AgentPublic/cnil huggingface dataset:
Le traitement mis en œuvre doit permettre au CREDIT AGRICOLE CONSUMER FINANCE de détecter des incohérences entre certaines informations figurant dans les demandes de crédit et les informations fournies au titre de précédentes demandes de prêt centralisées dans sa base de données clients. Celle-ci regroupe l’ensemble des demandes de crédit réalisées auprès du CREDIT AGRICOLE CONSUMER FINANCE ou de ses filiales, au cours des cinq dernières années. 
Les incohérences détectées par PREVIRR font l’objet d’une analyse manuelle par un service central dénommé Détection et Prévention des Incohérences de Crédit (DPIC). Le niveau d’incohérence est défini par ce service après analyse des caractéristiques des anomalies détectées (nombre et type de champ concerné). 
Ainsi, toute divergence sur un élément d’identité (nom, prénom, date et lieu de naissance) est qualifiée d’incohérence forte. Les incohérences détectées sur les autres données sont quant à elles qualifiées de potentielles.
Une fois le niveau d’incohérence caractérisé, une fiche d’aide à la décision est établie puis transmise au chargé de clientèle du demandeur. Celle-ci ne saurait à elle seule conduire à un refus d’octroi de crédit et ne constitue qu’un élément d’aide à la décision. Ainsi, le chargé de clientèle devra procéder à des vérifications complémentaires au vu des éléments déjà fournis par le client et se rapprocher de ce dernier afin de lui permettre de faire valoir ses observations.
La Commission prend acte que les alertes générées par l’application PREVIRR donneront lieu systématiquement à une analyse manuelle.
Elle observe également qu’avant toute décision de refus de crédit, des vérifications complémentaires seront effectuées au vu des éléments déjà fournis par le demandeur de crédit et qu’il lui sera possible de faire valoir ses observations.
Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est prise à l’égard des demandeurs de crédit au vu des seuls résultats du traitement 
Sur les données collectées 
Les catégories de données analysées lors de la recherche des incohérences sont exclusivement :
l’identité des demandeurs de crédit : nom, prénoms, date et département de naissance ;
leurs adresses postale et électronique, leurs numéros de téléphone, 
leur relevé d’identité bancaire ;
des données relatives à leur employeur : nom ou raison sociale, adresse, numéro de téléphone.
La fiche d’aide à la décision transmise au chargé de clientèle comporte des informations relatives aux données présentant des incohérences et à la qualification de celles-ci. Cette fiche comporte également une zone de texte libre d’où est exclue toute information sans rapport avec la finalité du traitement et tout jugement de valeur.
La Commission considère que les données collectées sont adéquates, pertinentes et non excessives au regard de la finalité du traitement.
Sur la durée de conservation des données
Les informations relatives aux incohérences sont conservées dans l’application PREVIRR pendant une durée d’un an. A l’issue de cette durée, l’ensemble des données sont toutes effacées ou détruites, selon qu’il s’agisse de documents sous forme numérique ou papier. 
La Commission observe que les données servant de base de comparaison afin de détecter des incohérences sont celles collectées par le CREDIT AGRICOLE CONSUMER FINANCE ou par ses filiales lors de précédentes demandes de crédits effectuées auprès de ses établissements au cours des cinq dernières années.
Sur les destinataires des informations 
Seuls ont accès à cette application les agents du service Détection et Prévention des Incohérences de Crédit (DPIC) qui analyseront les données pour le compte du CREDIT AGRICOLE CONSUMER FINANCE, ou de ses filiales.
Afin de procéder à des vérifications complémentaires, les chargés de clientèles des agences du CREDIT AGRICOLE CONSUMER FINANCE, ou de ses filiales sont destinataires des fiches d’aide à la décision pour autant qu’elles se rapportent aux clients dont ils instruisent le dossier.
La Commission relève qu’en outre les incohérences détectées dans les douze derniers mois peuvent également être transmises au chargé de clientèle saisi d’une nouvelle demande de crédit. Les informations ainsi communiquées peuvent provenir du CREDIT AGRICOLE CONSUMER FINANCE ou de ses filiales et bénéficier à l’un de ces établissements dans le seul cas où il est saisi de la nouvelle demande de crédit.
Enfin, ces transmissions sont limitées aux données énumérées ci-dessus. Ainsi, elles ne porteront en aucun cas sur des informations relatives à la situation économique et financière du demandeur de crédit.
La Commission observe que la nature des liens entre chaque établissement susvisé prend la forme d’un lien capitalistique, que l’ensemble de ces établissements sont spécialisés dans le crédit à la consommation et qu’à ce titre, il existe une communauté de risques financiers entre les sociétés bénéficiaires de la transmission d’information.
Les actions effectuées par les agents du service DPIC et les chargés de clientèle sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Sur l’information des personnes concernées
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les demandeurs de crédit sont informés, par chacun des établissements qui bénéficient du dispositif de détection des anomalies, de l’existence du traitement mis en œuvre par le CREDIT AGRICOLE CONSUMER FINANCE ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition au moyen des documents qui leur sont communiqués tant au moment de la demande de crédit qu’à la réception de l’offre de crédit.
Dans la mesure où les informations transmises dans le cadre d’une demande de crédit sont couvertes par le secret bancaire, il est prévu qu’une clause distincte de l’offre de crédit comporte l’autorisation explicite du client de partager des informations couvertes par le secret bancaire.
