Droits civils et individuels Collectivités territoriales Protection des données à caractère personnel

Transcription

1 AVIS 2013 Droits civils et individuels Collectivités territoriales Protection des données à caractère personnel Abstracts : Traitement automatisé de données, fichiers Crédit à la consommation Prévention du surendettement Droit au respect de la vie privée Article 2 de la Déclaration des droits de l homme et du citoyen de Article 8 de la Convention européenne de sauvegarde des droits de l homme et des libertés fondamentales Données à caractère personnel Taille du fichier Exigence d adéquation, de nécessité et de proportionnalité -Finalités déterminées, explicites et légitimes Exactitude des données Durée de conservation- Consentement de la personne concernée Droit d accès et de rectification Traitement regardé comme adéquat, nécessaire et proportionné par rapport à la finalité Existence Assemblée générale (section des finances) Avis n juin 2013 Demande d avis du Premier ministre relatif à la création d un registre national des crédits aux particuliers Le Conseil d Etat (section des finances), saisi par le Premier ministre de la question de la conformité à la Constitution du projet de créer un registre national des crédits aux particuliers, compte tenu des caractéristiques retenues, notamment du champ resserré des crédits inscrits dans le registre et des garanties renforcées entourant sa mise en œuvre, Vu la Constitution ; Vu le Traité sur l Union européenne, notamment son article 6 ; Vu la Charte des droits fondamentaux de l Union européenne, notamment ses articles 7 et 8 ; Vu la Convention européenne de sauvegarde des droits de l homme et des libertés fondamentales, notamment son article 8 ; Vu la Convention n 108 du Conseil de l Europe pour la protection des personnes à l égard du traitement automatisé des données à caractère personnel du 28 janvier 1981 ; Vu le code de la consommation ; Vu la loi n du 6 janvier 1978 modifiée relative à l informatique, aux fichiers et aux libertés ; 1

2 EST D AVIS DE REPONDRE DANS LE SENS DES OBSERVATIONS QUI SUIVENT : I Le Gouvernement souhaite créer un registre national des crédits aux particuliers (RNCP), ou «fichier positif», ayant vocation à recenser des données sur les crédits souscrits par des personnes physiques, indépendamment de tout incident de paiement. Le registre aurait pour seule finalité de prévenir le surendettement en permettant aux établissements de prêt de disposer d une information centralisée et objective sur le niveau d endettement des demandeurs de crédit. Il complèterait ainsi le Fichier national des incidents de remboursement des crédits des particuliers (FICP), «fichier négatif» régi par les articles L et suivants du code de la consommation. A terme, ces deux fichiers sont destinés à fusionner. Le registre, géré par la Banque de France, recenserait l ensemble des crédits à la consommation effectivement utilisés par l emprunteur. Tous les crédits amortissables y seraient enregistrés lors de leur souscription. Les crédits renouvelables, associés notamment aux cartes de fidélité et aux cartes bancaires, ne donneraient lieu à une inscription dans le fichier que si leur titulaire fait usage de l autorisation de prêt et à hauteur du montant emprunté. Les crédits immobiliers ne seraient pas pris en compte dans le fichier, même à compter de la souscription d un crédit à la consommation, sauf en cas d incident de paiement. Les organismes de prêt (établissements bancaires, établissements de prêt partenaires de fournisseurs de biens et de prestataires de services) seraient dans l obligation de consulter le registre avant d octroyer un crédit ou de reconduire chaque année un contrat de crédit renouvelable ainsi qu à l occasion de la vérification triennale de solvabilité de l emprunteur. Ne leur seraient accessibles que les seules données relatives aux crédits à la consommation actifs antérieurement souscrits par le demandeur, sans mention ni de l organisme prêteur ni de la nature du bien ou de la prestation ainsi financés. Serait en outre maintenue la possibilité offerte aux établissements de crédit de consulter les seules données négatives du fichier, correspondant au périmètre du FICP, avant l attribution de moyens de paiement ainsi que pour l évaluation périodique par ces établissements des risques liés à l encours de crédit de l ensemble de leur portefeuille de clients. Par ailleurs, les greffes des tribunaux judiciaires compétents et les commissions de surendettement pourraient consulter le fichier dans son ensemble, dans le cadre des procédures de traitement des situations de surendettement. Les informations relatives à chaque ligne de crédit ne seraient conservées que pendant la durée de remboursement du prêt : elles en seraient automatiquement radiées à l expiration du contrat pour les crédits amortissables et dès la fin du remboursement des sommes effectivement empruntées s agissant des crédits renouvelables. II Le registre projeté devra respecter les exigences constitutionnelles et conventionnelles en matière de traitement de données à caractère personnel. A) Lorsqu un tel traitement est soumis à son examen, le Conseil constitutionnel s assure notamment qu il ne porte pas une atteinte disproportionnée à la liberté proclamée à l article 2 de la Déclaration des droits de l homme et du citoyen de 1789, qui implique le droit au respect de la vie privée. Dans sa décision n DC du 22 mars 2012 sur la loi relative à la protection de l identité, il a jugé que ce droit impliquait que «la collecte, l enregistrement, la conservation, la consultation et la communication de données à caractère personnel [soient] justifiés par un motif d intérêt général et mis en œuvre de manière adéquate et proportionnée à cet objectif». Si le Conseil constitutionnel n a pas eu, à ce jour, l occasion de se prononcer sur un fichier économique de l ampleur du registre national des crédits aux particuliers, il ressort de sa jurisprudence qu il exercerait un contrôle de la proportionnalité aussi strict sur un tel fichier, que 2

