Article (sans numéro) JORFARTI000054735083
N° de demande d'avis : 26000955 | Thématiques : Banque, Crédit, FICP |
Organisme(s) à l'origine de la saisine : Ministère de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique | Fondement de la saisine : Article L. 751-6 Code de la consommation |
L'essentiel : Le projet d'arrêté modifie l'arrêté du 26 octobre 2010 relatif au FICP afin d'adopter les dispositions nécessaires à la mise en œuvre des mesures issues de deux ordonnances de 2025 transposant la directive (UE) 2023/2225 relative aux contrats de crédit aux consommateurs. La CNIL considère que certains aspects opérationnels, tels que les transferts d'informations envisagés entre les différentes entités mentionnées et l'identification des entités mentionnées elles-mêmes pourraient être clarifiés ou plus simplement exposés. Les modifications envisagées par le projet d'arrêté modificatif tiennent compte des différentes hypothèses de cession ou transferts de créances ou de contrats de crédits susceptibles d'intervenir dans le contexte juridique actuel. La CNIL relève que certaines démarches envisagées pourraient accroître significativement le nombre de personnes inscrites dans le FICP et souhaite rappeler que ce fichier ne doit pas devenir un obstacle dans l'accès au crédit pour des personnes qui ont rencontré ponctuellement des difficultés sur des opérations de faible montant.
La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (« règlement général sur la protection des données » ou « RGPD ») ; Vu la directive (UE) 2023/2225 du Parlement européen et du Conseil du 18 octobre 2023 relative aux contrats de crédit aux consommateurs et abrogeant la directive 2008/48/CE (« la directive 2023/2225 ») ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (« loi informatique et libertés ») ; Vu l'ordonnance n° 2025-880 du 3 septembre 2025 relative au crédit à la consommation (« l'ordonnance du 3 septembre 2025 ») ; Vu l'ordonnance n° 2025-1154 du 2 décembre 2025 relative au crédit à la consommation (« l'ordonnance du 2 décembre 2025 ») ; Vu l'arrêté du 26 octobre 2010 relatif au fichier national des incidents de remboursement des crédits aux particuliers (« l'arrêté du 26 octobre 2010 ») ; Après avoir entendu le rapport de M. Philippe-Pierre Cabourdin, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante :
I. - La saisine A. - Le contexte
Les dispositions de la directive 2023/2225 ont été transposées en droit interne par les ordonnances du 3 septembre et du 2 décembre 2025, dont l'entrée en application est prévue le 20 novembre 2026. Dans le cadre de cette transposition, le présent projet d'arrêté (« le projet d'arrêté modificatif ») vise à adopter les dispositions nécessaires à la mise en œuvre des mesures issues des ordonnances précitées, en modifiant l'arrêté du 26 octobre 2010 relatif au fichier national des incidents de remboursement des crédits aux particuliers (« l'arrêté FICP »). Le fichier national des incidents de remboursement des crédits aux particuliers (FICP) a pour objectif, conformément à l'article L. 751-2 du code de la consommation, de fournir un élément d'appréciation de la solvabilité des personnes qui sollicitent un crédit afin de lutter contre le surendettement, conformément au livre VII du code de la consommation. La consultation de ce fichier par les organismes prêteurs est obligatoire ou facultative en fonction des différents crédits dont l'obtention est sollicitée par les personnes concernées (crédit immobilier, crédit à la consommation supérieur ou inférieur à 200 euros, etc.).
B. - L'objet de la saisine
Le 15 janvier 2026, le ministère de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique a saisi la CNIL, en urgence, pour avis sur le projet d'arrêté modificatif. Les modifications envisagées dans le projet d'arrêté ont notamment pour objet :
- d'intégrer les crédits inférieurs à 200 euros et leurs paiements fractionnés ou différés aux opérations qui peuvent faire l'objet d'un incident de paiement susceptible d'être déclaré au FICP ; - de diminuer le montant à partir duquel un incident de paiement peut être déclaré au FICP, dans le contexte des crédits qui ne comportent pas d'échéance ; - d'intégrer une dérogation pour la transmission d'informations à la Banque de France par les entités déclarantes en cas d'incident de paiement ; - d'ajouter un nouvel article relatif au régime des inscriptions d'incidents de paiement au FICP dans le cas de cessions ou transferts de créances ou de contrats de crédit.
