d’un mot de passe personnel attribués par l’administrateur système. La Commission rappelle que les mots de passe attribués aux utilisateurs doivent impérativement être modifiés et personnalisés dès la première connexion.La politique des mots de passe impose qu’ils aient une taille d’au moins 8 caractères, et qu’ils comprennent lettres majuscules et minuscules et chiffres.Des profils d’habilitation ont été définis et une journalisation des opérations de connexion est réalisée. La Commission rappelle que les données de journalisation doivent être conservées sur une durée maximum d’un an.Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont supprimées dès régularisation de l’incident de paiement. A défaut de régularisation, les informations sont conservées pendant 3 ans.  La Commission prend acte du fait que le contrat conclu entre la CNCPJ et ses adhérents prévoit que ces derniers, à l’origine du signalement, informent la CNCPJ dès réception du paiement. La CNCPJ procède alors à la suppression de l’incident du fichier.
Autorise, conformément à la présente délibération, la Chambre nationale des commissaires-priseurs judiciaires à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN