Priorité de contrôle 2023. La Cnil vient de rendre publiques les thématiques qu’elle allait privilégier pour les contrôles qu’elle mènera en 20231. L’utilisation du fichier des incidents de crédit aux particuliers (FICP) fait partie des sujets sur lesquels elle entend se concentrer. Le cadre restrictif applicable aux inscriptions et à l’accès à ce fichier engendre de lourdes obligations pour les établissements. Mais le non-respect des règles ou le manque de diligence des établissements est source de tracas (parfois sérieux) pour les particuliers ; ils peuvent également conduire à des traitements illégaux de données personnelles qui justifient les préoccupations de l’autorité.
Cadre légal. Le fichier est encadré par un corps de règles codifiées dans le Code de consommation2 et précisées par l’arrêté du 26 octobre 2010 relatif au fichier national des incidents de remboursement des crédits aux particuliers. Contenu du fichier3, modalités d’enregistrement des données qui y figurent (incidents de paiement4 et situations de surendettement5), règles de consultation et de conservation des données6, le tout est détaillé. Les infractions à ces règles ainsi que tout retard dans les déclarations exposent les établissements à des sanctions disciplinaires de la part de l’ACPR7.
Soumission aux règles relatives à la protection des données personnelles. Mais l’ACPR n’est pas la seule intéressée par le FICP. Puisqu’il centralise des données personnelles (2 093 365 personnes étaient inscrites au FICP en 20228), le fichier est expressément soumis à la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés9. C’est pourquoi la Cnil est expressément appelée à se prononcer sur l’arrêté qui fixe les conditions dans lesquelles la Banque de France et les entreprises doivent informer les personnes concernées de leur inscription et de leur radiation10 ainsi que de leurs droits concernant ce fichier (droit d’accès et de rectification11).
Au-delà de sa mission d’accompagnement réglementaire, la Cnil se préoccupe depuis longtemps de la gestion du FICP et a adopté plusieurs recommandations en la matière12. Sa Commission des sanctions a même prononcé un avertissement public à l’encontre d’une banque pour avoir manqué à son obligation de traiter des données exactes et mises à jour13.
Utilisation du FICP. Dans sa feuille de route pour 2023, la Cnil précise que « les contrôles porteront principalement sur les conditions dans lesquelles les banques accèdent au fichier, en extraient des informations et le tiennent à jour après régularisation des incidents de paiement »14. Ne pas se méprendre : le terme « banque » n’est pas à prendre strictement car en réalité, ce ne sont pas seulement les établissements de crédit, mais aussi les sociétés de financement, les établissements de monnaie électronique et les établissements de paiement (et même les autres organismes habilités à octroyer des prêts15) qui sont potentiellement concernés.
C’est donc l’accès au fichier et l’extraction d’informations par l’ensemble des acteurs du monde du financement et du paiement qui intéressent au premier chef la Cnil.
Centralisant les informations déclarées à la Banque de France16, le FICP constitue ce faisant une mine d’informations précieuses pour les établissements qui peuvent y accéder17. S’ils doivent obligatoirement consulter le FICP avant d’octroyer un crédit à la consommation ou une autorisation de découvert de plus d’un mois, de reconduire un contrat de crédit renouvelable ou encore de consentir un crédit immobilier18, ils ont aussi le droit (la consultation est présentée comme facultative) de consulter le fichier :
– avant d’octroyer un crédit autre que ceux mentionnés supra ;
– avant l’attribution de moyens de paiement19 ;
– dans le cadre de la gestion des risques liés aux crédits souscrits par leurs clients.
Sans doute, la manière d’appréhender ces cas de consultations facultatives peut nourrir des discussions sur le comportement de certains. D’autant que l’arrêté précise que les informations recueillies ne peuvent être utilisées à d’autres fins20.
Mines d’informations pour les établissements. Le FICP est source d’informations stratégiques pour les établissements qui y ont accès, puisque toute inscription signale un doute sur la solvabilité d’un emprunteur et peut même traduire un risque de solidité voire de probité de clients potentiels. Dans le large KYC auquel les établissements sont tenus de procéder21, la possibilité de consulter le FICP est donc précieuse. Or il appert que des entités qui y ont accès le consultent dès qu’elles doivent noter un client ou valoriser un portefeuille de clients, à la suite par exemple d’un rachat de créances (opération de titrisation ou de refinancement), ou à l’octroi d’un crédit non soumis au régime du crédit à la consommation (on pense aux paiements fractionnés, en trois-quatre fois, que les professionnels s’évertuent à faire échapper à ce régime22, ou encore aux crédits à court terme dits aussi « mini-crédits »).
Mise à jour des régularisations. Comme il recense les informations sur les incidents de paiement des emprunteurs, le FICP est un canal de diffusion de données personnelles dont la gestion doit être rigoureuse. Les tracas pratiques des personnes dont le nom est inscrit, alors parfois que l’incident à l’origine de l’inscription est le fait d’un homonyme ou qu’il a été purgé, engendre même des réclamations23, voire des contentieux24. L’inscription au FICP est, en pratique, un motif de refus de crédit (qui doit, selon la Cnil, être révélé au demandeur)25 mais également un motif de refus d’ouverture de compte. C’est aussi l’une des conséquences systématiques de l’ouverture d’un dossier de surendettement qui plonge les intéressés dans la catégorie de la clientèle fragile26. Il a donc des conséquences importantes pour les particuliers. C’est pourquoi la mise à jour après régularisation des incidents doit être rigoureuse et intervenir dans les temps. Or les règles de « fichage/défichage » donnent lieu à des manquements et est source de problèmes identifiés depuis des années27.
Risques de contrôle. Si la Cnil ne dispose pas de suffisamment de moyens pour opérer des contrôles à grande échelle dans le domaine bancaire (et des paiements), elle collabore avec l’ACPR, comme avec les autres régulateurs. Ceci démultiplie les possibilités d’appréhender la gestion de l’accès au FICP et des inscriptions initiées par les établissements28 et devrait donc inciter ces derniers à prêter attention au respect des règles en la matière. n
