AgentPublic/cnil huggingface dataset:
Ce traitement vise à évaluer le risque d’impayés en matière d’octroi de crédit afin de prévenir le risque de défaillance de l’emprunteur lors de la demande initiale ou en cas de demande d’augmentation du plafond de crédit octroyé. Le traitement consiste en l’élaboration et l’utilisation de grilles de  scores en matière d’octroi de crédit.Le dispositif permet à la société LASER COFINOGA le suivi de l’état des encours et des incidents au sein des autres sociétés du groupe LASER : la société SYGMA BANQUE et la COMPAGNIE DE GESTION ET DE PRETS. La Commission relève qu’en cas de défaillance de l’emprunteur, un plan de rééchelonnement des sommes dues, adapté à la situation du client, pourra être mis en place.Enfin, il existe une communication d’information entre les sociétés LASER COFINOGA, SYGMA BANQUE et la COMPAGNIE DE GESTION ET DE PRETS destiné à évaluer le niveau d’endettement d’un demandeur de crédit au regard des crédits précédemment souscrits auprès de l’une de ces trois sociétés et le cas échéant, afin de proposer au client un rééchelonnement de sa dette.La Commission considère que cette finalité est déterminée, explicite et légitime.Ce traitement peut néanmoins, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition législative ou réglementaire prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre,
faire l’objet d’une autorisation de la CNIL.
Sur les données traitées
Les catégories de données traitées sont relatives à :
l’identité de l’emprunteur (nom, prénom, adresse, date et lieu de naissance),
La situation familiale et professionnelle,
La situation économique et financière sur une période de cinq ans : les caractéristiques des crédits en cours (type, montant total, montant des mensualités et durée), la limite de crédit revolving, le montant des règlements effectués et des utilisations de crédit revolving, les incidents de paiement, et, le cas échéant, le plan de rééchelonnement des sommes dues.
à la situation économique et financière (les revenus, le taux d’endettement),
aux variables concernant le client (ancienneté du client et ancienneté bancaire, type de logement),
aux variables concernant le contrat (taux d’utilisation, encours, retard),
aux variables concernant l’historique du contrat (ancienneté du défaut, retard et encours, moyenne du taux utilisation, montant des achats, utilisation de la réserve de crédit, dernier mouvement sur le compte et sur la réserve de crédit, montant mensuel à rembourser si plan de surendettement),
aux variables relatives aux autres contrats détenus par le client (ancienneté du retard, taux d’utilisation du crédit revolving, montant crédit utilisé / montant crédit autorisé, montant des achats, montant de la réserve de crédit, retards, soldes et montant mensuel à rembourser si plan de surendettement).
Les données exploitées à des fins de scoring sont relatives :
l’identité de l’emprunteur (nom, prénom, adresse, date et lieu de naissance),
La situation familiale et professionnelle,
La situation économique et financière sur une période de cinq ans : les caractéristiques des crédits en cours (type, montant total, montant des mensualités et durée), la limite de crédit revolving, le montant des règlements effectués et des utilisations de crédit revolving, les incidents de paiement, et, le cas échéant, le plan de rééchelonnement des sommes dues.
à la situation économique et financière (les revenus, le taux d’endettement),
aux variables concernant le client (ancienneté du client et ancienneté bancaire, type de logement),
aux variables concernant le contrat (taux d’utilisation, encours, retard),
aux variables concernant l’historique du contrat (ancienneté du défaut, retard et encours, moyenne du taux utilisation, montant des achats, utilisation de la réserve de crédit, dernier mouvement sur le compte et sur la réserve de crédit, montant mensuel à rembourser si plan de surendettement),
aux variables relatives aux autres contrats détenus par le client (ancienneté du retard, taux d’utilisation du crédit revolving, montant crédit utilisé / montant crédit autorisé, montant des achats, montant de la réserve de crédit, retards, soldes et montant mensuel à rembourser si plan de surendettement).
Ces données sont collectées à l’ouverture du contrat et mises à jour au cours de la vie du contrat.
La Commission observe qu’aucune variable ne reçoit une pondération telle qu’elle puisse à elle seule avoir un effet d’exclusion absolue ou disqualifiant. Les notes sont réévaluées mensuellement. 
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Sont destinataires de ces informations les personnels habilités du Service Risques et Relation clientèle.La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Les personnes sont informées conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une mention figurant sur les offres de prêts. La Commission relève en outre que le consentement des clients est recueilli par le biais d’une clause particulière de la demande de crédit précisant la finalité et les destinataires des échanges d’information. Dans la mesure où les informations échangées sont couvertes par le secret bancaire, il est prévu que la clause comporte l’autorisation explicite du client de partager des informations couvertes par le secret bancaire. Les droits d’accès, de rectification et d’opposition s’exercent auprès du service Assistance clients à l’adresse suivante : TSA 70014 Bordeaux CEDEX 9 – 33914 ou par courrier électronique à l’adresse : assistance.clients@cofinoga.frCes modalités d’exercice des droits n’appellent pas d’observations de la part de la Commission.
