AgentPublic/cnil huggingface dataset:
La Commission prend acte que, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, une décision défavorable en matière d’octroi de crédit ne peut être prise après consultation du résultat du score sans que le débiteur ait été informé de son droit à présenter des observations sur sa situation bancaire et financière.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Chaque client ayant souscrit un crédit auprès de la banque Courtois fait l’objet d’une note dite « cotation Bâle III ». Cette cotation est susceptible d’être prise en compte en tant qu’élément permettant d’apprécier la solvabilité de l’emprunteur, notamment en cas de nouvelle demande de crédit. L’existence d’une cotation défavorable peut, dans certains cas, conduire à une décision de refus d’octroi de crédit.
Ce traitement peut néanmoins, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition législative ou réglementaire prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Sur les données traitées
Les catégories de données prises en compte pour l’élaboration des notes d’évaluation du risque concernent :- la situation personnelle du débiteur : âge, situation de famille ;- la situation professionnelle : le code agent économique, la catégorie socioprofessionnelle, la qualité de salarié du Groupe Crédit du Nord. Pour personnes physiques agissant pour des besoins professionnels ou pour le compte de personnes morales : le numéro SIREN, le code NAF, la date de création de l’entreprise, la date du dernier bilan, le chiffre d’affaire, le montant du capital social.- la situation économique et financière : l’ancienneté bancaire, l’ensemble des contrats bancaires détenus par le client, les montants  des encours du client, la nature et le montant des flux (compte créditeur ou débiteur, les prélèvements et virements (nombre et montant), les utilisations des cartes bancaire, la nature et la durée des incidents (impayés, dépassement, incidents déclarés, interdit de carte bancaire / chèques), les soldes de comptes (solde moyen, maximum, minimum, créditeur et débiteur du mois), la nature et l’usage du crédit, la classification commerciale du particulier, les informations relatives aux crédits (tirages, découverts, nombre d’échéances, la durée), les apports personnels. La Commission relève que pour les études statistiques visant à modéliser le risque de défaut de remboursement du client débiteur, le code postal est utilisé comme un élément d’identification des zones géographiques à
risques du lieu d’achat du bien. Cette analyse est réalisée à partir des comportements observés par le passé. La Commission relève que cette donnée est anonymisée et ne permet en aucun cas d’établir un lien entre le client et le code postal. En outre, le code postal ne donne pas d’information précise sur l’adresse du client.Ces données peuvent faire l’objet de croisements. Elles sont choisies et pondérées en fonction du lien de corrélation qu’elles présentent avec le risque de crédit attaché au client en général ou à chaque opération de crédit en particulier.La Commission observe qu’aucune variable ne reçoit une pondération telle qu’elle puisse à elle seule avoir un effet d’exclusion absolue ou disqualifiant. La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les notes sont réévaluées une fois par mois. Les charges de clientèle n’ont pas directement accès aux notes des clients mais connaissent l’avis (vert ou rouge) lors d’une demande d’octroi de crédit. Selon son niveau de délégation, le chargé de clientèle pourra soit suivre ou non l’avis proposé, soit demander à sa ligne hiérarchique un arbitrage.La somme des clients pour lesquels les notes et actifs sont similaires sont regroupés par classe présentant un niveau de taux de défaut prédictif. Cette information est transmise à la Société Générale pour définir le niveau de fonds propres exigibles pour le Groupe Société Générale.Au sein de la direction des études client et de la direction centrale des risques, seuls les chargés d’études statistiques et de maitrise d’ouvrage projet ont accès aux données du client pour l’actualisation des modèles de notation interne.La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, chaque client est informé de la collecte des données et de la mise en place d’un système de notation interne des risques de crédit au moment de l’entrée en relation contractuelle dans la convention de compte.
Les clients sont informés :
de la mise en place d’un système de notation interne des risques de crédit,
des droits qui lui sont reconnus par la loi susvisée, notamment le droit d’obtenir une copie des informations enregistrées dans les fichiers, ainsi que leur origine. 
Les droits d’accès et de rectification s’exercent par courrier auprès de la Direction Relations Clients : 33, rue Rémusat – 31001 Toulouse cedex 6.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre.Le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial. Les mots de passe sont obligatoirement changés après leur réinitialisation.Des profils d'habilitation sont prévus afin de gérer les accès aux données.Les postes de travail disposent d'un parefeu logiciel et d'un logiciel antivirus mis à jour régulièrement.Il existe des sauvegardes quotidiennes stockées dans un endroit garantissant leur sécurité et leur disponibilité.Les interventions de maintenance font l'objet d'une traçabilité. L'accord de l'utilisateur est recueilli avant toute intervention sur son poste informatique.Seuls les accès à l’application sont journalisés, ce qui est acceptable compte tenu du nombre très réduit de personnes ayant accès au traitement.L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur les autres caractéristiques du traitement
La cotation est conservée de manière non nominative dans le cadre du calcul réglementaire des fonds propres. Les cotations successives et les données permettant de les élaborer sont conservées pendant une durée de 24 mois après la fin du contrat sous une forme nominative.
