La Commission nationale de l’informatique et des libertés,

Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu le décret n° 91-188 du 21 février 1991 relatif à l’utilisation par la Banque de France et par l’institut d’émission des départements d’outre-mer du répertoire national d’identification des personnes physiques ;
Vu le projet de convention sur le principe et les modalités de gestion du Fichier central des retraits de cartes bancaires « CB » conclue entre le groupement des cartes Bancaires « CB » et la Banque de France ;
Vu la demande d’autorisation de la Banque de France relative au Fichier central des retraits de cartes bancaires « CB » qui modifie les finalités de ce traitement ainsi que les conditions d’inscription, d’utilisation et de radiation anticipée des données ;
Sur le rapport de M. Jean-Paul AMOUDRY, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement.
Formule les observations suivantes :
Le Fichier central des retraits de cartes bancaires - ci-après également dénommé « Fichier central » - a été créé le 1er août 1987 par la Banque de France (BDF) après la signature le 11 mai 1987 d’une convention avec le GIE Cartes bancaires « CB ». Il est actuellement régi par un arrêté du Conseil Général de la Banque de France du 16 juillet 1987, adopté après avis de la CNIL. La BDF y enregistre les renseignements relatifs aux décisions de retrait de cartes bancaires « CB » qui lui sont communiqués par les établissements émetteurs de ces cartes.
Ce fichier est, au plan technique, intégré par la BDF dans la même base de données que le Fichier central des chèques (FCC). Le fonctionnement du Fichier central des retraits de cartes bancaires en est profondément marqué.
Sur la procédure suivie
Les modifications qu’il est proposé d’apporter aux modalités de fonctionnement du Fichier central et aux conditions d’utilisation des informations y figurant résultent de travaux menés par la BDF et la CNIL avec le GIE Cartes bancaires « CB » et les principaux établissements de crédit en leur qualité de représentants des utilisateurs du fichier.
Elles concernent :
- La définition des finalités du traitement,
- Les conditions d’utilisation des données à respecter en application des dispositions de l’article 10 de la loi du 6 janvier 1978,
- Les modalités d’information des titulaires des comptes et cartes bancaires avant leur inscription audit fichier,
- L’instauration d’une procédure de radiation anticipée en cas de régularisation de l’incident à l’origine de l’inscription au Fichier central,
- Les obligations relatives au Fichier central qui sont respectivement à la charge de la Banque de France, des établissements de crédit à l’origine d’une déclaration de retrait de carte bancaire « CB » et de ceux qui prévoient d’utiliser les informations transmises par le Fichier central.
La Commission constate que ce traitement automatisé peut, du fait de sa portée et de sa finalité, conduire à exclure des personnes du bénéfice d'un contrat ou d’une prestation, en l'absence de toute disposition légale prévoyant la mise en œuvre d'une telle exclusion.
Dès lors, le traitement relève du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la CNIL.
Sur les finalités du traitement
La finalité principale du traitement consiste à éviter qu'un établissement de crédit membre ou affilié « CB » ne décide de délivrer une carte bancaire « CB » dans l’ignorance que le demandeur a précédemment fait l'objet d'une décision de retrait d'une carte bancaire « CB » pour utilisation abusive de cette dernière.
Les données du Fichier central peuvent également être utilisées pour :
- déterminer le type de carte « CB » à accorder à un demandeur, telle qu’une carte de paiement « CB » dont chaque utilisation doit préalablement être autorisée par l’établissement de crédit émetteur ;
- améliorer les conditions de délivrance de tout moyen de paiement, grâce à la mise à disposition de l’ensemble de la profession bancaire des informations y figurant ;
- apporter une aide à la prise de décisions individuelles en matière d’ouverture de compte ou d’octroi de crédit ;
- servir de base de référence pour le traitement des contestations susceptibles d’exister entre les établissements de crédit membres ou affiliés « CB » au sujet de la mise en œuvre de la garantie de paiement en cas d’impayés.