3 celui exercé sur un fichier tendant à prévenir les infractions, en appréciant les atteintes qu il peut porter à la vie privée au regard de l intérêt général qu il présente et de la possibilité de le rattacher à des exigences ou objectifs de valeur constitutionnelle. Son appréciation tiendrait compte de la nature et de la sensibilité des données enregistrées, de la taille du fichier, de ses caractéristiques techniques et des conditions de sa consultation. Par ailleurs, le Conseil constitutionnel contrôle la proportionnalité de la durée de conservation des données personnelles au regard de l objet du fichier, en veillant notamment à l existence d une procédure d effacement des données lorsqu elles n apparaissent plus nécessaires compte tenu de la finalité du fichier (décision n DC du 10 mars 2011, con. 67 à 73, décision n QPC du 16 septembre 2010). B) Le dispositif envisagé devra en outre respecter les exigences résultant de l article 8 de la Convention européenne de sauvegarde des droits de l homme et des libertés fondamentales et de la Convention n 108 du Conseil de l Europe pour la protection des personnes à l égard du traitement automatisé des données à caractère personnel du 28 janvier 1981 qui protègent le droit au respect de la vie privée. Selon la Cour européenne des droits de l homme, la collecte et le traitement de données personnelles, qu elles soient intrinsèquement sensibles ou non et quel que soit l usage qui en est fait, constitue une ingérence dans le droit au respect de la vie privée qui ne peut être justifiée que si elle est prévue par la loi, poursuit un but légitime et apparaît nécessaire dans une société démocratique. La Cour exerce sur la nécessité de l ingérence un contrôle de proportionnalité entre l ampleur de l atteinte à la vie privée et l avantage attendu du traitement des données en cause, eu égard, notamment, à l existence éventuelle de moyens moins intrusifs de parvenir aux mêmes finalités (CEDH, 4 décembre 2008, S. et Marper c/ Royaume Uni, 101 et s. et, plus récemment, CEDH, 18 avril 2013, M. K. c/ France). Les exigences d adéquation et de proportionnalité résultant de l article 8 de la Charte des droits fondamentaux de l Union européenne, auquel l article 6 du Traité sur l Union européenne confère une valeur juridique identique à celle des traités, et de l article 6 de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l égard du traitement des données à caractère personnel et à la libre circulation de ces données, transposé à l article 6 de la loi du 6 janvier 1978 relative à l informatique, aux fichiers et aux libertés, rejoignent celles de la Convention européenne de sauvegarde des droits de l homme et des libertés fondamentales. C) La jurisprudence du Conseil d Etat repose sur les mêmes exigences, comme en témoigne notamment la décision de l Assemblée du contentieux Association pour la promotion de l image et autres du 26 octobre Ainsi, tant les juridictions françaises que les cours européennes contrôlent les traitements de données à caractère personnel à l aune de la triple exigence d adéquation, de nécessité et de proportionnalité, au regard des finalités poursuivies. Ceci implique de mettre en rapport, d une part, l ampleur de l atteinte qu ils portent à la vie privée, en tenant compte non seulement du nombre de personnes enregistrées et de la nature des données mais aussi, par exemple, des garanties offertes en termes notamment de limitation des consultations des données, de durée de conservation et d effacement des données et de prévention du détournement des finalités du traitement, et, d autre part, les finalités d intérêt général poursuivies par ce traitement, en particulier le gain escompté du traitement des données en cause, eu égard, notamment, à l existence éventuelle de moyens moins intrusifs de parvenir au même résultat. 3

