AgentPublic/cnil huggingface dataset:
Les catégories de données prises en compte pour l’élaboration des notes d’évaluation du risque concernent :- la situation personnelle du débiteur : âge, situation de famille;- la situation professionnelle : le code agent économique, la catégorie socioprofessionnelle, la qualité de salarié du Groupe Crédit du Nord. Pour personnes physiques agissant pour des besoins professionnels ou pour le compte de personnes morales : le numéro SIREN, le code NAF, la date de création de l’entreprise, la date du dernier bilan, le chiffre d’affaire, le montant du capital social.- la situation économique et financière : l’ancienneté bancaire, l’ensemble des contrats bancaires détenus par le client, les montants  des encours du client, la nature et le montant des flux (compte créditeur ou débiteur, les prélèvements et virements (nombre et montant), les utilisations des cartes bancaire, la nature et la durée des incidents (impayés, dépassement, incidents déclarés, interdit de carte bancaire / chèques), les soldes de comptes (solde moyen, maximum, minimum, créditeur et débiteur du mois), la nature et l’usage du crédit, la classification commerciale du particulier, les informations relatives aux crédits (tirages, découverts, nombre d’échéances, la durée), les apports personnels. La Commission relève que pour les études statistiques visant à modéliser le risque de défaut de remboursement du client débiteur, le code postal est utilisé comme un élément d’identification des zones géographiques à
Sur les destinataires
Les notes sont réévaluées une fois par mois. Les chargés de clientèle n’ont pas directement accès aux notes des clients mais connaissent l’avis (vert ou rouge) lors d’une demande d’octroi de crédit. Selon son niveau de délégation, le chargé de clientèle pourra soit suivre ou non l’avis proposé, soit demander à sa ligne hiérarchique un arbitrage.La somme des clients pour lesquels les notes et actifs sont similaires sont regroupés par classe présentant un niveau de taux de défaut prédictif. Cette information est transmise à la Société Générale pour définir le niveau de fonds propres exigibles pour le Groupe Société Générale.Au sein de la direction des études client et de la direction centrale des risques, seuls les chargés d’études statistiques et de maitrise d’ouvrage projet ont accès aux données du client pour l’actualisation des modèles de notation interne.La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, chaque client est informé de la collecte des données et de la mise en place d’un système de notation interne des risques de crédit au moment de l’entrée en relation contractuelle dans la convention de compte.
Les clients sont informés:
de la mise en place d’un système de notation interne des risques de crédit,
des droits qui lui sont reconnus par la loi susvisée, notamment le droit d’obtenir une copie des informations enregistrées dans les fichiers, ainsi que leur origine. 
Les droits d’accès et de rectification s’exercent par courrier auprès de la SOCIETE MARSEILLAISE DE CREDIT: 
75, RUE PARADIS – 13006 MARSEILLE, ou par courrier électronique à l’adresse suivante : SMC-RELATIONS-CLIENTS@SMC.FR
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre.Le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial. Les mots de passe sont obligatoirement changés après leur réinitialisation.Des profils d'habilitation sont prévus afin de gérer les accès aux données.Les postes de travail disposent d'un pare-feu logiciel et d'un logiciel antivirus mis à jour régulièrement.Il existe des sauvegardes quotidiennes stockées dans un endroit garantissant leur sécurité et leur disponibilité.Les interventions de maintenance font l'objet d'une traçabilité. L'accord de l'utilisateur est recueilli avant toute intervention sur son poste informatique.Seuls les accès à l’application sont journalisés, ce qui est acceptable compte tenu du nombre très réduit de personnes ayant accès au traitement.L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La cotation est conservée de manière non nominative dans le cadre du calcul réglementaire des fonds propres. Les cotations successives et les données permettant de les élaborer sont conservées pendant une durée de 24 mois après la fin du contrat sous une forme nominative.