La Commission prend acte que le projet de convention susvisé rappelle que, conformément aux dispositions de l'article 10 de la loi du 6 janvier 1978, une décision défavorable en matière de délivrance de carte bancaire « CB », d’ouverture de compte ou d’octroi de crédit ne peut pas être prise après consultation des données inscrites dans le Fichier central, sans que le demandeur ait été informé de son droit à présenter des observations sur sa situation bancaire et financière personnelle, notamment sur les circonstances de son inscription dans le Fichier central, en cas de rejet de sa demande.
Il appartient à chaque établissement de crédit prévoyant la consultation du Fichier central lors de l’instruction des demandes de produits ou services bancaires qui correspondent aux finalités du traitement d’informer la personne concernée de ce droit et d’en organiser l’exercice de manière à en garantir l’effectivité.
Sur les personnes et les décisions concernées par le traitement
Seules peuvent faire l'objet d'une inscription au Fichier central les décisions de retrait d’une carte bancaire « CB » consécutives à la survenance d'un incident affectant le compte sur lequel fonctionne ladite carte et résultant directement de l'usage de cette dernière, lorsque la carte bancaire « CB » concernée est une carte de paiement ou de retrait, y compris à débit différé.
La Commission note, en particulier, que les retraits de cartes de crédit, dont l’utilisation peut donner lieu à un incident de remboursement tel que défini par le règlement CRBF n° 9005 modifié relatif au Fichier national des incidents de remboursement des crédits aux particuliers (FICP), ne peuvent pas être inscrits dans le Fichier central.
Constitue un incident au sens du Fichier central des retraits de cartes bancaires « CB » toute opération effectuée au moyen d'une carte bancaire « CB » qui ne peut être couverte par la provision disponible sur le compte sur lequel fonctionne ladite carte contrairement aux obligations stipulées dans le contrat porteur.
Sont recensées dans le Fichier central les personnes physiques ou morales titulaires d'un compte sur lequel a été constaté un incident résultant directement de l'usage d’une carte bancaire « CB » fonctionnant sur ledit compte, y compris lorsque celle-ci a été délivrée à l'un des titulaires dudit compte ou à un mandataire de ces derniers. Il en résulte qu’en cas de décision de retrait d'une carte bancaire « CB » fonctionnant sur un compte collectif, ce sont tous les co-titulaires qui sont solidairement responsables du fonctionnement dudit compte qui sont inscrits dans le Fichier central.
La Commission prend bonne note que l’établissement de crédit déclarant devra être en mesure de justifier pendant toute la durée de l’inscription au Fichier central des conditions de cette inscription, à savoir de la date de la notification de la décision de retrait et du détail des incidents constatés.
Sur les catégories de données enregistrées et leur durée de conservation
Les données à caractère personnel enregistrés dans le Fichier central concernent :
- les nom de famille, nom d’usage ou marital, prénoms, sexe, date et lieu de naissance et adresse des titulaires des comptes pour les personnes physiques, la dénomination sociale et le numéro RCS pour les personnes morales ; ces renseignements sont conservés aussi longtemps que les personnes concernées font l’objet d’une inscription ;
- la date à laquelle est intervenue la décision de retrait de carte bancaire « CB », ainsi que les références du compte bancaire sur lequel fonctionne la carte bancaire « CB » concernée (code établissement, code guichet, numéro de compte).
Les inscriptions sont effacées du Fichier central par la BDF dès réception de la demande de l’établissement déclarant. Celui-ci est tenu de lui faire parvenir une telle demande :
- lorsque l'inscription résulte d’une erreur du déclarant ;
- lorsque les titulaires du compte ont démontré que l’événement qui a entraîné l'incident ne leur est pas imputable ;
- lorsque les titulaires du compte justifient avoir intégralement régularisé leur situation et demandent leur radiation du Fichier central.