Le besoin de conservation d’un historique des notations internes et des éléments constitutifs de la note est justifié par la nécessité d’une profondeur suffisante :
pour assurer une construction de modèle  sur une période de temps suffisamment longue pour une prise en compte pertinente et prudente des cycles économiques, 
pour disposer de périodes d’observation du score prédictif suffisante pour réaliser sa mise en œuvre puis son back testing,
pour disposer d’une période suffisamment longue d’observation du cycle de vie d’un crédit (mise en place – vie du crédit – impayés – passage en contentieux – recouvrement – passage en perte (estimation de la perte finale).
Il existe un engagement de confidentialité signé par le personnel des Etudes.
Afin de permettre un calcul consolidé au niveau du groupe Société Générale, le Crédit du Nord transmet pour le compte de la banque Courtois au groupe précité les cotations et des encours de crédits. Cette transmission est réalisée sous la forme de flux automatisés non nominatifs issus des outils utilisés. Les destinataires des informations au niveau du groupe Société Générale ne sont donc pas en mesure d’identifier le client concerné.
La Commission observe qu’il n’y a pas de mutualisation de données à caractère personnel entre la banque Courtois et le Groupe Société Générale.
Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la banque Courtois, à mettre en œuvre le traitement susmentionné.
La présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1700039)
La Commission nationale de l'informatique et des libertés,
Saisie par la société BMW France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi du précontentieux et du contentieux ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société BMW France.
Responsable du traitement
Le responsable de traitement est la société BMW France.
 Sur la finalité
La finalité du présent traitement est la gestion et le suivi du précontentieux et du contentieux pouvant survenir entre la société BMW France et ses salariés, ses fournisseurs, ses clients ou toute autre personne.La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes.Par ailleurs, l’article 9 de la loi du 6 janvier 1978 modifiée prévoit que le traitement de données relatives aux infractions, condamnations et mesures de sûreté ne peut être mis en œuvre que par :« 1° Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ;2° Les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi ;3° [Dispositions déclarées non conformes à la Constitution par décision du Conseil constitutionnel n° 2004-499 DC du 29 juillet 2004 ;] 4° Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d’atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d’assurer la défense de ces droits ».Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a déclaré non conforme à la Constitution l’article 9-3° de la loi du 6 janvier 1978 modifiée qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été
victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement.Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ».Ainsi, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les données collectées sont relatives : 
à l’identification des personnes concernées : nom, prénom, photographie, adresse, date et lieu de naissance, éléments figurant sur un titre d'identité ;
à la vie personnelle : situation familiale ;
à la vie professionnelle : curriculum vitae, scolarité, formation, distinction ;
aux informations d’ordre économique et financier : revenus ;
aux infractions, condamnations et mesures de sûreté ;
aux informations communiquées par la personne concernée dans le cadre du contentieux ou pièces jointes à la procédure.
De plus, afin d’assurer la traçabilité des accès, BMW collectera les données de connexion suivantes : logs de connexion aux fichiers Excel contenant les données à caractère personnel de gestion et de suivi du précontentieux et du contentieux.
La Commission considère ainsi que les données traitées sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires des données sont les seuls conseils juridiques et auxiliaires de justice intervenant dans la procédure concernée.Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, préalablement à la mise en œuvre du traitement, par une mention d’information qui figure dans les documents contractuels.
Les droits d’accès et de rectification s’exercent auprès des services suivants :
pour les salariés, auprès de la direction des ressources humaines ;
pour les fournisseurs, auprès du service achats ;
pour les clients, auprès du centre de relations clientèle ;
à l’adresse suivante : BMW France, 3, avenue Ampère – 78180 MONTIGNY LE BRETONNEUX, ou à l’adresse électronique : mesdonneespersonnelles@bmw.fr.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe. Le mot de passe est composé de huit caractères minimum, contenant des lettres majuscules, des lettres minuscules, et des caractères spéciaux. Le renouvellement est opéré tous les 90 jours. Le compte est bloqué après 3 tentatives de mots de passe erronés.Le traitement met en œuvre une journalisation des accès à l’application concernant la création, la mise à jour, et la suppression des données. Cette traçabilité s’appuie sur la collecte des données de connexions au fichier Excel. Par ailleurs, les actions effectuées par les juristes en charge du contentieux sont tracées afin de permettre de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés.Le fichier de gestion des précontentieux ou contentieux concernés se présente sous la forme d’un fichier Excel hébergé dans un espace de stockage uniquement accessible aux personnes habilitées.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données relatives à l’identification des personnes concernées peuvent provenir de titres d’identité joints aux attestations produites en justice. La Commission prend note de ce que ces titres d’identité ne seront pas numérisés.Les données sont conservées pendant la durée de la procédure judiciaire.La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société BMW France à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1832278)
La Commission nationale de l'informatique et des libertés,
Saisie par la Mutuelle générale de l’Education nationale (MGEN) UNION d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’expérimentation d’un programme de prévention des facteurs de risque et pathologies chroniques cardiovasculaires, intitulé Vivoptim ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4 et L. 1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Loïc HERVE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Mutuelle générale de l’Education nationale (MGEN) UNION est une union de mutuelles soumise au code de la mutualité. Elle est chargée du pilotage, de la coordination et du contrôle des activités de ses cinq mutuelles adhérentes (MGEN, MGEN Action sanitaire et sociale, MGEN Centres de santé, MGEN Vie, MGEN Filia). MGEN UNION s’engage dans la mise en œuvre d’un programme de gestion du risque santé, avec l’appui de la MGEN dans le cadre de sa mission de service public déléguée au titre du régime obligatoire d’assurance maladie et d’une démarche de référence pour ses ministères de tutelle.La première étape de ce programme concerne le projet pilote « Vivoptim » de prévention globale des facteurs de risque et pathologies chroniques cardiovasculaires.
