La Commission Nationale de l'Informatique et des Libertés,
Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et notamment ses articles 1, 4, 14, 16, 19, 21, 27, 29, 41 et 42 ;
Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 ;
Vu sa délibération n° 87-32 du 31 mars 1987 portant avis sur la mise en oeuvre par la Chambre de Commerce et d'Industrie de Carcassonne d'un traitement automatisé d'informations nominatives relatif à la gestion d'un fichier de chéquiers et cartes bancaires volés ou perdus ;
Après avoir entendu Madame Yvette CHASSAGNE, Commissaire en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que l'Association X a mis en oeuvre un service télématique dont la finalité est d'assurer la gestion d'une banque de données d'oppositions sur chèques pour le libre usage des particuliers et des commerçants ;
Considérant que cette banque de données est alimentée par les victimes de vol ou de perte de chéquier qui doivent saisir les données numériques qui figurent sur leur relevé d'identité bancaire ;
Considérant que le numéro d'un compte bancaire est une information nominative au sens de l'article 4 de la loi susvisée puisqu'il permet l'identification de la personne physique titulaire du compte ;
Considérant que ce traitement automatisé d'informations nominatives a été mis en oeuvre sans qu'ait été effectuée la déclaration prévue à l'article 16 de la loi ;
Considérant que l'article 29 de la loi du 6 janvier 1978 prescrit à toute personne ordonnant ou effectuant un traitement d'informations nominatives de prendre toutes précautions utiles afin de préserver la sécurité des informations ;
Considérant que l'article 42 de la même loi institue certaines peines à l'encontre de ceux qui auront enregistré ou fait enregistrer, conservé ou fait conserver des informations nominatives en violation de l'article 29 précité ;
Considérant qu'il résulte des informations que détient la Commission que l'association X diffuse les informations relatives à l'existence d'une opposition sans avoir identifié la personne qui a effectué la déclaration de perte ou de vol ;
Considérant que les précautions prises ne permettent pas d'éviter les risques de déclaration malveillante ;
Considérant que la banque de données de X est consultable par toute personne, sans abonnement ni procédure d'identification de l'appelant ; que l'accès au système n'est donc pas réservé à des utilisateurs déterminés et identifiables ;
Considérant enfin que la diffusion de l'existence d'une opposition vise l'ensemble du compte bancaire et pas seulement les chèques perdus ou volés ;
En conséquence :
- adresse, en application de l'article 21-4° de la loi du 6 janvier 1978 un avertissement à l'association X et demande l'arrêt immédiat du traitement mis en oeuvre,
- rappelle que ce traitement ne pourra être mis en oeuvre qu'après la délivrance d'un récépissé de déclaration par la Commission,
- subordonne la délivrance de ce récépissé à l'adoption des mesures destinées à garantir la sécurité et la confidentialité des informations.
Le Président,
Jacques FAUVET
