Le Président de la République,

Vu la Constitution,

Vu le décret Présidentiel n° 2021-117 du 22 septembre 2021, relatif aux mesures exceptionnelles,

Après délibération du Conseil des ministres.

Prend le décret-loi dont la teneur suit :

Chapitre premier – Dispositions générales

Article premier – Le présent décret-loi a pour objet de réglementer la création de sociétés d’information sur le crédit et l’exercice de leur activité et de fixer les règles d’échange d’informations sur le crédit afin de renforcer leur qualité en vue de contribuer à l’amélioration de l’inclusion financière.

Art. 2 – Les sociétés d’information sur le crédit sont régies, en ce qui concerne leur création et l’exercice de leur activité par les dispositions du présent décret-loi et la législation relative à la protection de données à caractère personnel.

Art. 3 – Au sens du présent décret-loi, on entend par :

• Informations sur le crédit : les informations relatives aux engagements financiers des personnes physiques et morales portant sur les montants des dettes, les délais de leur exigibilité et les impayés et toutes les informations qui y sont inhérentes.
• Sociétés d’information sur le crédit : les sociétés dont l’activité consiste à traiter les informations sur le crédit sur les personnes physiques et morales, en vue d’évaluer leurs capacités à honorer leurs engagements financiers et à offrir des services connexes selon les conditions fixées par le présent décret-loi.
• Rapport de crédit : Un rapport émis par une société d’information sur le crédit sur papier ou support électronique renfermant les informations sur le crédit de la personne concernée et des renseignements sur sa capacité à honorer ses engagements financiers.
• Fournisseurs d’information : Les parties et organismes mentionnées à l’article 12 du présent décret-loi ayant une relation contractuelle avec la société d’information sur le crédit par une convention de fourniture d’information sur le crédit.
• Instance : L’Instance nationale de protection des données à caractère personnel créée en vertu de la loi organique n°2004-63 du 27 juillet 2004 portant sur la protection des données à caractère personnel.
• Personne concernée : toute personne physique ou morale dont les informations sont communiquées aux sociétés d’information sur le crédit conformément aux dispositions du présent décret-loi.
• Actionnaire de référence : tout actionnaire ou tout pacte d’actionnaires en vertu d’une convention expresse, qui détient d’une manière directe ou indirecte une part du capital d’une société d’information sur le crédit lui conférant la majorité des droits de vote ou lui permettant de la contrôler.

Art. 4 –Les informations se rapportant aux informations sur le crédit, mentionnées à l’article 3 du présent décret-loi sont fixées par une circulaire de la Banque centrale de Tunisie après avis de l’Instance.

Chapitre II – Des sociétés d’information sur le crédit

Section première – De l’agrément de l’exercice de l’activité du renseignement de crédit

Art. 5 – Les sociétés d’information sur le crédit sont créées conformément aux conditions et procédures prévues par le présent décret-loi et sont régies par le code des sociétés commerciales dans la mesure où il n’y est pas dérogé par le présent décret-loi.

Art. 6 – La création des sociétés d’information sur le crédit est soumise à un agrément de la Banque centrale de Tunisie, et ce après obtention de requérant de l’agrément d’une autorisation de l’Instance après la déclaration préalable de traitement des données. La Banque centrale de Tunisie ne peut accorder l’agrément en l’absence d’acceptation par l’Instance du traitement des données à caractère personnel.

Art. 7 – L’agrément est accordé compte tenu :