Le besoin de conservation d’un historique des notations internes et des éléments constitutifs de la note est justifié par la nécessité d’une profondeur suffisante:
pour assurer une construction de modèle  sur une période de temps suffisamment longue pour une prise en compte pertinente et prudente des cycles économiques, 
pour disposer de périodes d’observation du score prédictif suffisante pour réaliser sa mise en œuvre puis son back testing,
pour disposer d’une période suffisamment longue d’observation du cycle de vie d’un crédit (mise en place – vie du crédit – impayés – passage en contentieux – recouvrement – passage en perte (estimation de la perte finale).
Il existe un engagement de confidentialité signé par le personnel des Etudes.
Afin de permettre un calcul consolidé au niveau du groupe Société Générale, la SOCIETE MARSEILLAISE DE CREDIT transmet les cotations et des encours de crédits. Cette transmission est réalisée sous la forme de flux automatisés non nominatifs issus des outils utilisés. Les destinataires des informations au niveau du groupe Société Générale ne sont donc pas en mesure d’identifier le client concerné.
La Commission observe qu’il n’y a pas de mutualisation de données à caractère personnel entre la SOCIETE MARSEILLAISE DE CREDIT et le Groupe Société Générale.
Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la SOCIETE MARSEILLAISE DE CREDIT à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1681806)
La Commission nationale de l'informatique et des libertés,
Saisie par la banque TARNEAUD d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel visant à évaluer le risque de crédit au moyen d’un système de notation interne pour définir le niveau de fonds propres réglementaires et les opérations de gestion auprès des emprunteurs ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2013/36/UE du Parlement européen et du Conseil du 26 juin 2013 concernant l'accès à l'activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d'investissement, modifiant la directive 2002/87/CE et abrogeant les directives 2006/48/CE et 2006/49/CE ;
Vu les règlements du Comité de la réglementation bancaire et financière (CRBF) n° 90-02 du 23 février 1990 modifié relatif aux fonds propres et n° 97-02 du 21 février 1997 modifié relatif au contrôle interne des établissements de crédit et des entreprises d’investissement et notamment ses articles 18, 19 et 24 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ; 
Vu l’ordonnance n°2013-544 du 27 juin 2013 relative aux établissements de crédit et aux sociétés de financement ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du ministre de l’économie, des finances et de l’industrie du 20 février 2007 relatif aux exigences de fonds propres applicables aux établissements de crédit et aux entreprises d’investissement ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La banque TARNEAUD, filiale de la Société Générale, a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation d’un traitement de données à caractère personnel visant à évaluer le risque de crédit au moyen d’un système de notation interne pour définir le niveau de fonds propres réglementaires et les opérations de gestion auprès des emprunteurs.
Sur la finalité
Le traitement automatisé mis en œuvre par la banque TARNEAUD a, en premier lieu, pour finalité la définition du niveau de fonds propres réglementaires correspondant au niveau d’exposition. Il permet ainsi :
d’évaluer pour chaque client (personne physique) le risque de crédit qu’il présente sous la forme d’une note et d’affecter chaque exposition ou chaque client ou exposition à une classe de risque homogène ;
d’élaborer, de vérifier périodiquement et d’actualiser les modèles statistiques utilisés pour mesurer le risque de crédit des personnes physiques dans le cadre de l’application, à la clientèle de détail et de professionnels, du dispositif de notation interne des risques de crédit.
le calcul des fonds propres réglementaires pour le Groupe Crédit du Nord,
le calcul consolidé au niveau du groupe Société Générale,
l’aide à la décision en matière d’octroi de crédit.
Il permet, en second lieu, de définir et de mettre en œuvre les opérations de gestion et d’octroi des dossiers de prêts en fonction du niveau de risque de défaillance associé au client.
Les personnes concernées par le traitement sont exclusivement des emprunteurs, clients de la banque TARNEAUD, qui représentent un risque de crédit, désignés ci-après sous le terme « débiteurs ».
