Loi n° 23-059 du 10 décembre 2023 relative à l’activité et au contrôle des bureaux d’information sur le crédit

Les bureaux d’information sur le crédit sont tenus de se conformer de manière constante aux conditions de leur agrément. Ils sont tenus de s’assurer que tout sous-traitant qu’ils désignent respecte de manière constante la présente loi, notamment toute obligation mise à la charge des bureaux d’information sur le crédit.

Dans le but d’assurer une sécurité maximale des données, les bureaux d’information sur le crédit sont tenus de :

• 1° mettre en place des politiques et des procédures garantissant la protection de leurs systèmes d’information et des informations recueillies ;
• 2° conclure, avant toute collecte ou diffusion des informations, un contrat de prestation de service avec chaque fournisseur et utilisateur garantissant la confidentialité et la fiabilité des données ainsi que la sécurité des canaux de communication utilisés pour le partage des données ;
• 3° élaborer un Code de conduite et d’éthique qui fait partie intégrante du contrat de prestation de service à signer avec chaque fournisseur et utilisateur d’informations sur le crédit ;
• 4° informer et former les différents intervenants pour assurer la conformité aux politiques et aux procédures ;
• 5° assurer un contrôle permanent du respect des dispositions contractuelles, des politiques, des procédures, des contrôles mis en place et des exigences de la présente loi et de ses mesures d’application ;
• 6° prendre rapidement des mesures efficaces pour remédier aux lacunes observées vis-à-vis du non-respect des dispositions contractuelles, des politiques, des procédures, des contrôles mis en place et des exigences de la présente loi et de ses mesures d’application ;
• 7° tenir un registre électronique d’accès aux informations et mettre à la disposition de chaque client requérant le nom de chaque utilisateur qui a eu accès à ses données et la date à laquelle la consultation a eu lieu ;
• 8° se doter d’une unité chargée de la protection des données à caractère personnel, supervisée par un responsable désigné sur la base de ses qualités morales, professionnelles et en particulier, de ses connaissances spécialisées des meilleures pratiques internationales en la matière ;
• 9° prendre les mesures supplémentaires prévues à l’article 206 de l’ordonnance-loi 23-010 du 13 mars 2023 portant Code du numérique ;
• 10° procéder périodiquement à un audit de sécurité de leurs systèmes d’information et un audit de conformité relatif aux dispositions légales en matière de données à caractère personnel au moins une fois par an et de communiquer à la Banque centrale du Congo les rapports d’audit ainsi que les plans d’actions de mise en œuvre des recommandations desdits rapports au plus tard le 30 juin suivant l’année concernée par l’audit ;
• 11° mettre en place un plan de continuité d’activités ;
• 12° informer sans délai la Banque centrale du Congo et l’autorité nationale en charge de la cybersécurité de toute cyberattaque ou intrusion non autorisée sur leurs systèmes d’information et des mesures prises pour y faire face.

La transmission par les bureaux d’information sur le crédit des informations, des rapports de solvabilité, des services à valeur ajoutée et des prestations de services en général s’effectuent par tout moyen technologique, appareil électronique ou système informatisé de traitement de l’information, via un réseau public ou privé de télécommunication, pour autant que ceux-ci garantissent la sécurité, la confidentialité, la protection, l’intégrité et la fiabilité des informations.

La base de données d’un bureau d’information sur le crédit et les sites de sauvegarde ne peuvent être délocalisés, conservés ou hébergés dans une ambassade digitale, un hébergeur se trouvant dans un État tiers ou une organisation internationale, sauf autorisation préalable de la Banque centrale du Congo et de l’Autorité de protection des données à caractère personnel.

Le transfert de données à caractère personnel vers des États tiers ou une organisation internationale fait l’objet d’un contrôle régulier de la Banque centrale du Congo.

