Par une décision du 9 mars 2018, le Conseil d’Etat a estimé que la Cnil n’avait pas commis d’erreur manifeste d’appréciation en refusant de décharger de ses fonctions un correspondant informatique et libertés (CIL) pour avoir manqué à ses devoirs. Selon le Conseil, « l’information des clients d’un établissement bancaire quant au risque financier qu’ils prennent en recourant à l’emprunt ne relève pas des devoirs du correspondant à la protection des données à caractère personnel de cet établissement ».
Un particulier était en conflit avec la banque CIC Est à laquelle il reprochait de ne pas l’avoir suffisamment alerté sur les risques qu’il prenait en souscrivant un prêt auprès d’elle. Il a demandé à la Cnil de destituer le correspondant à la protection des données personnelles au motif qu’il n’aurait pas respecté ses obligations et la communication de la liste complète de tous les traitements de données déclarés par la banque auprès d’elle.
Selon l’article 22 de la loi du 6 janvier 1978 modifiée, le responsable de traitements est dispensé de les déclarer auprès de la Cnil, à condition de désigner un CIL. En cas de manquements à ses devoirs, le CIL est déchargé de ses fonctions sur demande, ou après consultation, de la Cnil. En l’espèce, la Cnil a communiqué la liste des traitements demandée mais a refusé de décharger le CIL de ses fonctions car aucun élément ne lui permettait de constater qu’il avait manqué à ses devoirs.