a un eventuel controle sur place de la cnil - L'Afcdp

More documents

Recommendations

Info

18.2. De la difficulté de sortir du FICPDélibération n°2006-174, en date du 28 juin 2006Type de la décision : Sanction pécuniairePremier griefLes faits : Une personne a été inscrite au Fichier national des incidents de remboursement des crédits auxparticuliers (FICP) par le Crédit Lyonnais suite à un incident de paiement. La résolution de cet incident a étéconfirmée ultérieurement à cette personne par LCL. Pourtant, la Banque de France a confirmé à la CNIL quel’inscription au FICP était encore active plusieurs mois après, malgré la levée de l’incident de paiement.Les demandes de la CNIL : La CNIL a demandé à LCL de lui préciser la nature des incidents de paiement àl’origine de l’inscription au FICP, et de lui expliquer pourquoi celle-ci n’a pas été levée lors de leurrégularisation. LCL a répondu à ces interrogations en expliquant simplement que cette inscription avait été faiteen raison d’ « anomalies » et que les incidents de paiement étaient bien régularisés.La CNIL a renouvelé sa demande pour obtenir des précisions complémentaires, mais LCL a indiqué ne pas êtreen mesure de les lui fournir, arguant du fait que ces informations n’avaient pas été archivées ni historisées.Les démarches de la CNIL : La CNIL a effectué une première opération de vérification au niveau del’agence gestionnaire du compte bancaire litigieux. Le compte ayant été fermé, il n’était a priori pas possibled’obtenir des informations sur place. A cette occasion, LCL a invoqué dans ses correspondances l’existence d’un« droit à l’oubli » de ses anciens clients.La CNIL a alors demandé à LCL les coordonnées de ses centres informatiques. LCL s’est contenté de seprononcer sur la nature du compte litigieux sans donner de précision concernant la localisation de ses servicesinformatiques, information néanmoins obtenue après de nombreux échanges téléphoniques.Lors d’une nouvelle visite, la CNIL a découvert que LCL avait bien conservé une trace informatique del’inscription au FICP qui étaient donc effectivement archivées et historisées. Elle a par ailleurs appris que lamainlevée de l’inscription au FICP avait été tardive en raison d’un changement de prestataire empêchant ledéfichage automatique de certains clients, et entraînant des difficultés techniques dont la CNIL n’a pas étéavisée.La CNIL a mis LCL en demeure de justifier ces anomalies et de démontrer qu’il n’y a pas eu dissimulation depreuve. LCL a expliqué que l’application informatique en cause était protégée et que les collaborateurs yaccédant n’étaient pas identifiés de manière adéquate. LCL s’est engagé à revoir cette organisation.Second griefLes faits : La CNIL a reçu en 2005 trois plaintes émanant d’inscrits au fichier des retraits "CB" (Banque deFrance).Les demandes de la CNIL : La CNIL a demandé à LCL de lui indiquer la nature exacte des incidents defonctionnement des comptes bancaires de ces personnes, résultant de l’usage d’une carte, et ayant entraîné leurinscription dans ce fichier.Les démarches de la CNIL : Le Crédit Lyonnais n’a apporté aucune suite à ces demandes et a opposé à la CNILle secret professionnel. Celle-ci a objecté que l’opposabilité du secret professionnel n’était pas recevable lorsquela demande de vérification avait été formulée directement auprès d’elle par le titulaire du compte bancaire luimême.La CNIL a alors mis LCL en demeure de fournir tout information sur l’origine de l’inscription de ces personnesau fichier des retraits CB. LCL a bien communiqué à la CNIL diverses informations, mais sans présenter lesincidents de fonctionnement des comptes à l’origine de l’inscription.Les références de la Loi Informatique et LibertésPage 68 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net
Article 11-2°-c prévoyant que la CNIL reçoit les plaintes relatives à la mise en œuvre des traitements de donnéesà caractère personnel.Article 21 al. 2 disposant notamment que « les […] dirigeants d’entreprises publiques ou privées, responsablesde groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers dedonnées à caractère personnel ne peuvent s’opposer à l’action de la Commission ou de ses membres et doiventau contraire prendre toutes mesures utiles afin de faciliter sa tâche ».Article 51 disposant « qu’est puni d’un an d’emprisonnement et de 15 000 € d’amende le fait d’entraver l’actionde la Commission nationale de l’informatique et des libertés : 2° en dissimulant [des] documents ourenseignements, ou en les faisant disparaître ; 3° Soit en communiquant des informations qui ne sont pasconformes au contenu des enregistrements tel qu’il était au moment où la demande a été formulée ou qui neprésentent pas ce contenu sous une forme directement accessible ».Les sanctionsLa CNIL remarque que LCL n’avait ni justifié les incohérences entre les faits relevés lors des visites et lesréponses apportées (de manière inexacte pendant près d’un an), ni démontré qu’il n’y avait pas eu dissimulationde preuve (premier grief), et qu’il n’avait pas non plus communiqué les informations exigées et portant sur lespersonnes inscrites au fichier des retraits CB. Il a été relevé que LCL avait pourtant bien ces informations en sapossession.Au regard de la gravité des éléments constatés, la CNIL a prononcé une sanction pécuniaire de 45.000 euroscorrespondant au triple de la somme mise en recouvrement concernant le premier grief (soit 30.000 euros) àlaquelle s’ajoute la somme forfaitaire de 5.000 euros pour chacune des autres plaintes relevant du secondgrief (soit 15.000 euros).La CNIL a également décidé de sanctionner la mauvaise foi de LCL par la publication d’un extrait de sadécision dans les quotidiens Le Figaro et La Tribune.La communication de la CNILDans son rapport annuel 2006 (dévoilé le 9 juillet 2007), la CNIL a décidé de consacrer une interview deMonsieur Philippe Nogrix (Sénateur de l’Ille-et-Vilaine, Commissaire en charge du secteur «Monnaie et crédit»et Rapporteur en formation restreinte dans le dossier Crédit Lyonnais) à cette sanction :En quoi la décision de sanction du Crédit Lyonnais vous paraît- elle exemplaire ?Philippe Nogrix : « La décision de sanction financière d’un montant de 45000 euros prise à l’encontre du CréditLyonnais est fondamentale, et ceci pour deux raisons. La CNIL a tout d’abord sanctionné une pratique qu’elleestime être particulièrement stigmatisante pour les personnes concernées, à savoir le fichage abusif dans lesfichiers de la Banque de France. Ce faisant, la CNIL entend utiliser ses nouveaux pouvoirs de sanction afin degarantir le respect des droits fondamentaux des personnes. Mais la CNIL a également sanctionné le manque decoopération dont il avait été fait preuve dans le cas d’espèce. Il convient ainsi de rappeler qu’aux termes de laloi informatique et libertés, tout responsable de traitement est tenu à une stricte obligation de collaboration et detransparence vis-à-vis de la CNIL.Au-delà, je crois au caractère pédagogique des décisions de sanction prononcées par la CNIL. Par la prise deconscience qu’elle a entraînée, la décision Crédit Lyonnais a eu des répercussions positives au sein del’ensemble de la profession bancaire ».À la lumière de cette première expérience, considérez-vous que la possibilité de prononcer des sanctionspécuniaires va changer le rapport CNIL/responsables de traitement ?Philippe Nogrix : « La CNIL est une institution multiforme qui dispose, par la loi, d’une multitude decompétences très différentes. Tenue à une obligation de conseil à l’égard des responsables de traitement, elle estégalement une autorité de contrôle (contrôle des déclarations, instruction des plaintes et missions de vérificationsur place) et, désormais, une autorité de sanction.Page 69 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net
Page 6 and 7:
1. Le contrôle sur place : une ré
Page 8 and 9:
questionnaire comprenant des questi
Page 10 and 11:
Article 62Lorsque la commission eff
Page 12 and 13:
protection de la vie privée de l'u
Page 14 and 15:
Auto saisineLa Commission se saisit
Page 16 and 17:
Plaintes émanant de salariés, Com
Page 18 and 19: Sur base du programme annuel de con
Page 20: • Les conditions de conservation
Page 23 and 24: Les sessions de la formation restre
Page 25 and 26: Figure 9 : Nombre decontrôles sur
Page 27 and 28: C’est en 2007 que, pour la premi
Page 29 and 30: l’opérateur Telefonica venait de
Page 31 and 32: Ebranlée par les scandales, l’Al
Page 33 and 34: On voit donc que le Responsable de
Page 35 and 36: lors des contrôles effectués, a
Page 37 and 38: Le 23 mars 2010 la « petite loi »
Page 39 and 40: Depuis la décision du Conseil d’
Page 41 and 42: Ceux des agents qui peuvent être a
Page 43 and 44: 7.1. Les textes de référenceNous
Page 45 and 46: Personnels d’accueil : Chargé de
Page 47 and 48: Il convient de fournir la significa
Page 49 and 50: sensibilité, non seulement continu
Page 51 and 52: santé, et qui est mis en œuvre pa
Page 53 and 54: égulièrement notifiés ». La soc
Page 55 and 56: Ils peuvent prendre connaissance du
Page 57 and 58: La « petite loi » votée le 23 ma
Page 59 and 60: • opposition à l’exercice des
Page 61 and 62: Les commissaires de la CNIL peuvent
Page 63 and 64: L’agent de contrôle peut-il ques
Page 65 and 66: Par contre, dans le cas où la plai
Page 67: • Les contrôleurs sont tenus au
Page 71 and 72: La CNIL estime de ce fait que les c
Page 73 and 74: destinataires exacts des données,
Page 75 and 76: 18.7. Collecte de données personne
Page 77 and 78: Le droit d’accès s’exerce dés
Page 79 and 80: les différentes mesures prises pou
Page 81 and 82: importants ayant eux-mêmes engendr
show all

a un eventuel controle sur place de la cnil - L'Afcdp

You also want an ePaper? Increase the reach of your titles

Delete template?

Save as template?