Il est interdit aux bureaux d’information sur le crédit de :

• 1° conclure un contrat d’exclusivité avec un utilisateur ou un fouisseur qui empêche de demander ou de fournir des informations à tout autre bureau d’information sur le crédit agréé ;
• 2° établir des limites au nombre de consultations que les utilisateurs peuvent effectuer ou de services qu’ils peuvent utiliser ;
• 3° établir des critères opérationnels ou des politiques commerciales contraires aux dispositions de la présente loi.

Tout fournisseur doit :

• 1° signer un contrat de fournisseur et un Code de conduite avec le bureau d’information sur le crédit qui confère le statut de fournisseur d’informations ;
• 2° transmettre au bureau d’information sur le crédit, dans les délais fixés par instruction de la Banque centrale du Congo les informations sur le crédit selon les termes, le format établis et convenus avec le bureau d’information sur le crédit en vertu du contrat de prestation de services et du Code de conduite signé avec ce dernier. Ces informations doivent être exhaustives, fiables, précises et à jour ;
• 3° obtenir le consentement préalable, libre, informé et spécifique du client pour le partage des informations le concernant avec le bureau d’information sur le crédit et la consultation desdites informations par les utilisateurs des bureaux d’information sur le crédit pour chaque demande de crédit ou de prestation de services ;
• 4° conserver le consentement du client en vertu des dispositions de la présente loi ;
• 5° garder la confidentialité absolue à l’égard du contenu des informations fournies au bureau d’information sur le crédit ;
• 6° garantir aux clients concernés un droit d’accès, de rectification et de radiation de leurs informations, le cas échéant.

Tout utilisateur est soumis aux obligations suivantes :

• 1° signer un contrat avec le bureau d’information sur le crédit et adhérer au Code de conduite qui lui confère le statut d’utilisateur :
• 2° garder une confidentialité absolue à l’égard du contenu des informations fournies par le bureau d’information sur le crédit ;
• 3° mettre en œuvre tous les moyens nécessaires pour imposer aux membres de leur personnel, ayant accès à des données à caractère personnel figurant dans les rapports de solvabilité fournis par les bureaux d’information sur le crédit, la plus stricte confidentialité concernant lesdites données ;
• 4° obtenir le consentement préalable, libre, informé et spécifique du client pour l’utilisation des informations le concernant détenues par les bureaux d’information sur le crédit° Ce consentement du client doit être inscrit comme partie intégrante de la demande de crédit ou du contrat de crédit ;
• 5° informer le client en cas de refus d’octroi de crédit et lui fournir une copie du rapport de solvabilité qui a servi de base à la décision en soulignant les données qui ont fondé la décision et en fournissant une explication claire des motifs du refus, si le refus est directement lié aux informations ou services reçus du bureau d’information sur le crédit ;
• 6° s’interdire de communiquer les informations et données contenues dans les rapports de solvabilité pour tout motif autre que ceux visés à l’article 45, alinéa 1 de la présente loi ou de les utiliser à des fins de prospection commerciale, de marketing, de publicité d’études ou de ciblage des clients d’autres utilisateurs.

Les entreprises et entités dont les activités comprennent l’octroi de crédit quelle qu’en soit la forme sont tenues de :

• 1° consulter au moins un bureau d’information sur le crédit et d’utiliser les informations fournies par ce dernier lors de l’analyse de chaque demande, de la restructuration, du rachat d’un crédit, d’une demande de mise en place d’une garantie et de façon plus générale pour toute évaluation et suivi de leurs portefeuilles clients ou pour toute activité prescrite par la Banque centrale du Congo ;
• 2° fournir périodiquement à tous les bureaux d’information sur le crédit toutes les informations de leurs clients et leurs garants, existants dans leurs portefeuilles de crédit conformément aux dispositions de la présente loi.

Le client donne son consentement aux fournisseurs et utilisateurs avant la collecte, le traitement, la diffusion et l’utilisation de l’information le concernant.

Le consentement donné par le client à l’utilisateur pour consulter les informations le concernant auprès d’un bureau d’information sur le crédit doit être exempt de tout vice et délivré expressément. La charge de la preuve du consentement exprès du client incombe à l’utilisateur.

