Les banques fournissent à leurs clients un accès internet à leurs comptes bancaires afin qu'ils puissent consulter l'état de leurs soldes ou procéder en ligne à des opérations tels que des virements.
Si l'accès aux comptes via internet est en principe sécurisé par des identifiants et mots de passe personnels, un tiers mal intentionné peut aussi s'y introduire grâce au vol de ces informations ou après une connexion restée active.
Le 17 juillet 2014, le Président du Tribunal de grande instance de Paris a jugé que les logs de connexion à un compte bancaire, dont les adresses IP, sont des données personnelles que le titulaire du compte est en droit d'obtenir de sa banque en cas d'utilisation frauduleuse de celui-ci pour établir la fraude le cas échéant.
En l'espèce une cliente de la banque LCL a reçu de cette dernière un email l’informant de ce que son compte bancaire présentait une situation débitrice et dont le destinataire de fonds était le collègue de son mari.
Ce dernier aurait donc utilisé les identifiants et mots de passe de son compte sur internet pour y procéder de manière frauduleuse à des virements à son bénéfice.
Sur le fondement de l’article 808 du code de procédure civile (l'urgence) et de l'article 39-I-4 de la la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, la cliente a enjoint à sa banque d'avoir à lui communiquer l’historique des logs de connexion de ses comptes bancaires en ligne depuis leur création.
En effet, pour mémoire, l'article 39 précité dispose que :
« Toute personne physique justifiant de son identité a le droit d'interroger le responsable d'un traitement de données à caractère personnel en vue d'obtenir :
4° La communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l'origine de celles-ci ».
Le LCL ayant refusé cette communication spontanée, la cliente a saisi le juge des référés afin que soit ordonnée cette communication sous astreinte, outre une avance sur indemnisation et le remboursement de ses frais de procédure et d'avocat.
Pour s’opposer à cette prétention, le LCL soutenait que les données dont la cliente sollicitait la communication n'étaient pas des données personnelles, mais celles de tiers, de sorte qu’elle n’y avait aucun droit d’accès, et que les dispositions de la loi du 6 janvier 1978 n’avaient pas vocation à s’appliquer.
En vain, le juge des référés a donné droit aux demandes de la cliente en considérant que :
« Il est constant que, dans ses échanges en ligne avec ses clients, la société LCL est soumise aux dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée ;
Que l’article 39-1 de cette loi consacre un droit d’accès de toute personne physique à ses données à caractère personnel ;
Qu’en sollicitant la communication des logs de connexion de ses comptes en ligne, Mme M. interroge sa banque sur l’accès à ses propres comptes et, ainsi, sur des données qui lui sont personnelles, et l’éventualité que cette communication révélerait une utilisation frauduleuse ne saurait la priver du droit que lui confère l’article 39-1 de la loi du 6 janvier 1978 d’obtenir que lui soient communiquées les données personnelles qu’elle sollicite ;
Que la contestation opposée par la société LCL n’étant ainsi pas sérieuse et l’urgence résultant de la conservation légale des données pendant une durée limitée à un an, il sera fait droit à la prétention de Mme M ... ».
Le juge a donc enjoint aux crédit lyonnais d'avoir à communiquer à Mme M., dans un délai de huit jours à compter de la signification de sa décision, l’historique de ses logs de connexion, incluant les adresses IP.
Cette décision, qui est une première à ce sujet, est importante à plusieurs égards :
- l’adresse IP de connexion constitue une donnée à caractère personnelle ;
- en cas de soupçon d'intrusion frauduleuse dans un compte bancaire en ligne, les clients sont en droit d'obtenir de leur banque de leur fournir les logs de connexion ;
- la durée légale de conservation des données d'un an constitue la seule limite susceptible d'être opposée par les banques à leurs clients.
Je suis à votre disposition pour toute action ou information (en cliquant ici).
PS : Pour une recherche facile et rapide des articles rédigés sur ces thèmes, vous pouvez taper vos "mots clés" dans la barre de recherche du blog en haut à droite, au dessus de la photographie.
Anthony Bem
Avocat à la Cour
27 bd Malesherbes - 75008 Paris
01 40 26 25 01
abem@cabinetbem.com
