a un eventuel controle sur place de la cnil - L'Afcdp

18.2. De la difficulté de sortir du FICPDélibération n°2006-174, en date du 28 juin 2006Type de la décision : Sanction pécuniairePremier griefLes faits : Une personne a été inscrite au Fichier national des incidents de remboursement des crédits auxparticuliers (FICP) par le Crédit Lyonnais suite à un incident de paiement. La résolution de cet incident a étéconfirmée ultérieurement à cette personne par LCL. Pourtant, la Banque de France a confirmé à la CNIL quel’inscription au FICP était encore active plusieurs mois après, malgré la levée de l’incident de paiement.Les demandes de la CNIL : La CNIL a demandé à LCL de lui préciser la nature des incidents de paiement àl’origine de l’inscription au FICP, et de lui expliquer pourquoi celle-ci n’a pas été levée lors de leurrégularisation. LCL a répondu à ces interrogations en expliquant simplement que cette inscription avait été faiteen raison d’ « anomalies » et que les incidents de paiement étaient bien régularisés.La CNIL a renouvelé sa demande pour obtenir des précisions complémentaires, mais LCL a indiqué ne pas êtreen mesure de les lui fournir, arguant du fait que ces informations n’avaient pas été archivées ni historisées.Les démarches de la CNIL : La CNIL a effectué une première opération de vérification au niveau del’agence gestionnaire du compte bancaire litigieux. Le compte ayant été fermé, il n’était a priori pas possibled’obtenir des informations sur place. A cette occasion, LCL a invoqué dans ses correspondances l’existence d’un« droit à l’oubli » de ses anciens clients.La CNIL a alors demandé à LCL les coordonnées de ses centres informatiques. LCL s’est contenté de seprononcer sur la nature du compte litigieux sans donner de précision concernant la localisation de ses servicesinformatiques, information néanmoins obtenue après de nombreux échanges téléphoniques.Lors d’une nouvelle visite, la CNIL a découvert que LCL avait bien conservé une trace informatique del’inscription au FICP qui étaient donc effectivement archivées et historisées. Elle a par ailleurs appris que lamainlevée de l’inscription au FICP avait été tardive en raison d’un changement de prestataire empêchant ledéfichage automatique de certains clients, et entraînant des difficultés techniques dont la CNIL n’a pas étéavisée.La CNIL a mis LCL en demeure de justifier ces anomalies et de démontrer qu’il n’y a pas eu dissimulation depreuve. LCL a expliqué que l’application informatique en cause était protégée et que les collaborateurs yaccédant n’étaient pas identifiés de manière adéquate. LCL s’est engagé à revoir cette organisation.Second griefLes faits : La CNIL a reçu en 2005 trois plaintes émanant d’inscrits au fichier des retraits "CB" (Banque deFrance).Les demandes de la CNIL : La CNIL a demandé à LCL de lui indiquer la nature exacte des incidents defonctionnement des comptes bancaires de ces personnes, résultant de l’usage d’une carte, et ayant entraîné leurinscription dans ce fichier.Les démarches de la CNIL : Le Crédit Lyonnais n’a apporté aucune suite à ces demandes et a opposé à la CNILle secret professionnel. Celle-ci a objecté que l’opposabilité du secret professionnel n’était pas recevable lorsquela demande de vérification avait été formulée directement auprès d’elle par le titulaire du compte bancaire luimême.La CNIL a alors mis LCL en demeure de fournir tout information sur l’origine de l’inscription de ces personnesau fichier des retraits CB. LCL a bien communiqué à la CNIL diverses informations, mais sans présenter lesincidents de fonctionnement des comptes à l’origine de l’inscription.Les références de la Loi Informatique et LibertésPage 68 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net