Cette obligation ne s’applique pas aux données publiques.

Sur la base du consentement obtenu, les utilisateurs peuvent procéder à la consultation des informations auprès des bureaux d’information sur le crédit et ce, pendant la durée de la relation d’affaires et pour les fins autorisées par la présente loi.

Tout client d’un fournisseur ou d’un utilisateur d’informations dont les informations sur le crédit sont enregistrées auprès d’un bureau d’information sur le crédit dispose d’un droit :

• 1° à l’information sur :
• a) les catégories de données concernées ;
• b) l’objet de la collecte, du traitement et de la diffusion des informations le concernant par le bureau d’information sur le crédit ;
• c) les coordonnées du bureau d’information sur le crédit par lequel ces informations sont collectées, traitées et conservées ;
• d) le fait de pouvoir demander à ne pas figurer dans la base de données du bureau d’information sur le crédit ainsi que les conséquences éventuelles d’une telle demande ;
• e) la durée de conservation de ces informations par le bureau d’information sur le crédit.
• 2° d’accès et de vérification des informations le concernant dans la base de données des bureaux d’information sur le crédit ;
• 3° de contestation, rectification ou radiation, sans frais, des informations erronées le concernant, en cas d’erreur contenue dans leurs informations et données imputable aux fournisseurs d’informations ou aux bureaux d’information sur le crédit ;
• 4° de recevoir toutes les informations conservées par un bureau d’information sur le crédit sur son historique d’informations sur le crédit, sur présentation d’une demande signée accompagnée d’une preuve d’identité.

L’historique des informations sur le crédit fourni au client doit inclure un rapport de solvabilité, la liste des utilisateurs qui ont accédé à ses données au cours de six derniers mois, les Codes utilisés dans le rapport de solvabilité ainsi que l’identité du fournisseur d’informations sur le crédit qui ont servi à l’élaboration du rapport de solvabilité.

L’historique des informations sur le crédit fourni à un client par les bureaux d’information sur le crédit doit être libellé sous une forme claire, complète et compréhensible.

L’historique d’informations sur le crédit est transmis au client dans un délai de cinq jours ouvrables à compter de la réception par le bureau d’information sur le crédit de la demande du client.

Les modalités et la périodicité de la mise à disposition de l’historique des informations sur le crédit sont fixées par voie d’instruction de la Banque centrale du Congo.

En cas de contestation par un client des informations contenues dans un rapport de solvabilité ou de tout autre rapport relatif à un service de valeur ajoutée fourni par un bureau d’information sur le crédit, ledit client peut déposer une réclamation auprès du bureau d’information sur le crédit, accompagnée des documents prouvant l’inexactitude des données.

La réclamation peut également être transmise au bureau d’information sur le crédit par l’intermédiaire d’un utilisateur ou de tout autre fournisseur avec lequel le client entretient une relation contractuelle.

Le bureau d’information sur le crédit transmet la requête du client au fournisseur de données dans un délai de cinq jours, à compter de la date de réception de la requête.

Le fournisseur de données dispose d’un délai de dix jours calendaires, à compter de la réception de la correspondance du bureau d’information sur le crédit, pour confirmer à ce dernier l’exactitude des données, les corriger ou les radier, le cas échéant.

À la réception de la réponse du fournisseur, le bureau d’information sur le crédit confirme les données, les modifie ou les radie, dans un délai de dix jours calendaires et en informe le client.

Le bureau d’information sur le crédit envoie le rapport de crédit modifié à tous les utilisateurs qui ont demandé un rapport sur le client au cours des six mois précédant la date à laquelle le litige a été évoqué.

Dans le cas où le processus visant à donner suite à la réclamation du client n’est pas finalisé dans un délai de trente jours calendaires suivant la requête du client, le bureau d’information sur le crédit doit retirer temporairement de la consultation par les utilisateurs de données, le dossier complet du client, jusqu’au règlement du litige. Toutefois, il est tenu de mentionner que la correction ou la radiation des données est en cours.

