Par Anne-Laure Villedieu, avocat associé et Prudence Cadio, avocat, CMS Bureau Francis Lefebvre.

La CNIL avait été saisie par la cliente d’une plainte semblant relever, à première vue, de l’application de la réglementation relative au fichier national des incidents de remboursement des crédits aux particuliers. La plaignante contestait, en effet, son inscription au FICP pour défaut de paiement de sommes dues en application d’un échéancier  établi  dans le cadre d’une procédure de surendettement. Le fichage au FICP constituant un traitement de données à caractère personnel, la CNIL a apprécié la conformité de ce traitement au regard de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (loi informatique et libertés).

Aux termes de sa décision, la CNIL a considéré que la BNP avait commis plusieurs manquements aux dispositions de la loi informatique et libertés, laquelle impose notamment au responsable de traitement de collecter et de traiter les données à caractère personnel de manière loyale et licite (art.6 I), de rectifier, compléter, mettre à jour, verrouiller ou effacer les données à caractère personnel d’une personne, à sa demande, lorsque ces données sont inexactes, équivoques ou incomplètes (art.40).En l’espèce, la CNIL a en effet estimé que :

– l’inscription au FICP, en violation des délais qui auraient permis à la plaignante de régulariser sa situation, constituait un manquement aux principes de loyauté et de licéité de la collecte et du traitement de données à caractère personnel ;

– l’absence de levée d’inscription au FICP à la suite de la demande de la plaignante devait être considérée comme un manquement à l’obligation de respecter la demande de suppression des données ;

– le fait, pour la banque, de ne pas avoir...