Sur la finalité
Le projet Vivoptim porte sur le développement et la mise en service, à titre expérimental, d’une offre de prévention des risques et pathologies cardiovasculaires. Cette offre sera proposée initialement dans le cadre d’une phase pilote aux assurés de la MGEN au titre du régime obligatoire, âgés de 30 à 67 ans, qui résident en Midi-Pyrénées et Bourgogne.
Plus précisément, Vivoptim a pour objet de proposer aux assurés trois modules d’accompagnement et quatorze parcours de prévention adaptés aux besoins et contraintes particulières de la population enseignante.
Ainsi, sur la base du profil de risque cardiovasculaire (évalué à l’aide de questionnaires renseignés par l’assuré), de la motivation de l’assuré à modifier son hygiène de vie ainsi que des éventuelles préconisations du médecin traitant, un accompagnement personnalisé sera délivré aux assurés volontaires. Cet accompagnement est réalisé au moyen d’une plateforme de téléconseil, gérée par un prestataire qui met à disposition un site internet et un centre d’appels animé par des infirmièr(e)s placés sous la responsabilité d’un médecin, permettant :
Un accès vers des informations en ligne sur les facteurs de risques cardiovasculaires et les conseils de prise en charge de certaines maladies, ainsi que des contenus de formation en ligne (e-learning) adaptés au profil de l’utilisateur ;
Un accompagnement « facteurs de risque » par des infirmièr(e)s qui délivreront aux assurés des conseils permettant de limiter les risques et d’améliorer leur hygiène de vie (incitation à une baisse de la sédentarité et à l’adoption d’une meilleure alimentation). 
Un accompagnement « pathologie » grâce à un coaching
téléphonique et l’organisation d’actions de suivi des participants par les infirmièr(e)s qui gèrent la plateforme. Cet accompagnement, proposé aux personnes ayant déjà développé une pathologie cardiovasculaire, cible également la sédentarité et l’alimentation.
Un bilan de la progression et de la motivation sera réalisé à intervalles réguliers par les infirmièr(e)s. Il ne constitue pas un suivi médical mais permet aux infirmièr(e)s d’adapter les objectifs de prévention au regard des référentiels établis préalablement par le comité scientifique de Vivoptim.
Les données de suivi sont saisies et mises à disposition par l’assuré lui-même. Sous réserve de compatibilité technique, les assurés qui disposent d’objets connectés personnels (bracelets, balances et auto-tensiomètres) ont la possibilité d’alimenter leur espace personnel en ligne avec les données issues de ces objets. De telles transmissions de données ne sont pas automatiques et restent soumises à une démarche volontaire de l’assuré.
A partir de ces données de suivi, le système génère des messages de motivation automatiques et les infirmièr(e)s de la plateforme peuvent consulter les données collectées et les comparer avec les référentiels établis par le comité scientifique.
Lors des appels de suivi, l’infirmièr(e) peut compléter éventuellement les données du participant, noter sa motivation, consigner des informations de suivi des objectifs, et rédiger une synthèse qui sera partagée avec l’assuré.
La Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
La Commission relève que des évaluations médico-économiques et cliniques, à partir des données collectées dans le cadre du programme Vivoptim, sont envisagées.
Elle rappelle qu’il conviendra, le cas échéant, de se conformer aux dispositions des chapitres IX et X de la loi du 6 janvier 1978 modifiée.
données d’identification (nom, prénom, identifiant MGEN, coordonnées) ;
informations signalétiques (date de naissance, sexe, taille, poids) ;
situation professionnelle, mode d’habitat ;
habitudes de vie (consommation alimentaire, tabac, alcool, pratiques sportives) ;
Informations relatives à la santé (maladies, facteurs de risques, antécédents médicaux)
données de suivi issues des objets connectés : poids, masse graisseuse, indice de masse corporelle, nombre de pas, distance parcourue, période d’activité physique, pression artérielle.
une information relative aux objectifs, durée, organisation du pilote ;
l’adresse du site internet sur lequel des informations sont disponibles (site www.vivoptim.fr);
un dépliant d’information sur les risques cardiovasculaires et le déroulé du pilote.
Autorise, conformément à la présente délibération, la Mutuelle générale de l’Education nationale (MGEN) UNION à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN