7 - Question n°7 – Après avoir rappelé les missions de la Commission nationale de l’informatique et des Libertés (CNIL), vous préciserez en quoi les établissements bancaires sont impactés par ses missions.

Introduction : Depuis les années 80, l’équilibre fragile entre « protection des libertés individuelles » et « maintien de l’ordre public » est bousculé avec l’explosion des NTIC. Créée dans ce contexte en 1978, La CNIL  est une autorité administrative indépendante en charge du contrôle de licéité des traitements de données à caractère personnel. Dans le domaine bancaire, où le fichier client est le pivot de l’activité, la CNIL est l’autorité chargée de la protection des données à caractère personnel au sein des établissements. A ce titre, elle assure certaines missions qui ont des impacts directs sur l’organisation et le fonctionnement des établissements bancaires.

1. Les missions de la CNIL : Article 1 de la Loi : « l’informatique ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ».
1.1 Les principes posés par la Loi
- Informer les personnes sur leurs droits et leurs obligations
- Réguler en autorisant les traitements de fichiers sensibles en amont
- Sanctionner financièrement les responsables de traitements de données
- Protéger les citoyens dans l’exercice de leurs droits
- Contrôler l’application de la Loi
- Anticiper les développements technologiques et leurs conséquences
1.2 Les définitions et principes de base
- le traitement de la donnée à caractère personnel et sensible
- les obligations déclaratives
- les autorisations préalables
- Le droit d’accès
- Le droit d’opposition
1.3 Les nouveautés apportées par la Loi de 2014
- La définition en 5 points d’un corps de règles déontologiques plus précis
- L’allègement des obligations préalables
- Le renforcement des droits des personnes à l’information
- Le renforcement des pouvoirs de contrôle et de sanction de la CNIL

2. Les conséquences sur l’activité bancaire et financière

2.1 Les obligations déclaratives ou d’autorisation
2.1.1 Les obligations déclaratives :
2 normes simplifiées de déclaration de traitement pour les Banques : la norme 12 (tenue des comptes de la clientèle) et la norme 13 (gestion des crédits ou des prêts consentis).
Pour bénéficier de ces normes simplifiées, quelques conditions : garantie de données objectives contrôlables par les intéressés, logiciels utilisés facilement contrôlables, pas de commercialisation de ces fichiers.
2.1.2 Les demandes d’autorisation
La CNIL a adopté 2 « autorisations uniques » permettant aux banques de vérifier que leurs fichiers répondent aux normes.
- en matière de crédit scoring : tout refus doit être suivi d’une information du demandeur. Informations  autorisés pour le scoring : âge, sexe, nationalité, situation familiale, régime matrimonial, département de résidence, type d’ahabitat, situation de logement, CSP, situation professionnelle, ancienneté, téléphone, email, nature du lien entre co-emprunteurs.
- pour bénéficier de l’autorisation unique en matière de lutte anti-blanchiment : se limiter au traitement de l’information d’une part nécessaire à l’ouverture d’un compte, et d’autre part définies par la réglementation anti-blanchiment.
- pour les autres fichiers soumis à autorisation préalable : la CNIL ne s’est pas clairement positionné sur la question de « fichiers indésirables » : la lutte contre les débiteurs de mauvaise foi et les fraudeurs est jugée utile, à l’inverse, sur  les débiteurs en téléphonie, la CNIL appelle à un droit à l’oubli en cas de régularisation.

2.2 La conduite à tenir dans l’alimentation des données sur les clients
- Le cas particulier du FICP :
C’est sur point sensible que la CNIL s’est le plus prononcé vis-à-vis des établissements de crédit en alertant sur le retard de l’inscription et sur la lenteur à désinscrire.
- Les principes généraux distinguent 3 niveaux d’information à recueillir auprès du client :
• L’information indispensable (état civil, domicile, régime matrimonial)
• L’information facultative (données à caractère personnel) si elles restent objectives et factuelles
• L’information à proscrire sur les « données sensibles »

Conclusion : De par leur activité d’enrichissement et de traitement de fichiers client, les banques sont concernées par la problématique de la protection des données personnelles dont la CNIL est l’autorité compétente. La Loi leur impose le respect de certains principes au risque de sanction.  Mais cette obligation n’est-elle pas en contradiction avec le principe du secret professionnel bancaire qui régit la profession ?