• du programme d’activité de la société,
• de la qualité des apporteurs de capitaux notamment l’actionnaire de référence et les actionnaires qui détiennent au moins 10% du capital,
• des moyens techniques et du système d’information à mettre en œuvre pour la collecte et la sauvegarde des informations sur le crédit,
• de l’honorabilité des dirigeants et du degré de satisfaction des conditions relatives aux compétences académiques et professionnelles en rapport avec les missions qui leurs sont dévolues,
• du système de gouvernance, du contrôle interne et la conformité en adéquation avec les activités à exercer,
• La mise en place de procédures écrites justifiant la possibilité de recueillir le consentement des personnes physiques concernées pour la communication de leurs données à caractère personnel à la société conformément aux dispositions de la législation relative à la protection des données à caractère personnel et l’accord des personnes morales pour le traitement de leurs données,
• de la prise de toutes les diligences nécessaires pour la protection de l’intégrité des données et interdire à une tierce personne de les modifier ou de les endommager ou de les consulter sans autorisation préalable de leur titulaire ainsi que les précautions nécessaires pour prévenir les pénétrations et les cyberattaques sur le système d’information.

La Banque centrale de Tunisie fixe, en vertu d’une circulaire, les modalités de demande d’agrément ainsi que les documents et les données à fournir.

Art. 8 – La demande d’agrément est adressée à la Banque centrale de Tunisie qui procède à son examen. Elle peut demander au requérant de l’agrément dans un délai d’un mois à compter de la présentation de la demande, tous renseignements et documents nécessaires complémentaires pour l’étude de dossier.

Le requérant de l’agrément doit joindre à sa demande un justificatif attestant de la non-objection de l’Instance concernant la déclaration préalable pour le traitement des données à caractère personnel.

Est réputée non avenue toute demande d’agrément n’ayant pas satisfait les renseignements et documents requis dans un délai de trois (3) mois à compter de la date de leur demande de la Banque centrale de Tunisie.

Le requérant de l’agrément doit procéder à une déclaration préalable pour le traitement des données à caractère personnel auprès de l’Instance conformément aux procédures prévues par la législation relative à la protection des données à caractère personnel. Une copie du récépissé de dépôt de la déclaration est consignée dans le dossier de la demande d’agrément adressée à la Banque centrale de Tunisie.

La décision d’agrément est prise dans un délai de quatre mois à compter de la date de communication de tous les renseignements demandés.

Art. 9 – Les sociétés d’information sur le crédit ne peuvent exercer leur activité qu’après obtention de l’agrément conformément aux dispositions du présent décret-loi. Leur activité doit se limiter aux opérations définies par le présent décret-loi.

Art. 10 – Les sociétés d’information sur le crédit revêtent la forme d’une société anonyme de nationalité tunisienne. Le capital minimum ne peut être inférieur à trois (3) millions de dinars à libérer entièrement à la souscription.

Art. 11 – Nul ne peut occuper la fonction de président ou de membre du conseil d’administration ou du directeur général ou du directeur général adjoint ou du président ou d’un membre du directoire ou du président ou membre du conseil de surveillance d’une société d’information sur le crédit ou s’engager en son nom:

• S’il tombe sous le coup d’un jugement définitif de faillite,
• S’il tombe sous le coup d’un jugement définitif pour faux en écriture, pour vol, pour abus de confiance, pour escroquerie pour extorsion de fonds ou valeurs d’autrui, pour soustraction commise par dépositaire public, pour corruption ou évasion fiscale, pour émission de chèque sans provision, pour recel des choses obtenues à l’aide de ces infractions ou pour infraction à la réglementation des changes ou à la législation relative à la lutte contre le blanchiment d’argent et le financement du terrorisme ;
• S’il a été gérant ou mandataire de sociétés, condamné en vertu des dispositions du code pénal relatives à la banqueroute ;
• S’il a fait l’objet d’une sanction de radiation dans l’exercice d’une activité professionnelle réglementée par un cadre législatif ou réglementaire.

Section 2 – De l’exercice de l’activité

Art. 12 – Les sociétés d’information sur le crédit procèdent à la collecte des informations sur le crédit et à la prestation de leurs services dans le cadre de conventions écrites établies, préalablement, entre les fournisseurs d’informations ci-dessous mentionnés et la société d’information sur le crédit :

• Les banques,
• Les établissements financiers,
• Les sociétés de recouvrement des créances,
• Les commerçants s’adonnant aux ventes avec facilités de paiement,
• Les institutions de microfinance,
• Les compagnies d’assurance,
• Les entreprises, les établissements et les administrations fournissant des prestations de services au public,
• Toute autre société d’information sur le crédit, agréée conformément aux dispositions du présent décret-loi.