Sur les mesures de sécurité
Les actions effectuées par les personnes accédant au traitement  sont tracées afin de détecter et d’analyser tout accès, modifications et suppressions de données non autorisés.La Commission relève que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les fichiers clients de SYGMA BANQUE et de la COMPAGNIE DE GESTION ET DE PRETS seront simplement consultés par les personnels habilités de LASER COFINOGA à l’occasion d’une demande de crédit ou de la défaillance d’un emprunteur nécessitant d’engager une procédure de recouvrement. La Commission prend acte que ces opérations n’emportent pas constitution d’un fichier centralisant les incidents de paiement ou les encours de crédit et qu’il n’y a pas de mémorisation des informations consultées dans les fichiers clients respectifs. Elle observe également que ces trois sociétés appartiennent au même groupe et qu’elles sont toutes spécialisées dans le crédit à la consommation et qu’il existe une communauté de risque financier entre les sociétés bénéficiaires de cet échange.Conformément à l’article 10 de la loi du 6 janvier 1978 modifiée, le résultat de ce traitement n’a qu’un caractère indicatif, et qu’il est toujours possible d’y déroger au moyen d’une procédure d’analyse non automatisée en cas de dossiers plus complexes.Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.Les données collectées ne sont conservées que pendant le temps nécessaire à la prise de décision. Les données utilisées pour les grilles de score et relatives aux contrats des clients sont conservées pendant la durée de vie du contrat. Le résultat du traitement permet d’attribuer à l’emprunteur une note de score mise à jour mensuellement.Ces durées de conservation
n’appellent pas d’observations de la part de la Commission.
Autorise, conformément à la présente délibération, LASER COFINOGA à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1785555)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Office des Postes et Télécommunications de Nouvelle Calédonie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des condamnations judiciaires au niveau des services bancaires ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi du 12 avril 1922 réduisant à cinq années l'effet des oppositions pratiquées entre les mains des comptables des département, communes et autres établissements publics ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25.I.3°;
Vu le code des impôts de la Nouvelle Calédonie et son article 1169 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’Office des Postes et Télécommunications de Nouvelle Calédonie, ci-dessous, dénommé OPT.OPT est un établissement financier qui assure des activités de services financiers pour ses clients particuliers, entreprises et associations (la gestion des comptes courants et d’épargne, et de leurs services associés).
Sur la finalité
La finalité du traitement consiste à assurer la gestion et le suivi  des données issues des condamnations judiciaires et plus précisément des saisies arrêts et avis à tiers détenteur au niveau des services bancaires et dans le cadre de la mise en œuvre des décisions de justices rendues au nom d’organismes tiers.La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes. Par ailleurs, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté. 
Sur les données traitées
Les données collectées sont relatives : - à l’identification des personnes : nom, prénom, adresse, date et lieu de naissance ;- aux informations d’ordre économique et financier : situation financière ;- aux condamnations.Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a déclaré non conforme à la Constitution l’article 9-3° qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement. Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ». Cette réserve d’interprétation était indispensable pour ne pas priver de base légale les traitements légitimement mis en œuvre pour assurer le suivi des dossiers contentieux relatifs à des infractions. Elle permet à toute personne de constituer, pour les besoins de l’exercice de son droit au recours, des fichiers de pré contentieux.La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives,
conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les personnes habilitées du centre financier de la direction des services bancaires de OPT.La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de OPT sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention d’information qui figure dans la convention de compte.Les droits d’accès et de rectification s’exercent auprès de la Direction générale OPT-CIL à l’adresse suivante : 2 rue Paul montchovet, PORT-PLAISANCE - 98841 NOUMEA ou par courrier électronique à l’adresse suivante : direction@opt.ncLa Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Les actions effectuées par la Direction des services bancaires sont tracées afin de permettre de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés.Seules ces personnes ont accès au logiciel de suivi et de gestion des condamnations. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées conformément aux durées légales maximales à savoir deux mois à compter de la notification pour les avis à tiers détenteurs et 5 ans pour les saisies arrêts.La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, l’Office des Postes et Télécommunications de Nouvelle Calédonie à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1686403)
La Commission nationale de l'informatique et des libertés,
Saisie par PROCAPITAL d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection des opérations susceptibles de constituer des abus de marché ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L 621-15 et L 621-17-2 à L 621-17-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le règlement général de l’Autorité des Marchés Financiers (AMF), notamment ses articles 315-42 à 315-44, 611-1 à 631-10 et 632-1 ;
Vu l’instruction AMF n°2008-05 du 29 juillet 2008 relative à la déclaration d’opérations suspectes prise en application de l’article 315-42 du règlement général de l’AMF ;  
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
PROCAPITAL, est une société anonyme filiale du Groupe Crédit Mutuel Arkéa, prestataire de services titres à destination des établissements financiers.
