AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-4° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la demande d'autorisation, présentée par la Banque BCP, d'un traitement automatisé de données à caractère personnel ayant pour finalité l'établissement d'un score lors d'une demande de crédit d'un client particulier ou d'un prospect ;   Après avoir entendu M. Philippe Nogrix, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   La Banque BCP a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité l'établissement d'un score lors d'une demande de crédit d'un client particulier ou d'un prospect.   Les traitements de données à caractère personnel ayant pour objet de sélectionner la clientèle à des fins d'octroi de crédit ou de prêt à partir d'outils de notation ou de score relèvent de la procédure de demande d'autorisation prévue par les dispositions de l'article 25-4° de la loi du 6 janvier 1978 modifiée en août 2004 dans la mesure où ils sont susceptibles d'exclure une personne du bénéfice d'un contrat de crédit en l'absence de disposition législative ou réglementaire.   L'article 10 de ladite loi dispose dans son deuxième alinéa qu'"aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité" et dans son troisième alinéa que "ne sont pas regardées comme prises sur le seul fondement d'un traitement automatisé les décisions prises dans le cadre de la conclusion ou de l'exécution d'un contrat et pour lesquelles la personne concernée a été mise à même de présenter ses observations, ni celles satisfaisant les demandes de la personne concernée" et qu'en application des dispositions de l'article
6-3° les données traitées doivent être "pertinentes, adéquates et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs".   La Commission considère, en application de ces dispositions, que la pertinence et la pondération des variables du score doivent résulter d'une analyse statistique établie selon une méthodologie reconnue, comprenant notamment la qualification du lien de causalité ou de corrélation entre le critère pondéré et le risque mesuré.   Elle estime également que les données traitées doivent avoir été directement obtenues de la personne concernée ou produites à partir d'informations communiquées par cette dernière ou de l'exécution d'un contrat ou d'une prestation de service conclus directement avec la personne concernée et qu'elles doivent être définies et combinées avec d'autres données du calcul automatisé du risque de manière objective et proportionnée à partir d'éléments se rapportant directement à l'emprunteur ou en rapport avec le financement et présentant un lien de corrélation notoire, direct et étroit avec le risque de défaut de l'emprunteur.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité de l'emprunteur, l'âge de l'emprunteur, la situation familiale, la situation financière, le statut résidentiel, la situation professionnelle, l'ancienneté bancaire, les informations relatives à l'achat ou la prestation financée, les caractéristiques du crédit et des informations relatives au fonctionnement du compte bancaire.   La Commission considère que la prise en compte des variables du score et la pondération attachée sont adéquates et proportionnées.   Elle relève que le résultat du score n'entraîne pas d'exclusion automatique, mais définit les niveaux de délégation nécessaires pour la prise de décision d'octroi de crédit et s'accompagne d'une étude du dossier.   Les destinataires des informations seront le personnel habilité de la Banque BCP, les tiers chargés du traitement des opérations, les sociétés sous-traitantes, les partenaires (assurances), le siège et agences BCP au Portugal et le personnel de la banque BCP en France.   Le droit d'accès défini au chapitre VII de la loi s'exercera auprès de la Banque BCP, direction du crédit, 14 avenue Franklin Roosevelt, 75008 Paris.   Autorise, dans ces conditions, la Banque BCP à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité l'établissement d'un score lors d'une demande de crédit d'un client particulier ou d'un prospect.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-4° ;   Vu la demande d'autorisation, présentée par la Caisse Régionale de Crédit Agricole Mutuel du Midi, d'un traitement automatisé de données à caractère personnel ayant pour finalité la mise en oeuvre d'un outil d'aide à la décision lors de l'octroi d'un prêt habitat ou consommation (score) ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Après avoir entendu M. Philippe Nogrix, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   La Caisse Régionale de Crédit Agricole Mutuel du Midi a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la mise en oeuvre d'un outil d'aide à la décision lors de l'octroi d'un prêt habitat ou consommation (score).   Les traitements de données à caractère personnel ayant pour objet de sélectionner la clientèle à des fins d'octroi de crédit ou de prêt à partir d'outils de notation ou de score relèvent de la procédure de demande d'autorisation prévue par les dispositions de l'article 25-4° de la loi du 6 janvier 1978 modifiée en août 2004 dans la mesure oie ils sont susceptibles d'exclure une personne du bénéfice d'un contrat de crédit lorsque aucune disposition législative ou réglementaire ne le prévoit.   L'article 10 de ladite loi dispose dans son deuxième alinéa qu'"aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité" et dans son troisième alinéa que "ne sont pas regardées comme prises sur le seul fondement d'un traitement automatisé les décisions prises dans le cadre de la conclusion ou de l'exécution d'un contrat et pour lesquelles la personne concernée a été mise à même de présenter ses observations, ni celles satisfaisant les demandes de la