La convention doit être conforme aux dispositions du présent décret-loi et à la législation relative à la concurrence et aux prix et doit fixer clairement la facturation des services fournis par les sociétés d’information sur le crédit.

Art. 13 – Les fournisseurs d’information mentionnés à l’article 12 sont tenus d’informer la personne concernée de la finalité du traitement des informations sur le crédit et d’obtenir son consentement explicite et au préalable, et ce par tout moyen laissant une trace écrite avant la communication de ses informations sur le crédit à la société d’information sur le crédit.

Art. 14 – Il est interdit aux membres du conseil d’administration des sociétés d’information sur le crédit ou à leurs dirigeants ou contrôleurs ou employés ou membres du conseil de surveillance ou membres du directoire ou usagers de divulguer les secrets dont ils ont pris connaissance au cours de leur mission, sauf dans les cas autorisés par la loi.

Les dispositions de l’article 254 du code pénal sont applicables à quiconque ayant divulgué ces secrets.

Art. 15 – Il est interdit aux sociétés d’information sur le crédit de formuler des recommandations ou d’exprimer une opinion sur l’octroi ou le non-octroi de financement.

Art. 16 – La personne concernée a le droit de s’opposer au traitement de ses données à caractère personnel et des informations sur le crédit le concernant, elle a également le droit d’y accéder, de demander leur actualisation ou radiation conformément à la législation relative à la protection des données à caractère personnel.

L’Instance peut, dans le cadre des compétences qui lui sont dévolues en vertu de la législation relative à la protection des données à caractère personnel, recevoir des plaintes à cet effet émanant des personnes concernées par le traitement. L’Instance informe la Banque centrale de Tunisie du sort réservé à la plainte.

Art. 17 – Sous réserve des dispositions de l’article 23 du présent décret-loi, il est interdit aux sociétés d’information sur le crédit de divulguer toute information sur le crédit ou rapport sur le crédit sauf aux fournisseurs d’information liés avec la société en vertu d’une convention au sens de l’article 12 du présent décret-loi et conformément aux finalités définies par le présent décret-loi.

Art. 18 – Les sociétés d’information sur le crédit ne peuvent recourir à la sous-traitance de tout ce qui a trait à leurs domaines d’activité.

Section 3 – Du contrôle

Art. 19 – Les sociétés d’information sur le crédit sont soumises à un contrôle sur place et à un contrôle sur pièces effectués par des agents de la Banque centrale de Tunisie.

Elles sont soumises à un contrôle de leurs systèmes d’information par l’Agence nationale de la sécurité informatique, qui est tenue d’informer la Banque centrale de Tunisie de toute infraction constatée par tout moyen laissant une trace écrite.

Les sociétés d’information sur le crédit sont soumises, au titre du traitement des données à caractère personnel, au contrôle de l’Instance. L’Instance peut décider l’interdiction du traitement des données s’il est établi que la société a manqué à ses obligations légales en matière de traitement des données à caractère personnel et en informe la Banque centrale de Tunisie de sa décision.

Le secret professionnel n’est pas opposable à la Banque centrale de Tunisie ou à ses agents en charge du contrôle.

Art. 20 – Les sociétés d’information sur le crédit doivent obtenir l’autorisation préalable de la Banque centrale de Tunisie dans les cas suivants :

• Toute acquisition, directement ou indirectement, de parts du capital d’une société d’information sur le crédit ou des droits de vote, par une personne ou par un groupe de personnes liées par une action de concert explicite ou appartenant à un même groupe au sens du code des sociétés commerciales, susceptible d’entraîner le contrôle de la société d’information sur le crédit et, dans tous les cas, toute opération dont il résulte l’acquisition du dixième, du cinquième, du tiers, de la moitié ou des deux tiers des droits de vote.

