Question 7 : Après avoir rappelé les missions de la Commission Nationale de l'Informatique et des Libertés (CNIL), vous préciserez en quoi les établissements bancaires sont impactés par ses missions.

[justify]Question 7 : Après avoir rappelé les missions de la Commission Nationale de l'Informatique et des Libertés (CNIL), vous préciserez en quoi les établissements bancaires sont impactés par ses missions.

Thème : La Commission Nationale de l'Informatique et des Libertés (CNIL)
Instruction : Les missions & impact sur les établissements bancaires.

  Le couple d'équilibre "protection des libertés individuelles" <-> "maintien de l'ordre public", trouve un terrain d'exercice particulièrement complexe dans les recours en progression constante à l'informatique et à la télématique.
La Commission Nationale l'Informatique et des Liberté a été crée en 1978, dans le cadre de la loi sur les fichiers automatisés de traitement des données personnelles.
La CNIL est l'autorité chargée de veiller à la protection des données personnelles, avec un pouvoir de contrôle et de sanction. Elle est chargée de veiller à ce que l'informatique soit aux services du citoyen et qu'elle ne porte pas atteinte ni à l'identité humaine, ni aux droites de l'homme, ni à la vie privée, ni aux libertés individuelles ou publics.
Quelles sont les missions de la CNIL et en quoi les établissements bancaires sont impactés par ses missions ?
Dans une première partie, nous aborderons les missions de la CNIL et dans une seconde partie, nous analyserons les impacts sur les établissements bancaires avec les obligations et la conduite à tenir sur les données clients.

   I- Les missions de la Commission Nationale de l'Informatique et des Liberté

La CNIL est concernée par six missions principales, qui sont des missions d'informations, informer, réguler et protéger et des missions des missions de contrôle et sanction, contrôler, sanctionner et anticiper.

         A- Missions d'information des acteurs concernés

  Parmi les missions principales de la CNIL, il y a les missions d'informations, notamment informer, réguler et protéger.
La CNIL est investie d’une mission générale d’information des personnes sur leurs droits et leurs obligations. Elle aide les citoyens dans l'exercice de leurs droits. Elle établit chaque année un rapport public rendant compte de l'exécution de sa mission.
La seconde mission de la CNIL correspond à la régulation. Effectivement, la CNIL régule et recense les fichiers, autorise les traitements les plus sensibles avant leur mise en place. La CNIL est consultée pour avis, avant toute transmission au parlement d'un projet de loi relatif à la protection des données personnelles. La CNIL établit des normes simplifiées, afin que les traitements les plus courants fassent l'objet de formalités allégées. Elle peut aussi décider de dispenser de toute déclaration des catégories de traitement sans risque pour les libertés individuelles. Elle agit également par voie de recommandations.
La CNIL aide les citoyens dans l'exercice de leurs droits, soient informés les données contenues dans les traitements les concernants et qu'ils puissent y accéder facilement. Pour le compte des citoyens qui le souhaitent, elle exerce l'accès aux fichiers intéressant la sûreté de l'Etat, la défense et la sécurité publique. Elle reçoit et instruit les plaintes des personnes qui rencontrent des difficultés à exercer leurs droits.

        B- Veiller au traitement de données à caractère personnel

  Dans les 6 missions de la CNIL, on trouve 3 missions de contrôle, sanction et anticipation.
La CNIL doit vérifiée que la loi est respectée en contrôlant les traitements informatiques. Elle peut de sa propre initiative se rendre dans tout local professionnel et vérifier sur place et sur pièce, les fichiers. La Commission use de ses pouvoirs d’investigation pour instruire les plaintes et disposer d'une meilleure connaissance de certains fichiers. La CNIL surveille par ailleurs la sécurité des systèmes d'information en s'assurant que toutes les précautions sont prises pour empêcher que les données ne soient déformées ou communiquées à des personnes non autorisées.
Lorsqu'elle constate un manquement à la loi, la CNIL peut, après avoir mis en demeure les intéressés de mettre fin à ce manquement, prononcer diverses sanctions : l’avertissement, les sanctions pécuniaires, l’injonction de cesser le traitement. Enfin, le Président peut demander en référé à la juridiction compétente d'ordonner toute mesure de sécurité nécessaire. Il peut saisir également le Procureur de la République des violations de la loi dont il a connaissance.
La CNIL doit s'attacher à comprendre et anticiper les développements des technologies de l'information afin d'être en mesure d'apprécier les conséquences qui en résultent pour l'exercice des droits et libertés. Elle propose au Gouvernement les mesures législatives ou réglementaires de nature à adapter la protection des libertés et de la vie privée à l'évolution des techniques. Pour renforcer sa capacité d'anticipation, elle s'est dotée en 2012 d'un comité de la prospective rassemblant des experts extérieurs.