personne concernée" et qu'en application des dispositions de l'article 6-3° les données traitées doivent être "pertinentes, adéquates et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs".   La Commission considère, en application de ces dispositions, que la pertinence et la pondération des variables du score doivent résulter d'une analyse statistique établie selon une méthodologie reconnue, comprenant notamment la qualification du lien de causalité ou de corrélation entre le critère pondéré et le risque mesuré.   Elle estime également que les données traitées doivent avoir été directement obtenues de la personne concernée ou produites à partir d'informations communiquées par cette dernière ou de l'exécution d'un contrat ou d'une prestation de service conclus directement avec la personne concernée et qu'elles doivent être définies et combinées avec d'autres données du calcul automatisé du risque de manière objective et proportionnée à partir d'éléments se rapportant directement à l'emprunteur ou en rapport avec le financement et présentant un lien de corrélation notoire, direct et étroit avec le risque de défaut de l'emprunteur.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité de l'emprunteur, l'âge, la situation familiale, l'existence d'un numéro de téléphone, la situation professionnelle, la situation familiale, la situation financière, le niveau de risque, le statut résidentiel, le nombre d'emprunteurs, les informations relatives à l'achat ou la prestation financée, les caractéristiques du crédit et des informations relatives au compte bancaire et moyens de paiement.   La Commission considère que la prise en compte des variables du score est adéquate et proportionnée.   La Commission relève aussi que le résultat du score n'entraîne pas d'exclusion automatique, mais définit les niveaux de délégation nécessaires pour la prise de décision d'octroi de crédit et les cas où une étude du dossier est nécessaire.   Les destinataires des informations seront le personnel habilité de la Caisse Régionale de Crédit Agricole Mutuel du Midi (les services de financement), le réseau d'agences et le Crédit Agricole SA.   Le droit d'accès défini au chapitre VII de la loi s'exercera auprès de la Caisse Régionale de Crédit Agricole Mutuel du Midi, service relation clientèle, avenue du Montpellieret, 34977 LATTES-MAURIN.   Autorise, dans ces conditions, la Caisse Régionale de Crédit Agricole du Midi à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité l'outil d'aide à la décision lors de l'octroi d'un prêt habitat ou consommation (score).
Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-II° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la délibération n° 03-012 du 11 mars 2003 de la CNIL portant recommandation relative à la gestion de fichiers de personnes à risques par les loueurs de véhicules ;   Après avoir entendu M. Guy ROSIER, vice-président, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   Les organismes de location de véhicules mettent en oeuvre des traitements de données à caractère personnel ayant pour objet la prévention des risques liés à leur activité :  lorsqu'ils sont victimes de préjudices correspondant à des faits dont la liste est préétablie, ils peuvent, à partir des données à caractère personnel des clients responsables, décider de ne plus leur louer de véhicules.   Saisie de plaintes par plusieurs personnes qui se voyaient refuser la location d'un véhicule, la Commission, après avoir procédé à des contrôles auprès des principales sociétés concernées et de la branche loueurs du Conseil national des professions de l'automobile (CNPA), a adopté et publié la délibération susvisée du 11 mars 2003 portant recommandation sur la gestion des fichiers de personnes à risque par les loueurs de véhicules.   Depuis la modification intervenue en 2004 de la loi du 6 janvier 1978, il y a lieu de faire application du nouvel article 25-4° de la loi qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.  En conséquence, la Commission constate que tout traitement de gestion de personnes à risques mis en oeuvre par les loueurs de véhicules - ou toute modification substantielle d'un tel traitement - est soumis à
autorisation préalable.   Elle considère qu'en vertu de l'article 25 de la loi du 6 janvier 1978 modifiée, une décision unique d'autorisation est susceptible d'être appliquée aux traitements de l'espèce répondant aux mêmes finalités et portant sur des catégories de données et de destinataires identiques.   Le responsable de chaque traitement se conformant à cette décision unique adresse à la Commission un engagement de conformité de celui-ci aux caractéristiques de la présente autorisation.   La Commission décide que les responsables de traitement qui lui adressent une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à les mettre en oeuvre.