Le silence de la Banque centrale de Tunisie durant un mois à compter de la date de notification vaut acceptation. La Banque centrale de Tunisie peut, s’opposer à ladite acquisition dans le délai d’un mois à compter de la date de sa notification. Dans ce cas, la décision d’opposition doit être motivée.

Sont suspendus d’office, les droits de vote et le droit d’avoir part aux bénéfices, liés à des participations acquises sans avoir obtenu l’autorisation requise.

Est considérée nulle et non avenue, toute action de concert n’ayant pas obtenu ladite autorisation ;

• tout changement fondamental affectant le système d’informations ;
• toute opération de fusion ou prise de participation dans une autre société entrainant le contrôle de celle-ci ;
• la dissolution de la société.
• Les sociétés d’information sur le crédit sont tenues d’informer la Banque centrale de Tunisie de :
• toute modification du statut de la société ;
• l’ouverture d’agences ou de bureaux de représentation.

Chapitre III – Des obligations des sociétés d’information sur le crédit dans le cadre d’échange d’informations sur le crédit

Art. 21 – Les sociétés d’information sur le crédit ne peuvent transférer les bases de données ou de mettre en place de sites pour la protection des données et renseignements mises à leur disposition en dehors de la Tunisie.

Il est interdit aux sociétés d’information sur le crédit l’hébergement dans le cloud des informations sur le crédit.

Art. 22 – Les sociétés d’information sur le crédit s’engagent à mettre en place un système d’information approuvé par l’Agence nationale de la sécurité informatique, pour la collecte et la sauvegarde des informations sur le crédit garantissant la confidentialité, la sécurité, la protection et la fiabilité des informations à leur disposition pour l’exercice de leur activité.

Art. 23 – Les sociétés d’information sur le crédit peuvent émettre des rapports de crédit dans les cas suivants :

• l’évaluation de la solvabilité de la personne concernée dans le cadre d’octroi de crédit ou de financement ou de recouvrement des créances ou de vente par facilité ou d’octroi de facilités de paiement.
• -la facilitation des travaux des autorités de contrôle du secteur bancaire et financier.
• sur demande de la personne concernée.

Il est interdit d’exploiter les informations sur le crédit ou les rapports sur le crédit à des fins autres que celles mentionnées au présent article.

Art. 24 – La communication des informations sur le crédit et des rapports sur le crédit ne peut se faire que par les moyens et les appareils électroniques et les réseaux de télécommunications garantissant les conditions de confidentialité, d’intégrité, d’authenticité et de protection des données.

Art. 25 – Les sociétés d’information sur le crédit sont tenues de procéder à un audit périodique de sécurité de leurs systèmes d’information au moins une fois par an et d’en informer la Banque centrale de Tunisie, l’Agence nationale de sécurité informatique et l’Instance par écrit.

Art. 26 – Les sociétés d’information sur le crédit s’engagent à mettre en place et appliquer des procédures garantissant la protection et la sécurité de leurs systèmes et bases de données de tout accès à ses systèmes d’information ou modification de ces renseignements.

Les sociétés d’information sur le crédit sont tenues de mettre en place un plan de secours approuvé par leurs conseils d’administration ou de surveillance pour faire face à toute opération d’infiltration à leurs systèmes d’information.

Elles sont tenues d’informer la Banque centrale de Tunisie et l’Agence nationale de sécurité informatique de toutes infiltrations et autres perturbations afin de prendre les mesures nécessaires pour y faire face. L’Instance décide s’il y a lieu d’informer les personnes concernées.

Les sociétés d’information sur le crédit sont tenues de se conformer aux mesures prescrites pour mettre fin à ces perturbations.

Art. 27 – Les sociétés d’information sur le crédit s’engagent à mettre en place un manuel de procédures et des règles de fonctionnement, approuvé par leurs conseils d’administration ou de surveillance et mis à jour annuellement.