  Les 6 missions de la CNIL, informer, réguler, protéger, sanctionner, contrôler et anticiper s'applique à toutes les entreprises utilisant des données clients et à caractère personnel.
Les banques ont accès aux données clients et sont amenées à étoffer leurs fichiers clients. Pour cause, une réglementation qui impose aux banques de connaître d'avantage leurs clients ; KYC "Know Your Customer" ; de plus, dans l'air de la digitalisation, les banques ont informatisé 100% de leurs données clientèles.
La question que nous pouvons nous poser est la suivante ; qu'elles sont les impacts de ces missions sur les banques ?

  II- L'impacts des missions de la CNIL sur les banques

        A- Les obligations déclaratives ou d'autorisation

  - Les obligations déclaratives

  La CNIL a proposé depuis aux banques 2 normes simplifiées de déclaration de traitement la norme 12 et la norme 13. La norme 12 correspond à la tenue des comptes de la clientèle. La norme 13 à la gestion des crédits ou des prêts consentis à des personnes physiques. Ainsi, pour que les traitements fassent l'objet d'une procédure simplifiée, ils doivent présenter des caractéristiques prédéfinies. Cela permet de garantir :

• Qu'il ne porte que sur les données objectives contrôlables ;
  

• Qu'il n'applique à ces données que des logiciels dont les résultats puissent être facilement contrôlés ; pas de cessions ou de locations de fichier ; pas d'échanges ou d'interconnexion non-nécessaires ; la sécurité et le secret sont assurés.
  

  - Les demandes d'autorisations

  Afin de clarifier les sujets, la CNIL a adopté deux "autorisations uniques" permettant aux banques de s'assurer que leurs fichiers correspondent aux normes acceptables.
En matière de "crédit scoring" le refus d'une demande décidé après prise en compte d'un réponse négative produite par un traitement de score doit être suivi d'une information du demandeur sur ses droits en application de l'article 10 de la loi. Seuls les éléments suivants peuvent entrer dans son score : âge, sexe, nationalité, situation familiale, etc... Aucune variable ne doit recevoir une pondération telle qu'elle puisse à elle seule avoir un effet d'exclusion absolu ou disqualifiant.
En matière de lutte contre le blanchiment, la banque doit traiter au titre de la LAB que les informations classiques qui président à la décision d'ouverture de compte et d'autre part uniquement les opérations telles qu'elles sont précisément définies par la législation LAB, comme devant données lieu à examen particulier ou à déclaration de soupçon.

      B- La conduite à tenir dans l'alimentation des données sur les clients

Les données à caractère personnel d'état-civil, domicile, régime matrimonial, n'ont rien de dangereux si l'on sait respecter les obligations du secret professionnel. Les données sensibles sont à éviter absolument. Les données à caractère personnel de profession, de revenus, de projet d'investissement et d'épargne sont à enregistrer de manière factuelle et objective, dans la limite de ce qui est nécessaire à la décision de faire ou de ne pas faire l'opération envisagée.
Le cas particulier du fichier d'incident de paiement des crédits aux particuliers (FICP). La CNIL a constaté que les avertissements prononcés à l'encontre des établissements de crédit sont, pour la plupart, consacrés à la gestion du FICP. Elle constate l'existence de retards, dans la déclaration de l'incident et dans la description des débiteurs ayant pourtant régularisé leur situation. Retarder l'inscription d'un incident, c'est faciliter pour un débiteur la conclusion de nouveaux contrats de prêts, spirale du surendettement. A l'inverse, tarder à le désinscrire un débiteur qui a régularisé, c'est s'exposer à devoir répondre en justice d'un refus de crédit.


Conclusion :

  Les missions de la CNIL sont diverses et correspondent à l'information, la protection, la régularisation, la sanction, contrôler et enfin l'anticipation. Ces missions ont pour but la protection des libertés individuelles et le maintien de l'ordre public. De plus, elles visent la protection des personnes physiques à l'égard des traitements de données à caractère personnel.
La digitalisation de l'activité bancaire et financière impact fortement la protection des données clientèles. L'activité bancaire et financière, est soumise à des obligations déclaratives et d'autorisation. De plus, la CNIL met en évidence l'importance de surveiller et de protéger le Fichier d'Incident de Piement des Crédit aux Particulier (FICP) des banques. Ce secteur est donc concerné au premier chef par ces textes.