II. - L'avis de la CNIL A. - Sur l'ajustement du seuil à partir duquel un incident de paiement est caractérisé pour les crédits ne comportant pas d'échéance
La transposition en droit interne de la directive 2023/2225 modifie les seuils à partir desquels s'appliquent les dispositions du code de la consommation. Désormais, les crédits inférieurs à 200 euros sont inclus dans ce périmètre, dans le but, affiché par la directive, d'améliorer la protection des personnes contre le surendettement. La CNIL prend acte de ce que les modifications proposées par le ministère à l'article 4 de l'arrêté FICP abaissent également le seuil qui permet de caractériser un incident de paiement pour un même crédit ne comportant pas d'échéance. Ces modifications prévoient que le défaut de paiement des sommes exigibles pendant plus de soixante jours après mise en demeure du débiteur est considéré comme un incident de paiement caractérisé, dès lors que le montant des sommes impayées est au moins égal à 150 euros et non plus à 500 euros. Le choix d'abaisser le seuil à 150 euros relève, selon le ministère, d'une volonté d'harmoniser le contenu de l'article 4, 2° avec l'article 4, 3° de l'arrêté FICP, qui prévoit que pour tous les types de crédit, les établissements peuvent s'abstenir d'inscrire les incidents de paiement inférieurs à 150 euros pour lesquels la déchéance du terme n'a pas été prononcée. Cet abaissement ne résulte pas d'une obligation imposée par la transposition de la directive mais d'une volonté de prendre en compte les crédits de faible montant, dès lors que les dispositions européennes semblent vouloir soumettre ces opérations à une vigilance particulière. La CNIL estime toutefois que l'abaissement du seuil proposé, dès lors qu'il est significatif, pourrait conduire à une augmentation potentiellement très importante du nombre de personnes inscrites dans le FICP et considère qu'au regard de cette conséquence et des implications pour les personnes concernées la justification avancée par le ministère pour l'abaissement de ce seuil n'apparaît pas suffisante. Elle souhaite à cet égard rappeler qu'il convient de veiller à ce que le FICP ne devienne pas un obstacle dans l'accès au crédit pour des personnes qui ont rencontré ponctuellement des difficultés sur des opérations de faible montant.
B. - Sur la transmission simplifiée d'informations par les entités déclarantes
L'article 6 de l'arrêté FICP fixe les modalités et le contenu de la déclaration réalisée auprès de la Banque de France en cas d'incident et à ce titre, il liste les informations à transmettre à la Banque de France pour chaque incident de paiement déclarable. Le projet d'arrêté modificatif introduit un régime déclaratif dérogatoire pour les établissements qui appliquent un dispositif de connaissance du client simplifié au sens de l'article L. 561-9 du code monétaire et financier. Il serait dans ces conditions uniquement nécessaire de transmettre à la Banque de France les informations suivantes, mentionnées à l'article R. 561-5 de ce même code : nom, prénoms, date et lieu de naissance des personnes concernées. Si la CNIL encourage par principe l'introduction de dispositions dont l'objectif est de limiter les données personnelles traitées, conformément au principe de minimisation des données visé à l'article 5 (1) (c) du RGPD, elle s'interroge en l'espèce sur la possibilité que ce régime dérogatoire puisse risquer de porter atteinte au principe d'exactitude des données posé par l'article 5 (1) (d) du RGPD et ainsi des risques pour les personnes inscrites au FICP (tels que, par exemple, un risque d'homonymie, d'usurpation d'identité, etc.). Les services de la Banque de France ont en effet indiqué qu'une part importante de la diminution de l'exactitude des données du FICP est directement liée à l'augmentation de l'octroi des « petits crédits » et autres dispositifs de paiement fractionné ou différé, pour lesquels des dispositifs de connaissance du client simplifié sont susceptibles d'être appliqués par les entités assujetties au titre du code monétaire et financier. En conséquence, en cas d'inscription d'un incident de paiement dans le FICP, des données obtenues sur une base purement déclarative pourront être transmises par les organismes déclarants dans la mesure où ces derniers n'ont pas d'obligation spécifique en matière de collecte de données personnelles et pièces justificatives dans le cadre des obligations de vigilances simplifiées au titre du code monétaire et financier. Le ministère a toutefois précisé que l'introduction de cette dérogation au sein de l'article 6 de l'arrêté FICP avait pour objectif de mettre en cohérence les textes, l'arrêté FICP n'ayant pas vocation à déroger aux mesures de vigilance simplifiées prévues par les dispositions législatives et réglementaires du code monétaire et financier. La CNIL tient à souligner que le constat fait par la Banque de France d'une forte augmentation du nombre d'états civils inexacts contenus dans le FICP, car non reconnus par l'INSEE, est réellement préoccupant dans la mesure où il s'agit d'un fichier d'une sensibilité particulière. En effet, ce fichier recense aujourd'hui environ deux millions de personnes, nombre qui devrait fortement augmenter du fait de l'abaissement du seuil prévu par le présent projet d'arrêté modificatif. La CNIL rappelle que ce nouveau seuil permettra l'inscription d'une personne au sein de ce fichier dès que le montant des impayés pour un même crédit sera égal à 150 euros. La CNIL relève toutefois que cette problématique d'exactitude des données contenues dans le FICP apparaît résulter des obligations de vigilance simplifiées prévues par le code monétaire et financier qui devraient être modifiées par le projet de règlement (UE) 2024/1624 du Parlement européen et du Conseil du 31 mai 2024 relatif à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme entrant en application en juillet 2027. Dans l'intervalle, elle estime que ce régime dérogatoire de communication d'informations simplifiées est susceptible de renforcer le risque d'inexactitude des données contenues dans le FICP, et suggère au ministère, compte tenu de l'entrée en application prochaine du règlement (UE) 2024/1624, de ne pas introduire dans l'arrêté les modifications envisagées sur cette transmission d'information simplifiées.
