Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 (5°) ;
Vu le décret n° 71-941 du 26 novembre 1971 relatif aux actes établis par les notaires ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2008-007 du 10 janvier 2008 portant autorisation unique de traitements de données à caractère personnel aux fins d'exercice des activités notariales et de rédaction des documents des offices notariaux ;
Après avoir entendu Mme Claire DAVAL, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
La Commission nationale de l'informatique et des libertés (CNIL) constate que les caisses régionales du crédit agricole mettent en œuvre des traitements de données à caractère personnel permettant à partir des fichiers de leurs clients d'assurer le suivi des dossiers clients dans le cadre d'opérations de crédits immobiliers en y intégrant des informations en provenance des traitements des offices notariaux ou en communiquant des données vers les applications de ces offices.
Elle constate que ces traitements de données à caractère personnel ont vocation à s'intégrer dans l'application Mécanotaire (Mécaniques d'échange avec le notariat) et comportent des interconnexions avec le traitement des offices notariaux, dont les finalités principales sont différentes.
Dès lors, de tels traitements relèvent de l'article 25 (I, 5°) de la loi du 6 janvier 1978 susvisée et doivent, à ce titre, être autorisés par la CNIL.
En vertu de l'article 25 (II) de la loi du 6 janvier 1978 susvisée, la commission peut adopter une décision unique d'autorisation pour des traitements répondant notamment aux mêmes finalités, portant sur des catégories de données et des catégories de destinataires identiques.
Le responsable de chaque traitement se conformant à cette décision unique adresse à la commission un engagement de conformité aux caractéristiques de celui-ci de la présente autorisation.
Décide que les caisses régionales qui adressent à la commission un engagement de conformité pour leurs traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisées à mettre en œuvre ces traitements.
Seuls peuvent faire l'objet d'un engagement de conformité par référence à la présente décision unique les traitements mis en œuvre par les caisses régionales du crédit agricole aux fins de gestion des dossiers de vente immobilière assortie d'un crédit bancaire et de rédaction de documents correspondant aux finalités définies ci-après, et ayant vocation à être transmis à un office notarial.
Catégories de données à caractère personnel enregistrées.
Seules les informations suivantes peuvent être traitées :
Les données enregistrées ne peuvent pas, dans le cadre de la présente décision d'autorisation unique, faire l'objet d'autres traitements, ni être intégrées dans d'autres fichiers, ni faire l'objet d'autres interconnexions, rapprochements ou forme de mise en relation avec d'autres traitements que ceux servant à alimenter les traitements aux fins d'exercice des caisses régionales visés à l'article 1er.
Les personnes concernées sont informées de l'identité du responsable du traitement, des finalités poursuivies, du caractère obligatoire ou facultatif des réponses à apporter, des conséquences éventuelles, à leur égard, d'un défaut de réponse des destinataires des données et de leurs droits d'opposition, pour des motifs légitimes, au traitement de leurs données, sauf dans les cas où le traitement répond à une obligation légale, d'accès aux données les concernant et de rectification de ces données.
Elles sont informées, en particulier, que les informations les concernant sont transmises à l'office notarial concerné.
Le droit d'accès défini au chapitre V de la loi s'exerce auprès du (ou des) service(s) que la caisse régionale a désigné(s). Cette information figure sur les supports utilisés par le responsable du traitement pour le recueil des informations portant sur les personnes concernées.
Hormis les cas prévus à l'article 4, les caisses régionales s'engagent à ne pas diffuser à des tiers les informations reçues dans le cadre de l'application Mécanotaires, sauf les cas prévus par les textes en vigueur.
Dans la limite de leurs attributions respectives et pour l'exercice des finalités précitées, seuls sont autorisés à accéder directement aux informations contenues dans le traitement de données à caractère personnel aux fins d'exercice des activités des caisses régionales et de rédaction des actes et des documents de l'office notarial les agents habilités de la caisse régionale du crédit agricole.
Les agents habilités de la caisse régionale ne doivent accéder qu'aux données dont ils font un usage habituel en fonction des missions qui leur sont assignées.
Dans la limite de leurs attributions respectives et pour l'exercice de leur mission dans le cadre des finalités précitées, seuls sont destinataires des informations qui les concernent dans la mesure où ils y sont autorisés et dans le respect des dispositions de la loi du 6 janvier 1978 susvisée les agents habilités :
Les informations relatives au client de la caisse régionale nécessaires à la gestion des dossiers de crédit immobilier en cours et à la rédaction des documents s'y rapportant sont conservées trente ans à compter de l'achèvement de la prestation, conformément à l'article 22-72 de la loi n° 2008-561 du 17 juin 2008 sur la prescription en matière civile.
Des mesures de protection physique et logique doivent être prises pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse des informations, notamment par des tiers non autorisés.
Les accès individuels à l'application s'effectuent par un identifiant et un mot de passe individuels, régulièrement renouvelés, ou par tout autre moyen d'authentification.
Une journalisation des connexions est mise en œuvre.
Les systèmes d'information des offices notariaux sont connectées à la plate-forme « Planète » qui est hébergée par le serveur du Conseil supérieur du notariat. Les liaisons entre le serveur du Conseil supérieur du notariat et le serveur du Crédit agricole utilisent une liaison spécialisée dédiée.
Tout traitement aux fins d'exercice des caisses régionales du crédit agricole ne répondant pas aux conditions précédemment exposées devra faire l'objet d'une déclaration auprès de la Commission nationale de l'informatique et des libertés.
La présente délibération sera publiée au Journal officiel de la République française.