L’établissement de crédit déclarant est tenu d’effectuer cette demande dans les deux jours ouvrés bancaires à compter du constat de la disparition du motif de l’inscription. Il est tenu d’informer sans délai et par écrit les titulaires du compte de la radiation ou de l'annulation de l'inscription.
En toute hypothèse, les informations sont au plus tard automatiquement effacées au terme d'un délai de deux ans à compter de la date de décision de retrait de la carte.
Les données d’identification des personnes physiques nouvellement inscrites sont vérifiées chaque mois par la BDF par rapprochement avec le Répertoire national d’identification des personnes physiques (RNIPP) dans les conditions fixées par le décret n° 91-188 susvisé. Le numéro d’inscription au RNIPP - ou NIR - n’est pas communiqué à la BDF. A l’issue de ce traitement, les états civils déclarés par les établissements de crédit peuvent être complétés. Ces derniers en sont préalablement informés. La BDF peut également mener des enquêtes complémentaires auprès de ces derniers.
Sur les modalités de diffusion et d’utilisation des informations
Les informations recensées par la Banque de France sont communiquées aux établissements de crédit en réponse à des demandes qu’ils présentent sur des personnes déterminées.
La Commission observe que la clé de recherche à partir de laquelle se fait l'interrogation du Fichier central n’est pas de nature à éviter tout risque d'homonymie. Dès lors, il incombe à chaque agent habilité à exploiter les réponses apportées par le Fichier central sur une personne donnée de s’assurer de la concordance entre les éléments d'identification en sa possession sur cette personne et les réponses qu’il a reçues.
Le Fichier central peut être consulté par les établissements de crédit en temps réel par Internet, l’accès étant sécurisé par certificat, ou en différé - dans des délais inférieurs à 24 heures – par télétransmission de fichiers de demandes de consultation et de réponses.
Les renseignements communiqués à un établissement de crédit sont réservés à son usage exclusif. Ils ne peuvent pas être pris en compte dans des traitements automatisés dont les finalités ne se limiteraient pas aux finalités du Fichier central des retraits de cartes bancaires « CB ».
Les informations transmises aux établissements de crédit étant susceptibles d'être modifiées à tout moment, elles sont exclusivement destinées à une exploitation immédiate. Aussi appartient-il aux destinataires de ré-interroger le Fichier central chaque fois qu'ils envisagent de prendre une nouvelle décision à l'égard d'un demandeur.
Sur l’information des titulaires des comptes
Les titulaires d’un compte sur lequel fonctionne une carte bancaire « CB » doivent avoir été informés, lors de l'ouverture du compte ou de la délivrance de ladite carte, de l'existence et de la finalité du Fichier central, des motifs d’une inscription au fichier des titulaires du compte associé à la carte et des modalités de leur information avant toute inscription.
Lorsqu'un établissement de crédit décide de déclarer au Fichier central une décision de retrait d'une carte bancaire « CB », il a l’obligation d’en informer les titulaires du compte sur lequel fonctionne ladite carte, par tout moyen :

• du montant correspondant aux incidents constatés et de celui des frais afférents ;
• de la possibilité de régulariser ces incidents pour éviter leur inscription dans le Fichier central ;
• des modalités de régularisation à respecter pour éviter cette inscription ;
• du délai à l’expiration duquel, faute de régularisation avec l’établissement de crédit, la décision de retrait de carte « CB » sera déclarée au Fichier central ;
• du maintien de l’inscription pendant deux ans à compter de la date de la décision de retrait de la carte, sauf annulation ou radiation anticipée ;
• de la possibilité, pour chaque titulaire du compte, de présenter, dans un premier temps et dans le délai de régularisation dont il bénéficie, ses observations ou propositions au regard de la spécificité de sa situation concernant une inscription qu'il ne serait pas en mesure de régulariser immédiatement afin de permettre à l’établissement de crédit de décider, le cas échéant, de ne pas procéder à l'inscription annoncée ;
• de la possibilité offerte au titulaire du compte de saisir, dans un second temps, le médiateur de l’établissement de crédit pour lui demander un réexamen de sa situation.