C. - Sur la création d'un nouvel article 6-1 dans l'arrêté FICP
a) Sur la structure du projet d'article 6-1
Le projet d'article 6-1 de l'arrêté FICP envisage dans un premier temps les hypothèses d'inscriptions d'incidents dans le FICP et dans un second temps les hypothèses dans lesquelles les inscriptions doivent être modifiées. La CNIL comprend que les inscriptions d'incidents désignent les hypothèses dans lesquelles une personne intègre le FICP à la suite d'un incident survenu dans le remboursement d'un crédit. De même, elle comprend que l'utilisation du terme « gestion d'inscription » dans la seconde partie du projet d'article 6-1 a une dimension plus large que les seules modifications relatives à l'incident lui-même, telles que celles qui pourraient résulter du paiement intégral des sommes dues. L'objectif poursuivi est de désigner ainsi toutes les modifications rattachables à un incident inscrit dans le FICP, telles que par exemple les modifications qui pourraient résulter de l'exercice d'un droit garanti par le RGPD ou la loi informatique et libertés. La CNIL appelle à préciser les nuances qui s'appliquent à ces deux notions en procédant à une clarification explicite, dans l'arrêté FICP, du sens qu'il convient de leur donner.
b) Sur les développements relatifs aux inscriptions d'incidents
Le I du projet d'article 6-1 organise le régime des inscriptions d'incidents dans le FICP, lorsque ceux-ci ont lieu postérieurement à une cession ou un transfert de créances ou de contrats de crédit :
- si la cession ou le transfert de créances ou de contrats de crédit a été réalisé au profit d'une entité mentionnée au premier alinéa de l'article L. 752-1 du code de la consommation, c'est au cessionnaire qui détient la créance au moment où survient l'incident de procéder à la déclaration au FICP ; - si la cession ou le transfert de créances ou de contrats de crédit a été réalisé au profit d'un tiers non mentionné au premier alinéa de l'article L. 752-1 du code de la consommation, la déclaration de l'incident incombe à l'entreprise qui est chargée du recouvrement, si cette dernière est mentionnée à ce même alinéa premier.
Des échanges avec le ministère ont permis de mettre en avant le fait que le renvoi aux entités mentionnées au premier alinéa de l'article L. 752-1 du code de la consommation (actuel article L. 751-2, le changement de numérotation étant appelé à intervenir une fois l'ordonnance de transposition entrée en application), correspond aux acteurs mentionnés à l'article premier de l'arrêté FICP. La CNIL constate que ce nouveau régime de déclarations ou inscriptions d'incidents au FICP n'a donc pas pour objet, ni pour effet, d'élargir la liste des entités autorisées à procéder à des déclarations d'incidents dans le FICP. Elle estime à cet égard que le renvoi au code de la consommation est pertinent, mais suggère que l'arrêté indique clairement que les acteurs visés par les deux dispositions sont les mêmes, et ce dans le but de garantir la lisibilité de l'arrêté par le plus grand nombre. Elle relève enfin que le ministère a confirmé que l'hypothèse dans laquelle le cessionnaire serait une entité non visée à l'alinéa premier de l'article L. 752-1 du code de la consommation est susceptible de se produire dans le cadre d'opérations de titrisation. Dans cette hypothèse, la CNIL s'interroge sur l'entité ayant la responsabilité de la déclaration d'incidents et déplore que les modifications envisagées par le ministère ne soient pas plus explicites sur ce point, afin de garantir la bonne compréhension des conditions de fonctionnement du FICP issues du projet d'arrêté soumis.
