Question n° 6 : Quels principes posés par la CNIL les banques doivent elles respecter dans l’alimentation de leurs fichiers clients ?

ITB 1ère année L’environnement réglementaire des activités

de banque de détail

Question n° 6 :

Quels principes posés par la CNIL les banques doivent elles respecter dans

l’alimentation de leurs fichiers clients ?

INTRODUCTION

L’informatique et la télématique dont les établissements bancaires et financiers ont recours sont en constante progression. C’est pourquoi, en droit français, dès 1978 et dans le cadre d’une loi sur les fichiers automatisés de traitement de données personnelles, la Commission nationale informatique et libertés (CNIL) est créée pour la protection des libertés individuelles et pour le maintien de l’ordre public.

En 2004, la loi du 6 août, relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, est venue d’une part transposer la directive européenne de 1995 sur ce sujet, d’autre part adapter la loi de 1978 aux évolutions technologiques et aux enjeux nouveaux apparus depuis cette époque.

C’est une évidence de dire que toute l’activité bancaire et financière repose sur le « fichier client ». Ce secteur est donc concerné au premier chef par ces textes.

Nous verrons dans un premier temps les principes posés par la loi puis dans un second temps les conséquences sur l’activité bancaire et financière.

A. Les principes posés par la loi

L’art. 1 de la loi relative à l’informatique, aux fichiers et aux libertés définit en trois lignes les pages de développement qui constituent le corps de la loi : « l’informatique doit être au service de chaque citoyen. Son développement doit s’opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ».

A. Quelques définitions et les principes de base

• La CNIL est une autorité administrative indépendante. Elle est composée de 17

membres. Ses missions générales ont deux orientations :

- informer les acteurs concernés de leurs droits et obligations respectifs ;

- veiller à ce que les traitements de données à caractère personnel soient mis en

œuvre conformément aux dispositions de la loi.

• La donnée à caractère personnel est une information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres.

• Le traitement de donnée à caractère personnel concerne toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction.

• Le responsable du traitement de données à caractère personnel est la personne, l'autorité publique, le service ou l'organisme qui détermine les finalités et les moyens du traitement de données à caractère personnel.

• Le correspondant à la protection des données à caractère personnel est la personne chargée d'assurer, d'une manière indépendante, le respect des obligations prévues dans la présente loi.

• Les données sensibles sont les données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci. Leur collecte et leur traitement sont interdits, sauf exceptions limitativement énumérées par les textes.

B. Les nouveautés apportées par la loi

• Le corps de règles déontologiques est mieux défini, en cinq points dont les manquements sont réprimés pénalement :

- la finalité du traitement

- les données recueillies

- la durée de conservation

- la sécurité-confidentialité

- les rapports avec la personne, sujet du traitement

La peine encourue est au maximum de 5 ans d’emprisonnement et 300 000 euros d’amende.

• Les obligations préalables sont allégées. Auparavant, tout fichier de traitement de données à caractère personnel faisait l’objet d’une autorisation par la CNIL, essentiellement sur des critères de tailles, avec des situations dérogatoires. Dorénavant, le principe « de droit commun » est celui de la déclaration de tout nouveau traitement, l’autorisation préalable devient donc l’exception, mise en œuvre dans des cas bien précis.

• Les droits des personnes

...