4 III Au regard de cette grille d analyse, le registre projeté, eu égard à son caractère massif et novateur, soulève des difficultés dont il convient de prendre la mesure. En premier lieu, le registre constituerait par nature un fichier centralisé d une taille très importante : environ 12 millions de personnes y seraient inscrites. Son interrogation par plusieurs dizaines de milliers d accédants, dans la sphère marchande, avec une fréquence de consultation bien supérieure à celle des fichiers bancaires existants de taille comparable comme le FICOBA, accroît le risque d un détournement illégal de ses finalités, à des fins notamment de prospection commerciale ou de recrutement. En deuxième lieu, l efficacité du registre, qui fait l objet de controverses au sein des parties prenantes, demeure incertaine dans son ampleur. Il ne peut constituer qu un instrument parmi d autres de la politique de lutte contre le surendettement dès lors que le basculement dans cette situation n a pas majoritairement pour origine la souscription de crédits supplémentaires mais résulte le plus souvent d accidents de la vie occasionnant une réduction brutale des revenus de l emprunteur, que le fichier ne peut prévenir. Au surplus, si le projet fait obligation avant tout octroi de prêt de consulter ce fichier, il n en résulte pas pour les établissements prêteurs d interdiction d octroyer un crédit à une personne déjà très endettée. Parmi les exemples étrangers, seul le fichier créé en Belgique obéit à des finalités et présente des caractéristiques comparables à celles du dispositif projeté. Or, les résultats de l expérience de la centrale de crédits belge en matière de lutte contre sur le surendettement paraissent à ce jour incertains. IV Ces interrogations sont toutefois à mettre en balance avec l intérêt propre d un tel fichier, son champ d application restreint aux crédits à la consommation, ainsi que les garanties entourant sa mise en oeuvre, A) Le registre doit permettre aux établissements de prêt de disposer d une information fiable et complète sur l encours de crédits à la consommation de la personne qui sollicite un prêt, de nature à responsabiliser le prêteur ainsi que l emprunteur avant la conclusion d un nouveau contrat. Sera ainsi mis en place un instrument de prévention du surendettement venant compléter la réglementation déjà en vigueur qui encadre l octroi et le renouvellement des crédits, sans qu il apparaisse manifestement que cette information puisse être fournie de manière objective aux établissements prêteurs par d autres moyens que la création d une centrale de crédits. En outre, si le registre envisagé n obéit pas à une finalité régalienne, il répond à un intérêt général économique et social certain, la prévention de l exclusion, qui est susceptible de se rattacher à des objectifs de valeur constitutionnelle tirés des dixième et onzième alinéas du Préambule de la Constitution de B) Dans le dernier état du projet, le registre ne recenserait que les données relatives aux crédits à la consommation actifs, à l exclusion des crédits renouvelables inactifs et des prêts immobiliers. L éviction de ces deux catégories de crédits, par rapport au schéma antérieurement envisagé, permet de concentrer le fichier sur les populations les plus exposées au risque de surendettement et donc les plus susceptibles de bénéficier de leur inscription dans le registre. Les données relatives aux crédits à la consommation sont en effet les plus pertinentes pour lutter contre le surendettement et améliorer l information du prêteur sur la solvabilité du demandeur de crédit. Il ressort des statistiques de la Banque de France que près de 90 % des dossiers de surendettement recevables comportent des crédits à la consommation et environ 75 %, des crédits renouvelables actifs, alors que moins de 10 % des dossiers comprennent des dettes immobilières. S agissant des crédits renouvelables, la prise en compte des seuls crédits actifs permet de ne pas inscrire des personnes dont la dette n est que virtuelle. 4