Le système de notation interne des risques de crédit repose sur une évaluation statistique de la probabilité de défaut des débiteurs et du montant des pertes en résultant. Il doit tenir compte des caractéristiques pertinentes du risque attachées à l’emprunteur et à la transaction, dont l’établissement a connaissance.
Les notes d’évaluation du risque, les probabilités de défaut (PD), le taux de défaut et les pertes en cas de défaut (LGD) sont mis à jour mensuellement et exclusivement utilisés pour :
d’évaluer pour chaque client (personne physique) le risque de crédit qu’il présente sous la forme d’une note et d’affecter chaque exposition ou chaque client ou exposition à une classe de risque homogène ;
d’élaborer, de vérifier périodiquement et d’actualiser les modèles statistiques utilisés pour mesurer le risque de crédit des personnes physiques dans le cadre de l’application, à la clientèle de détail et de professionnels, du dispositif de notation interne des risques de crédit.
le calcul des fonds propres réglementaires pour le Groupe Crédit du Nord,
le calcul consolidé au niveau du groupe Société Générale,
l’aide à la décision en matière d’octroi de crédit.
La Commission prend acte que, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, une décision défavorable en matière d’octroi de crédit ne peut être prise après consultation du résultat du score sans que le débiteur ait été informé de son droit à présenter des observations sur sa situation bancaire et financière.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Chaque client ayant souscrit un crédit auprès de la banque TARNEAUD fait l’objet d’une note dite « cotation Bâle III ». Cette cotation est susceptible d’être prise en compte en tant qu’élément permettant d’apprécier la solvabilité de l’emprunteur, notamment en cas de nouvelle demande de crédit. L’existence d’une cotation défavorable peut, dans certains cas, conduire à une décision de refus d’octroi de crédit.
Ce traitement peut néanmoins, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition législative ou réglementaire prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Sur les données traitées
des droits qui lui sont reconnus par la loi susvisée, notamment le droit d’obtenir une copie des informations enregistrées dans les fichiers, ainsi que leur origine. 
Les droits d’accès et de rectification s’exercent par courrier auprès de la banque TARNEAUD : 2 ET 6 RUE TURGOT - 87000 LIMOGES.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
La cotation est conservée de manière non nominative dans le cadre du calcul réglementaire des fonds propres. Les cotations successives et les données permettant de les élaborer sont conservées pendant une durée de 24 mois après la fin du contrat sous une forme nominative.
Le besoin de conservation d’un historique des notations internes et des éléments constitutifs de la note est justifié par la nécessité d’une profondeur suffisante :
pour assurer une construction de modèle  sur une période de temps suffisamment longue pour une prise en compte pertinente et prudente des cycles économiques, 
pour disposer de périodes d’observation du score prédictif suffisante pour réaliser sa mise en œuvre puis son back testing,
pour disposer d’une période suffisamment longue d’observation du cycle de vie d’un crédit (mise en place – vie du crédit – impayés – passage en contentieux – recouvrement – passage en perte (estimation de la perte finale).
Il existe un engagement de confidentialité signé par le personnel des Etudes.
Afin de permettre un calcul consolidé au niveau du groupe Société Générale, la banque TARNEAUD transmet les cotations et des encours de crédits. Cette transmission est réalisée sous la forme de flux automatisés non nominatifs issus des outils utilisés. Les destinataires des informations au niveau du groupe Société Générale ne sont donc pas en mesure d’identifier le client concerné.
La Commission observe qu’il n’y a pas de mutualisation de données à caractère personnel entre la banque TARNEAUD et le Groupe Société Générale.
Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la banque TARNEAUD à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1866029)
La Commission nationale de l'informatique et des libertés,
Saisie par la BANQUE CHAIX d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La BANQUE CHAIX, établissement bancaire filiale du Groupe BPCE.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) dans trois hypothèses : au moment de l’entrée en relation du client auprès de la BANQUE CHAIX, en cas de modifications de données du compte existant, ou lors de l’étude d’un dossier de crédit pour un compte déjà ouvert dans cet établissement. La Commission observe que cette finalité est déterminée, explicite et légitime.Lorsque l’analyse de l’outil conclut à la non-conformité du document, la demande d’ouverture de compte ou la demande de crédit est refusée. Dans la situation inverse, si l’authenticité des documents est confirmée, il est fait droit à la demande du client. Dès lors, ce traitement peut ainsi, du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion.Le présent traitement est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les catégories de données traitées sont relatives : - à l’identité des personnes concernées : le nom, le(s) prénom(s), le sexe, la date et lieu de naissance,- aux documents d’identité : le numéro de document, le numéro de la pièce d’identité, la date d’expiration, les 6 derniers caractères de la bande MRZ de la pièce d’identité et la bande MRZ figurant en bas des documents d’identité.La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement et habilitées à avoir accès aux informations sont :- le réseau commercial,- le service sécurité financière,- le service lutte contre la fraude.Les informations sont transmises sur un serveur hébergé par la société CTMS (Contrôle des échanges et Traitement physique des Monnaies-Sécurité), prestataire de service de la BANQUE CHAIX.La liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention sur internet ainsi que dans la convention de compte du client. Cette mention rappelle en outre que les droits d’accès et de rectification s’exercent auprès du service réclamations clients – déclaration CNIL, à l’adresse suivante : 135, AVENUE PIERRE SEMARD CS 50353 - 84027 AVIGNON CEDEX 01.La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
S’il n’existe pas de journalisation détaillée des activités sur l’application, un journal d’accès global des collaborateurs de la BANQUE CHAIX aux serveurs CTMS est cependant mis en œuvre.Seules les personnes habilitées ont accès à l’application CMTS. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique. Ce mécanisme est actuellement basé sur un identifiant et un mot de passe de 8 caractères comprenant au moins trois des quatre types (minuscules, majuscules, chiffres, caractères spéciaux). Ce dernier doit être renouvelé tous les 41 jours. En cas de réponse positive, c’est-à-dire si le document d’identité n’est pas validé, ou dans le cas inverse, la réponse est conservée dans le dossier réglementaire du client afin de s’assurer que le contrôle d’identité a bien été réalisé par le collaborateur. La BANQUE CHAIX s’est engagée à ce que cet élément bénéficie du même niveau de protection que les copies des pièces d’identité actuellement conservées conformément aux dispositions de l’article L561.12 du Code monétaire et financier.Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Autorise, conformément à la présente délibération, la BANQUE CHAIX à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1812021)
La Commission nationale de l'informatique et des libertés,
Saisie par RENNES METROPOLE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi des affaires pré contentieuses et contentieuses juridiques et judiciaires pour la défense en justice des intérêts de RENNES METROPOLE ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code général des collectivités territoriales, notamment son article L.5211-4-1-III ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
RENNES METROPOLE.
Sur la finalité
La finalité du traitement consiste à assurer la gestion et le suivi des affaires pré contentieuses et contentieuses, juridiques et judiciaires dans le cadre de la défense en justice des intérêts de RENNES METROPOLE.La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes. Par ailleurs, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les données collectées sont relatives : 
à l’identification des personnes : nom, prénom, adresse, coordonnées téléphoniques, profession (avocat, huissier, notaire…), indication si la personne est un usager ou un professionnel et s’il a effectué un recours gracieux ou contentieux envers la collectivité ;
aux infractions, condamnations : descriptif des faits, condamnation prononcée ;
aux procédures : date du jugement, étapes de la procédure, actes de la procédure et décision de justice rendue ;
à l’immatriculation des véhicules dans le cadre des dossiers assurances relatifs à des biens appartenant à l'une ou l'autre des collectivités endommagés par un véhicule terrestre à moteur ou des sinistres impliquant des véhicules à moteur appartenant à l'une ou l'autre des collectivités.