La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 25-I-4 à 25-I-6 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation présentée par la société MONTALIVET GESTION le 31 janvier 2005 ;
Après avoir entendu M. Bernard Peyrat, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations :
Formule les observations suivantes :
La société MONTALIVET GESTION a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement ayant pour finalité la gestion des données des dossiers de recouvrement de créances pour le compte d'autrui.
La Commission relève qu'il résulte des dispositions de l'article 6-3° de la loi du 6 janvier 1978 qu'un traitement de données à caractère personnel ne peut porter que sur des données adéquates, pertinentes et non excessives au regard des finalités pour lesquels elles sont collectées et de leur traitement ultérieur.
Par ailleurs, il résulte des dispositions de l'article 7-5° de ladite loi que la réalisation de l'intérêt légitime du responsable de traitement doit être pris en compte sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée.
La Commission relève que la société MONTALIVET GESTION indique détenir le numéro de sécurité sociale des débiteurs concernés par le traitement.
La Commission observe que les traitements portant sur des données parmi lesquelles figure le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) relèvent de la procédure de demande d'autorisation prévue par les dispositions de l'article 25-I-6°.
La société MONTALIVET GESTION justifie cette détention par le fait que cet identifiant est systématiquement demandé par les sociétés d'enquêtes.
La Commission donne acte à la société MONTALIVET GESTION de ce qu'elle modifie sa déclaration initiale et entend limiter la saisie aux seuls dix premiers numéros du NIR.
La Commission rappelle que le numéro d'inscription au répertoire national d'identification des personnes physiques ou NIR, communément appelé "numéro de sécurité sociale", constitue un identifiant particulièrement signifiant, dont l'utilisation présente des risques pour la vie privée et les libertés individuelles et est de ce fait encadrée par la loi.
L'utilisation généralisée d'un identifiant unique dans l'ensemble des fichiers, en ce qu'elle faciliterait leur interconnexion, permettrait de tracer les individus dans tous les actes de la vie courante.
La Commission souligne à cet égard que l'origine même de la loi Informatique et libertés résulte du rejet du projet SAFARI d'interconnexion de fichiers publics à partir du numéro de sécurité sociale.
Ces considérations ont conduit la Commission à limiter l'usage du NIR en tant qu'identifiant propre à la sphère de la santé et à la sphère sociale et à recommander le recours à des identifiants sectoriels spécifiques à chaque secteur d'activité.  Les dérogations prévues par le législateur n'ont porté que sur des cas limités, justifiés par l'intérêt général.
La Commission considère que le traitement des seuls dix premiers numéros composant le NIR ne relève pas du champ d'application des dispositions de l'article 25-I-6° de la loi du 6 janvier 1978 et n'est en conséquence pas soumis à l'autorisation de la Commission.
La Commission rappelle néanmoins que les dispositions de l'article 25-I-6° s'appliquent également aux traitements non automatisés et aux fichiers manuels et qu'en application de l'article 2 de la loi du 6 janvier 1978, constitue un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment l'extraction, l'utilisation et la communication par transmission, diffusion ou toute autre forme de mise à disposition.
Il résulte en conséquence de ces dispositions que les dispositions de l'article 25-I-6° s'appliquent aux opérations d'extraction et de transmission du NIR figurant sur les bulletins de paye contenus dans les dossiers des débiteurs à des sociétés d'enquêtes ou à tout autre tiers.
Bien que la société MONTALIVET GESTION ne présente pas expressément de demande d'autorisation portant sur un tel usage du NIR, il résulte des éléments du dossier que le NIR est systématiquement demandé par les sociétés d'enquêtes.
La Commission entend rappeler à la société MONTALIVET GESTION qu'un tel usage ne saurait être admis au regard de l'application des dispositions de la loi du 6 janvier 1978.
La Commission constate par ailleurs que relèvent de la procédure de demande d'autorisation prévue par les dispositions de l'article 25-I-4° de la loi du 6 janvier 1978 modifiée en août 2004 les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire et que l'interconnexion de fichiers dont les finalités principales sont différentes est également soumise à l'autorisation préalable de la Commission en application des dispositions de l'article 25-I-5° de ladite loi.
Le dossier adressé a la Commission fait apparaître que la société MONTALIVET GESTION adresse des informations relatives aux débiteurs à tous les membres du groupe SOLENDI dont elle est membre.  Ce groupe de sociétés est composé de plus de dix sociétés intervenant dans des secteurs d'activités variés :  assurance, crédit, gestion immobilière.
La Commission considère que la transmission d'informations relatives à des débiteurs à des tiers à des fins étrangères à la gestion du mandat de recouvrement de créances est excessive au regard de la finalité du traitement.
La Commission considère que la communication d'informations relatives à des impayés aux membres du groupe SOLENDI n'est pas compatible avec la finalité déclarée par la société MONTALIVET GESTION, à savoir le recouvrement de créances pour le compte de tiers.
La Commission considère de surcroît que la transmission envisagée par la société MONTALIVET GESTION constitue une interconnexion au sens des dispositions de l'article 25-I-5° de la loi du 6 janvier 1978.
La Commission considère qu'afin d'éviter le risque d'exclusion sociale découlant d'une large consultation de fichiers recensant des impayés tous secteurs d'activités confondus et de respecter le principe de proportionnalité en vertu duquel les données doivent être "pertinentes, adéquates et non excessives" par rapport aux finalités pour lesquelles elles sont enregistrées", les traitements ayant pour objet de recenser des informations relatives à des impayés doivent être limités à un secteur d'activité donné et aux seuls professionnels du secteur.
La Commission estime aussi que la mise en oeuvre des traitements doit être entourée de garanties suffisantes en matière de pertinence des données, d'information des personnes, de sécurité et de durée de conservation.
S'agissant en particuliers d'impayés locatifs, la Commission préconise une transparence renforcée du fichier qui doit être assurée par une information des débiteurs locataires dès la conclusion du bail par l'insertion d'une clause du bail ayant expressément prévu cette possibilité, désignant le responsable du fichier des impayés, et la finalité du traitement, sans préjuger de la nécessité d'informer le locataire au moment du fichage et prévoir un délai de régularisation.
Par ailleurs, la Commission considère que seules les informations relatives à des impayés caractérisés devraient être diffusées et ce pour une durée limitée ne pouvant excéder le constat de l'extinction de la créance ou la survenance d'évènements en affectant l'exigibilité.
La Commission relève que le traitement envisagé par la société MONTALIVET GESTION n'apporte aucune de ces garanties et qu'au contraire la transmission des informations à l'ensemble des sociétés du groupe SOLENDI est envisagée sans restriction et sans information suffisante des personnes.
La Commission estime en conséquence le traitement contraire aux dispositions de l'article 6-3° de la loi du 6 janvier 1978.
N'autorise pas, en l'état, la société MONTALIVET GESTION à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la gestion des données des dossiers de recouvrement de créances pour le compte d'autrui.
Le président, Alex TURK.