Le bureau d’information sur le crédit doit autoriser le client à introduire un message dans le rapport de crédit, en cas de désaccord entre le client et le fouisseur de données sur les informations transmises au bureau d’information sur le crédit, pour prouver l’erreur et si le litige n’est pas résolu par un accord dans les trente jours calendaires, à compter de la date de réponse du fournisseur. Ce message explique al raison du litige, jusqu’à ce qu’une solution définitive soit trouvée.

Dans le cas où le fournisseur de données signale que l’erreur évoquée dans la requête déposée par le client est imputable au bureau d’information sur le crédit, ce dernier doit la corriger dans un délai de dix jours calendaires, à compter de la réception de la notification du fournisseur de données.

Le client qui n’est pas satisfait de la suite donnée à sa réclamation par le bureau d’information sur le crédit, le fournisseur ou l’utilisateur, peut introduire une requête auprès de la Banque centrale du Congo qui se prononce dans un délai de trente jours calendaires, à compter de la date de sa saisine.

La Banque centrale du Congo procède à une médiation en cas de réclamation.

Les données à caractère personnel ne peuvent être recueillies qu’aux fins déterminées par la présente loi. Elles doivent être :

• 1° collectées de façon licite ;
• 2° traitées loyalement et licitement ;
• 3° adéquates, pertinentes et ajustées aux finalités pour lesquelles elles sont collectées et traitées ultérieurement ;
• 4° exactes et mises à jour ;
• 5° conservées sous une forme permettant à la fois l’identification des personnes concernées, la confidentialité et l’inaccessibilité par tout tiers non autorisé, pendant une durée de cinq ans.

Les mesures appropriées doivent être prises pour que les données inexactes, incomplètes, équivoques, périmées ou dont la collecte, l’utilisation, la communication ou la conservation est interdite, soient rectifiées ou radiées.

La communication et la diffusion délibérées d’informations erronées engagent la responsabilité de son auteur.

Le fournisseur engage sa responsabilité civile et pénale pour toute collecte de données à caractère personnel et informations relatives à une personne physique n’ayant pas donné son consentement.

L’utilisateur engage sa responsabilité civile et pénale pour toute demande de rapports de solvabilité non autorisée par la personne physique ou morale concernée et pour toute utilisation illicite ou abusive des informations sur le crédit des personnes qui lui sont fournies.

Il est interdit à un bureau d’information sur le crédit de fournir les informations sur un client, sauf dans les cas autorisés ci-après :

• 1° lors de l’analyse du dossier d’un client ou de son garant concernant une demande, un renouvellement d’un financement, une restructuration ou un rachat d’un crédit ;
• 2° pour la fourniture d’un bien ou d’un service à paiement différé sollicité par le client ;
• 3° pour le suivi périodique du portefeuille de crédit et à des fins d’évaluation des risques ;
• 4° pour le recouvrement de créances, la collecte et le traçage par un fournisseur des clients ;
• 5° pour le client lui-même dans le cadre des droits d’accès, vérification, correction des informations qui le concernent conformément à la présente loi et aux instructions ;
• 6° en réponse à une demande de la Banque centrale du Congo ;
• 7° dans le cadre d’une instruction judiciaire ou pour l’exécution d’une décision de justice ;
• 8° dans tout autre cas approuvé par la Banque centrale du Congo.

Il est interdit d’exploiter ces informations à des fins autres que celles mentionnées à l’alinéa 1er du présent article.

Il est interdit aux bureaux d’information sur le crédit, aux fournisseurs et aux utilisateurs de collecter, conserver, traiter, diffuser, faire état dans un rapport de solvabilité, ou tout autre document sous toute autre forme, format ou support, des données sensibles.

Il est expressément interdit aux bureaux d’information sur le crédit et aux utilisateurs de fournir et de demander des informations et des rapports de solvabilité pour des fins autres que celles prévues à l’article 45 ci-dessus.