c) Sur les développements relatifs à la gestion des inscriptions des incidents
Le premier alinéa du II du projet d'article 6-1 définit une nouvelle notion, à savoir l'entité « responsable de la gestion de l'inscription » de l'incident, qui est, conformément au principe posé au 1°, l'établissement à l'origine de la déclaration de cet incident. Or, cette notion est utilisée préalablement à la définition proposée, dès les articles 4 et 5 du projet d'arrêté FICP modifié. La CNIL recommande, à des fins de plus grande clarté et sécurité juridique, qu'un renvoi explicite au 1°) du II du projet d'article 6-1 de l'arrêté FICP soit introduit à chaque mention de la notion d'« entité responsable de la gestion de l'inscription » (articles 4 et 5 de l'arrêté FICP modifié), et prend acte de l'engagement du ministère de modifier le projet d'arrêté en ce sens. Le 1° du II du projet d'article 6-1 introduit par ailleurs les acheteurs et gestionnaires de crédit dans l'arrêté FICP, introduction qui résulte des dispositions de l'article 85 de l'ordonnance du 3 septembre 2025. Cet ajout ne procède pas d'une exigence de la directive 2023/2225, mais d'une évolution attendue du marché de la cession de créances à la suite de la transposition en droit interne de la directive (UE) 2021-2167 sur les gestionnaires de crédits et les acheteurs de crédits, et modifiant les directives 2008/48/CE et 2014/17/UE. L'objectif serait ici de garantir l'actualisation rapide et effective du FICP lorsque les incidents de paiement ont fait l'objet d'une régularisation, pour éviter aux personnes concernées de voir leurs nouvelles demandes de crédit remises en cause par le maintien injustifié de leur inscription. Le ministère a précisé que le mécanisme de mise à jour des informations ne nécessite pas que les acheteurs ou gestionnaires de crédit accèdent à la base du FICP : ils ont la possibilité d'envoyer directement au FICP des fichiers de radiation, ou ont accès à un portail dédié qui leur permet de saisir les seules informations qui permettent d'opérer la radiation. En outre, les dispositions du cinquième alinéa du 1° du II du projet d'article 6-1 indiquent, en cas de cessions ou transferts de créances ou de contrats de crédit à un établissement tiers non mentionné dans l'intégralité de l'article L. 752-1 du code de la consommation, que la dernière entité responsable de la gestion de l'inscription au FICP en reste responsable. Ce maintien de la responsabilité initialement attribuée a pour but de ne pas augmenter le nombre d'acteurs susceptibles de modifier le contenu du FICP. Cependant, cette entité se voit déchargée de sa responsabilité dans l'hypothèse où le cessionnaire du crédit ne lui transmettrait pas les informations nécessaires à la gestion de l'inscription. Enfin, le ministère a indiqué que les dispositions du code monétaire et financier lues conjointement à celles du code de la consommation permettent à l'Autorité des Marchés Financiers (AMF) de contrôler et sanctionner les entités qu'elle supervise, au nombre desquelles figurent les organismes de titrisation et leurs sociétés de gestion de portefeuilles, susceptibles de devenir cessionnaires de créances ou de crédit. D'après le ministère, le pouvoir de contrôle et de sanction de l'AMF porte sur tout manquement aux obligations qui incombent à ces entités, ce qui inclurait donc l'obligation de transmission d'informations aux fins de radiation du FICP. Il estime enfin que le cumul des dispositions du code de la consommation et de l'arrêté FICP garantissent une mise à jour efficace de ce fichier, protégeant en conséquence la situation des personnes concernées de manière adaptée. La CNIL prend acte de ces éléments et rappelle que le FICP est un fichier dont la consultation peut avoir de réelles conséquences sur les droits des personnes concernées, raison pour laquelle il convient de veiller à ce que son contenu exempt d'erreurs ou d'imprécisions. La CNIL prend acte de l'engagement du ministère d'intégrer et respecter les exigences de sécurité et de confidentialité prévues par le RGPD pour les échanges d'informations envisagés dans cet article 6-1, afin de lutter contre le risque auquel sont exposées les données des personnes concernées lorsqu'elles sont partagées entre plusieurs entités.