5 Cette double restriction du périmètre des crédits recensés dans le registre limite la taille du fichier à 12 millions de personnes, contre 25 millions si les crédits ainsi exclus étaient pris en compte, pour une perte d efficacité minime. Le fichier, ainsi recentré, enregistrera des données strictement nécessaires et proportionnées à l objectif de fournir aux prêteurs une information centralisée et exhaustive sur les crédits à la consommation souscrits. L absence de prise en compte des crédits immobiliers réduit en outre sensiblement la durée de conservation des données, les crédits à la consommation étant consentis pour une durée en moyenne inférieure à cinq ans et dépassant rarement dix ans. Dès lors, la conservation des données pendant la durée de remboursement effectif des prêts à la consommation n excède pas la durée nécessaire aux finalités pour lesquelles elles ont été enregistrées, d autant plus que le Gouvernement se propose d instituer un droit à la radiation automatique des informations relatives à un prêt à l issue d une période de sept ans. En outre, si les informations enregistrées sont couvertes par le secret bancaire et fournissent des indications sur la situation financière des intéressés et sur leurs habitudes de consommation, elles ne sont pas aussi sensibles par nature que les données biométriques ou relatives à des infractions faisant l objet des traitements censurés par le Conseil constitutionnel et la Cour européenne des droits de l homme par les décisions mentionnées ci dessus. C) Les garanties, figurant dans la demande d avis ou prévues par le Gouvernement et qui sont nécessaires pour assurer la proportionnalité du dispositif, sont les suivantes : - la précision dans la loi de la finalité du fichier, de ses motifs de consultation à savoir l octroi d un nouveau crédit, la reconduction annuelle d un crédit renouvelable ou la vérification triennale de solvabilité de l emprunteur et d une liste limitative des crédits inscrits ; - la restriction des informations accessibles lors de chaque consultation aux seules données relatives à l endettement de la personne concernée ; - l interdiction d un usage détourné du fichier, qui serait passible des peines prévues à l article du code pénal ; - une utilisation couverte par le secret professionnel pour l ensemble des personnes ayant accès aux données, y compris pour les gestionnaires délégués potentiels ; - le renvoi à un décret en Conseil d Etat pris après avis de la CNIL pour la fixation des informations contenues dans le registre, des délais et modalités de collecte, d enregistrement, de consultation et de restitution de ces informations ainsi que les modalités d identification des personnes dans le fichier ; - un droit pour l ensemble des demandeurs de prêt d être informés de leur inscription dans le fichier et des conditions de sa consultation, préalablement à leur inscription, dès lors que seuls y figureront les crédits souscrits ou renouvelés postérieurement à sa mise en place ; - un droit d accès et de rectification conformément à l article 39 de la loi du 6 janvier 1978 relative à l informatique, aux fichiers et aux libertés et, de manière plus générale, l application des dispositions protectrices de cette loi, dans le silence de la loi créant le registre. En outre, les emprunteurs devront être identifiés dans le registre au moyen d un identifiant ad hoc et fiable de nature à éviter les risques d homonymie et à prévenir les possibilités d interconnexion avec d autres fichiers. L identifiant envisagé dans la demande d avis, construit à partir des données d état civil avec un degré de sécurité élevé et distinct du numéro d inscription au répertoire national d identification des personnes physiques, paraît répondre à ces exigences. Enfin, le projet prévoit de rendre obligatoire la mise en place dans chaque établissement de crédit d un dispositif d identification nominative des personnes habilitées à consulter le registre. Ce système d accréditation doit renforcer la traçabilité des accès individuels au fichier afin de mieux dissuader et sanctionner des usages détournés. 5

6 V Au vu de l ensemble de ce qui précède, toute incertitude ne peut être levée en raison notamment de l absence de décision du Conseil constitutionnel et des cours européennes sur des fichiers posant les mêmes questions. Le Conseil d Etat estime toutefois que le traitement de données ainsi envisagé peut être regardé comme adéquat, nécessaire et proportionné par rapport à l objectif que lui assigne le Gouvernement. Le Conseil d Etat recommande au Gouvernement d établir, en vue des débats parlementaires sur l amendement qu il s apprête à déposer, une étude d impact aussi documentée que possible pour étayer les choix opérés. Il suggère également de prévoir une évaluation du dispositif après une première période de mise en œuvre. Cet avis a été délibéré et adopté par le Conseil d Etat dans sa séance du jeudi 6 juin

7 7