La date de la décision de retrait est fixée par défaut à la date de communication de l'information préalable.
La Commission rappelle que les modalités d’organisation de cette information doivent être définies par chaque établissement de crédit pour ce qui le concerne, de manière à permettre aux personnes concernées l’exercice effectif des droits qui leur sont ainsi reconnus et à être en mesure d’en apporter la preuve.
Les titulaires du compte peuvent par ailleurs demander à tout moment à l’établissement de crédit les modalités de régularisation de leur situation, notamment la communication du montant, le cas échéant réactualisé, des incidents enregistrés.
Sur les modalités d’organisation du droit d'accès et de rectification
Tout titulaire de compte sur lequel fonctionne une carte bancaire « CB » peut demander au Membre ou affilié « CB » qui a émis ladite carte de lui faire connaître si une décision de retrait prise à son encontre par ledit membre ou affilié « CB » a fait l’objet d’une déclaration au Fichier central. L’information est communiquée oralement après vérification de l’identité du requérant.
Toute personne peut prendre connaissance et obtenir communication en clair des données à caractère personnel la concernant figurant au Fichier central des retraits de cartes bancaires « CB » :
- en se présentant munie d’une pièce d’identité officielle portant sa photographie dans une unité du réseau de la BDF ouverte au public, dans une agence de l’IEDOM ou de l’IEOM ; la liste des unités du réseau de la BDF est diffusée sur son site Internet ;
- en adressant à la BDF une lettre accompagnée de la photocopie d'une pièce d'identité officielle portant sa signature à l’adresse suivante : BDF SFIPRP - Section Relation avec les particuliers - 86067 POITIERS Cedex 9.
Les représentants légaux d’une personne physique ou morale peuvent présenter la même demande dans les mêmes conditions, sous réserve de justifier de leur identité et qualité.
Les personnes physiques, leurs représentants légaux ou ceux des personnes morales peuvent obtenir toute explication sur le fonctionnement du Fichier central auprès de la BDF.
Toute personne désireuse de contester ou de faire rectifier les données à caractère personnel la concernant dans le Fichier central adresse sa demande à l’établissement de crédit déclarant.
La Commission observe par ailleurs que la BDF ne disposant d'aucun pouvoir d'appréciation quant au bien-fondé des inscriptions faites par les établissements de crédit déclarant, qui agissent alors sous leur entière responsabilité, elle ne peut procéder à des rectifications portant sur une inscription que sur la demande expresse du déclarant ou sur la base d’une décision de justice exécutoire et opposable à la BDF, ordonnant expressément la rectification de l’inscription. Ce n’est que dans ce dernier cas qu’il incombe à la BDF d'en aviser la ou les personnes concernées.
Lorsqu’un établissement de crédit demande la rectification d’une inscription au Fichier central, sa demande est effectuée au plus tôt par la BDF, qui l’informe de sa prise en compte. Il appartient à l’établissement de crédit déclarant d'aviser les titulaires du compte de la rectification effectuée.
En outre, la BDF peut communiquer de manière ponctuelle les rectifications aux établissements de crédit destinataires du Fichier central dont le nom et l'adresse lui sont expressément indiqués par l'auteur d'une réclamation qui a abouti à la rectification des données enregistrées la concernant.
La Commission rappelle que la convention d’accès au FCC et au Fichier central des retraits de cartes bancaires « CB », signé entre la BDF et chacun des établissements de crédit utilisateur, devra être modifié pour tenir compte des modifications apportées au cadre juridique.
Dans ces conditions, la Commission autorise la Banque de France à modifier selon les modalités décrites ci-dessus les conditions de mise en œuvre du Fichier central des retraits de cartes bancaires « CB ».