Art. 28 – Les sociétés d’information sur le crédit sont tenues de :

• mettre en place un système d’archivage garantissant la sauvegarde des informations pour une durée de cinq (5) ans au moins ;
• mettre en place un système adéquat de contrôle interne adapté aux spécificités de leurs activités ;
• mettre en place un système adéquat de sécurité informatique ;
• fixer un plan de continuité d’activités et de traitement des risques opérationnels mis à jour, annuellement, une fois par an au moins ;
• fixer un plan pour la gestion des risques ;
• se soumettre à un audit annuel de conformité par un cabinet externe indépendant ayant trait aux aspects réglementaires, techniques et opérationnels de leurs activités ;
• soumettre un rapport annuel de conformité à la Banque centrale de Tunisie, au ministère chargé des finances et à l’Instance.

Chapitre IV – Des sanctions et retrait d’agrément

Art. 29 – Nonobstant les sanctions prévues par les lois en vigueur, le Gouverneur de la Banque centrale de Tunisie peut infliger des sanctions s’il y a eu lieu constatation de tout manquement aux obligations professionnelles et aux conditions de sécurité des systèmes d’information par les sociétés d’information sur le crédit et ce après mise en demeure de ces sociétés par tout moyen laissant une trace écrite.

Passé un délai maximum de soixante (60) jours sans régularisation, le Gouverneur de la Banque centrale de Tunisie peut infliger l’une des sanctions suivantes sur la base d’un procès verbal signé au moins par deux contrôleurs et mentionnant notamment la date et les causes de la sanction :

• Une amende comprise entre dix (10) mille et cinquante (50) mille dinars,
• La suspension de l’activité pour une période de trois (3) mois,
• Le retrait d’agrément.

Le contrevenant doit être convoqué, avant l’établissement de la version définitive du procès-verbal, par lettre recommandée avec accusé de réception à son domicile d’origine ou élu en vue de présenter ses déclarations.

En cas de présence, le contrevenant est tenu de signer le procès verbal. En cas de refus de signature, ceci est consigné au procès-verbal dont une copie est remise au contrevenant.

Au cas où il refuse d’assister ou de signer, une copie du procès-verbal lui est adressée par lettre recommandée avec accusé de réception.

Les amendes sont infligées par le Gouverneur de la Banque centrale de Tunisie après convocation du contrevenant en vue de son audition. Le contrevenant peut se faire assister, conformément à la loi, par un avocat ou de tout autre représentant.

Les amendes sont recouvrées au profit du trésor public au moyen d’un état de liquidation émis et rendu exécutoire par le ministre chargé des finances ou son mandataire et ce conformément aux dispositions du code de la comptabilité publique.

Art. 30 – Outre les cas de retrait d’agrément mentionnés à l’article 29 du présent décret-loi, l’agrément est retiré par décision de la Banque centrale de Tunisie après avis de l’Instance dans les cas suivants :

• ne pas entamer l’activité dans un délai maximum d’un an à compter de la date de notification de l’agrément.
• la cessation d’activité depuis six mois.
• sur demande du titulaire de l’agrément.

Art. 31 – En cas de retrait d’agrément, les données détenues par les sociétés d’information sur le crédit sont détruites selon des procédures fixées par la Banque centrale de Tunisie et l’Instance.

Art. 32 – Le recours contre la sanction de retrait d’agrément mentionnée à l’article 29 du présent décret-loi est présenté devant le Tribunal administratif, selon les procédures relatives à la justice en référé dans un délai maximum de trente (30) jours à compter de la date de notification de la décision.

Chapitre V – Dispositions transitoires

Art. 33 – Les sociétés, exerçant l’activité de renseignement de crédit à la date de publication du présent décret-loi au Journal officiel de la République tunisienne, sont tenues de régulariser leur situation conformément aux dispositions du présent décret-loi dans un délai maximum d’un an à compter de la date de sa publication au Journal officiel de la République tunisienne.

Art. 34 – Le présent décret-loi sera publié au Journal officiel de la République tunisienne.

Tunis, le 4 janvier 2022.