Article 1er :  Finalité et caractéristiques du traitement   Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente décision unique les traitements mis en oeuvre par les entreprises de location de véhicules ayant pour finalité la gestion d'un fichier des personnes susceptibles de représenter un risque contractuel ayant pour conséquence le refus de location aux personnes concernées.   Article 2 :  Données à caractère personnel traitées   Les seules données à caractère personnel pouvant être traitées dans les fichiers de gestion interne au titre de la présente décision unique d'autorisation sont :   a) la dénomination de l'entreprise et de l'agence ayant loué le véhicule ;   b) le nom, le nom d'usage et le(s) prénom(s) du client et/ou du conducteur déclaré ;   c) la date et le lieu de naissance de la personne concernée ;   d) l'identifiant client ;   e) l'adresse du client ;   f) le numéro de téléphone indiqué au contrat ;    g) le numéro, la date, le lieu de délivrance du permis de conduire du client et/ou du conducteur déclaré ;   h) le numéro d'immatriculation, la marque, le type et le modèle du véhicule concerné ;   i) le numéro, la date et l'heure du contrat de location du véhicule ;   Seules ces données associées aux actes ou faits entrant dans l'une des catégories suivantes peuvent faire l'objet d'un enregistrement dans les fichiers de gestion interne :   1) incident de paiement ayant donné lieu à contentieux ;   2) accidents ou dommages
répétés imputables au conducteur ou à la personne inscrite au contrat ;   3) accidents ou dommages causés volontairement ;   4) utilisation d'un véhicule sans respecter les conditions générales du contrat de location ;
Seuls les employés ayant compétence pour vérifier le caractère certain du préjudice subi, et qui sont individuellement désignés et spécifiquement formés à cet effet, peuvent procéder à une inscription dans le fichier des personnes à risques.  Le responsable du traitement s'engage à disposer des moyens suffisants pour permettre les vérifications nécessaires.   Des zones bloc-notes peuvent être associées aux seuls actes et faits énumérés ci-dessus :  les mentions inscrites dans ces zones ne doivent porter que sur des actes et des faits objectifs et ne peuvent, en aucun cas, faire apparaître, directement ou indirectement, des données relatives aux origines raciales, aux opinions politiques, philosophiques ou religieuses, aux appartenances syndicales ou aux mours de la personne concernée par ces actes ou ces faits.   Dans les cas où le conducteur déclaré est un employé du client, ainsi que dans ceux où il y a pluralité de conducteurs déclarés, ne peuvent être associées aux actes et faits listés ci-dessus que les données afférentes à la seule personne concernée par les actes ou faits correspondants.   L'inscription dans ce fichier ne peut être effectuée qu'après constat d'actes et de faits objectifs ou sur la base de documents tendant à prouver la réalité du préjudice subi par les organismes de location de véhicules concernés.
Article 3 :  Destinataires des informations   Seuls peuvent avoir communication des données précitées, dans la limite de leurs attributions respectives et pour l'exercice de la finalité visée à l'article 1er de la présente décision :   a) les personnels individuellement désignés du service chargé des relations clientèle ;   b) les responsables d'agences de location ;   c) les personnes individuellement désignées du service en charge de la gestion du contentieux ;   Les agents de comptoir en contact avec la clientèle n'ont pas directement accès aux motifs ayant justifié l'inscription dans le fichier, mais à un message d'alerte précisant l'existence d'un risque et leur indiquant la nécessité de renvoyer la personne concernée vers l'une des catégories de personnes susvisées.   Dans le cas d'une transmission au Conseil national des professions de l'automobile (CNPA) dans le cadre de l'autorisation donnée par la délibération susvisée n° 236 du 9 novembre 2006, les seules données à caractère personnel pouvant être traitées au titre de la présente décision sont les données énumérées à l'article 2.   Article 4 :  Durées de conservation   Les données visées à l'article 2 de la présente décision sont conservées pendant au maximum :   - trois ans à compter de la date de survenance pour les actes et faits entrant dans les catégories de 1) à 3) inclus ;   - cinq ans à compter de la date de survenance pour les actes et faits entrant dans la quatrième catégorie.   S'agissant des
incidents de paiement, les faits et les données associées sont supprimés dès le paiement des sommes dues.
Article 5 :  Mesures de sécurité   Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.   En particulier, le responsable de traitement assure une gestion rigoureuse des contrôles d'accès.  Ainsi, les accès aux traitements de données s'effectuent par un identifiant et un mot de passe individuels, régulièrement renouvelés, ou par tout autre moyen d'authentification garantissant, a minima, un même niveau de sécurité.   Le responsable de traitement établit un état journalier des accès afin de pouvoir en assurer le contrôle.  Il doit également disposer de moyens humains suffisants et formés.   Pour la consultation à distance du fichier ou la transmission des données qu'il contient, via un réseau de communication, le responsable de traitement recourt à des protocoles de communications sécurisés permettant de se prémunir contre les risques d'intrusion et le détournement de finalité.   Afin de parer au risque d'homonymie, la consultation du traitement s'effectue sur la base du nom, du prénom ainsi que de la date et du lieu de naissance.   Le responsable de traitement porte la mention "identité usurpée" concernant les personnes pour lesquelles il est établi que leur identité a été usurpée par un tiers et que les actes et faits incriminés ne leur sont pas imputables.
Article 6 :  Information des personnes   Le responsable du traitement procède, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, à l'information des personnes concernées par la diffusion à chacune d'entre elles d'une note d'information, incluse dans le contrat de location du véhicule, précisant l'existence d'un traitement interne relatif à la prévention des risques, les conséquences d'une inscription dans un tel traitement et la possibilité qui leur est reconnue d'exercer un droit d'accès, de rectification et, le cas échéant, d'opposition à figurer dans un tel traitement pour motif légitime.  Cette note d'information indique la transmission éventuelle des données à la branche loueurs du CNPA et leur mutualisation au profit des adhérents à cette branche.   Lorsque survient un acte ou un fait visé à l'article 2 de la présente décision, la personne concernée doit, préalablement à toute inscription dans un fichier de gestion des personnes à risques, en être informée et disposer de la possibilité de régulariser sa situation dans un délai déterminé porté à sa connaissance, ne pouvant être inférieur à quinze jours s'il s'agit d'un impayé.   En cas de contestation par la personne concernée des motifs pouvant entraîner son inscription dans le fichier de gestion des personnes à risques, le responsable de traitement doit procéder à une instruction contradictoire de cette contestation, dans un délai raisonnable, de façon non automatisée et assortie
de la suspension du processus d'inscription dans le fichier.   Lors de son inscription effective dans le traitement ayant pour objet la prévention des risques, la personne concernée doit également en être informée.   Les droits d'accès, de rectification et le cas échéant, d'opposition, s'exercent auprès des personnes ou des services de l'entreprise de location, ou s'il y a lieu, du CNPA, dont les coordonnées doivent être clairement indiquées dans la note d'information précitée.
Article 7   Tout traitement automatisé de données à caractère personnel ayant pour objet la prévention des risques qui n'est pas conforme aux dispositions qui précèdent doit faire l'objet d'une demande d'autorisation auprès de la Commission dans les formes prescrites par les articles 25-4° et 30 de la loi du 6 janvier 1978 modifiée.   Article 8   La présente délibération sera publiée au Journal Officiel de la République française.   Le président Alex TURK.