Sur la finalité
Ce traitement vise à détecter des opérations de transactions sur titres réalisées par des clients de PROCAPITAL qui sont susceptibles de constituer des opérations d’abus de marché et qui, de ce fait, doivent le cas échéant après la collecte de renseignements complémentaires, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).L’identification de telles opérations peut conduire PROCAPITAL à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet. Ce traitement peut ainsi du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale prévoyant une telle exclusion. Il est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.Le traitement mis en œuvre doit permettre à PROCAPITAL d’identifier et de signaler à l’AMF, le cas échéant après la collecte de renseignements complémentaires, des transactions sur des titres financiers susceptibles d’être qualifiées d’abus de marché.Le traitement est réalisé quotidiennement sur les données du jour précédent. Les transactions ainsi détectées sont analysées sans délai.
Sur les données traitées
Les listes d’opérations à analyser comportent les catégories de données suivantes : 
la date et la nature de la détection,
le numéro de compte et la nature du compte de titres,
les caractéristiques de la valeur (code ISIN, libellé, groupe de cotation, libellé du compte, la référence d’une opération sur un instrument financier, la devise de règlement, les modalités de transmission, les heures de pré-ouverture et de post-clôture d’un marché).
les caractéristiques de l’ordre détecté (type d’ordre, sens de l’opération, modalités d’exécution, montant limite du cours, date de validité, date d’exécution, date d’annulation, date de saisie, heure de saisie, quantité traitée, montant).
Les listes ainsi constituées sont conservées pendant une durée n’excédant pas la durée nécessaire à la levée du soupçon d’abus de marché ou à la réalisation d’une déclaration d’opérations suspectes auprès de l’AMF.
Elles sont ensuite archivées pendant une durée de trois ans et uniquement accessibles aux collaborateurs du service du contrôle permanent, au responsable de la conformité, ainsi qu’aux agents en charge du contrôle périodique. Les déclarations d’opérations suspectes effectuées auprès de l’AMF sont également conservées pendant une durée de trois ans.
La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seuls les établissements financiers signataires d’une convention avec PROCAPITAL  peuvent être destinataires de ces informations.En cas d’envoi d’une déclaration de soupçon à l’AMF, les agents habilités de cette autorité ainsi que ceux mentionnés dans la convention de prestation conclut entre l’établissement financier et PROCAPITAL sont également destinataires de tout ou partie des données mentionnées dans la déclaration de soupçon.La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Les personnes sont informées de la mise en œuvre de ce traitement conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une clause des conditions générales applicables au compte de titre ainsi qu’une clause des conditions générales applicables à l’ensemble des comptes.Le droit d’accès s’exerce conformément aux dispositions de l’article 39 de la loi du 6 janvier 1978 modifiée auprès du Service Conformité de PROCAPITAL – Tour Ariane, La Défense, 5 Place de la Pyramide, 92088 La Défense Cedex.La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
La Commission relève que le responsable de traitement s’engage à mettre en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial. Par ailleurs, chaque utilisateur dispose d'un identifiant qui lui est propre et il existe des profils d'habilitation pour gérer les accès aux données. Les postes de travail disposent d'un pare-feu logiciel et d’un antivirus régulièrement mis à jour.Des sauvegardes quotidiennes sont réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité.Les interventions de maintenance font l'objet d'une traçabilité. Le matériel remisé est nettoyé de toute donnée à caractère personnel.L'accès aux locaux est sécurisé et contrôlé par un moyen d'authentification personnel.Il existe une journalisation des opérations de consultation, de création et de modification du traitement.Les mesures de sécurité décrites par PROCAPITAL sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les critères d’alerte retenus dans le cadre de ce traitement ont pour objet de détecter de manière automatisée diverses situations en fonction des facteurs de détection énumérés aux articles 631-2 et 631-3 du règlement général de l’AMF.La Commission constate que ce traitement de détection des alertes d’abus de marché repose sur une analyse des valeurs des titres et des volumes d’ordres. Elle prend acte que l’ensemble des opérations détectées font l’objet d’une analyse manuelle. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.La Commission souligne en outre que ce traitement ne permet pas la constitution d’une « liste noire » de personnes qui ont déjà été concernées par une ou plusieurs alertes.En cas de détection d'un risque d’abus de marché sur un client (déclaration d'opérations suspectes déjà réalisées pour ce client) ou bien lors d'une enquête d'une autorité de tutelle portant sur une typologie de clientèle ou un client particulier, des extractions spécifiques sur des opérations précises et concernant un client peuvent être réalisées.
Autorise, conformément à la présente délibération, PROCAPITAL à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1804950)
La Commission nationale de l'informatique et des libertés,
Saisie par HOIST FINANCES SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion du recouvrement amiable et judiciaire ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-3°et 25-I-3°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Société HOIST FINANCES SAS, est une société spécialisée dans le rachat et le recouvrement de créances.
Sur la finalité