La Commission relève que le consentement des clients est recueilli par le biais de cette clause particulière de la demande de crédit qui précise la finalité et les destinataires des données.
La Commission observe que dans l’hypothèse où le demandeur refuserait de consentir à la levée du secret bancaire, une procédure alternative est mise en place afin de garantir l’examen de sa demande.
Autorise, dans les conditions prévues par la présente délibération, la société CREDIT AGRICOLE CONSUMER FINANCE à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la détection des incohérences figurant dans les demandes de crédit des particuliers.
Le Président,
 Alex TURK
Délibération n° 2010-445 du 2 décembre 2010 habilitant des agents de la CNIL  à procéder à des missions de vérification sur place
Le bureau de la Commission nationale de l’informatique et des libertés,
Vu la loi n° 78-17 modifiée du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 11 (2° f), 19, 20 et 44 ;
Vu le décret n° 2005-1309 modifié du 20 octobre 2005, pris pour l’application de la loi du 6 janvier 1978, notamment ses articles 57 à 60 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés, notamment son article 61 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d’attributions au bureau de la Commission nationale de l’informatique et des libertés ;
Après avoir entendu M. Emmanuel de GIVRY, vice-président délégué, en son rapport, et  Madame Elisabeth ROLIN, commissaire du gouvernement, en ses observations,
Décide :
Article 1er : 
Les agents de la Commission nationale de l'informatique et des libertés ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l’article 44 de la loi n°78-17 du 6 janvier 1978 modifiée :
Madame Maryline ABIVEN, attachée au service du droit d’accès indirect à la direction des relations avec les usagers et du contrôle ;
Madame Leslie BASSE, auditrice au service des contrôles à la direction des relations avec les usagers et du contrôle ;
Madame Wafae EL BOUJEMAOUI, attachée au service des plaintes à la direction des relations avec les usagers et du contrôle ;
Monsieur Alain LEROI, chef du service du droit d’accès indirect à la direction des relations avec les usagers et du contrôle ;
Madame Alice de la MURE, attachée au service des correspondants à la direction des relations avec les usagers et du contrôle ;
Monsieur Bertrand PAILHES, ingénieur expert au service de l’expertise informatique à la direction des affaires juridiques, internationales et de l’expertise ;
Madame Betty PAPADOPOULOS, auditrice au service des contrôles à la direction des relations avec les usagers et du contrôle ;
Monsieur Nicolas REVELLO, attaché au service des affaires juridiques à la direction des affaires juridiques, internationales et de l’expertise ;  
Madame Marie-Charlotte ROQUES-BONNET, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l’expertise ;  
Madame Katty SAINT GELAIS, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l’expertise ;  
Madame Clémence SCOTTEZ, attachée au service des plaintes à la direction des relations avec les usagers et du contrôle.
Article 2 : 
Les habilitations mentionnées à l’article 1er sont délivrées pour une durée de cinq ans.
Article 3 :
La présente décision prendra effet à compter de la date de sa publication au Journal Officiel de la République française.
Le président,
Alex TURK
(Autorisations n°1453537 et 1453538)
La Commission nationale de l’informatique et des libertés,
Saisie par le ministère de l’économie, des finances et de l’industrie de deux demandes d’autorisation le 17 septembre 2010 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 25-I-5° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
Vu la loi n°2009-1437 du 24 novembre 2009 relative à l’orientation et à la formation professionnelle tout au long de la vie, complétée par la loi du 10 mars 2010 relative au service civique, et notamment les articles L.313-7 et L.313-8 du code de l’éducation ;
Après avoir entendu Monsieur CARREZ, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes:
La Commission a été saisie le 17 septembre 2010 par le ministère de l’éducation nationale, le ministère de l’agriculture, ainsi que le ministère de l’économie, des finances et de l’industrie, de six dossiers de formalités préalables relatifs à la mise en œuvre d’un traitement de données à caractère personnel dénommé «  Système interministériel d’échanges d’informations » (SIEI), comprenant six demandes d’autorisations sur le fondement de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée en aout 2004.
Une demande de compléments a été adressée par voie postale le 6 octobre 2010 aux ministères concernés à laquelle il a été répondu par courrier le 9 novembre 2010.
En application de la loi n°2009-1437 du 24 novembre 2009 relative à l’orientation et à la formation professionnelle tout au long de la vie, complétée par la loi du 10 mars 2010 relative au service civique, des travaux interministériels sous l’égide du haut commissaire à la jeunesse entre le ministère de l’éducation nationale, le ministère de l’agriculture ainsi que le ministère de l’emploi, ont abouti à la création d’un traitement interministériel (ci-après dénommé SIEI). Ce dispositif met en place un échange d’informations permettant par étapes  de tris successifs de déterminer les jeunes qui ont quitté les systèmes de formation initiale sans diplôme et pour lesquels les acteurs du service public ont une obligation de prise en charge.
Les échanges d’informations ont lieu entre les bases de données des établissements de formation initiale (ministère de l’éducation nationale, ministère de l’agriculture), celles des centres de formation des apprentis (ministère de l’éducation nationale) et celles des missions locales (ministère de l’emploi) afin de pouvoir établir avec le plus de précisions possibles une liste des jeunes ayant « décroché » du système de formation initiale, suivis ou non par une mission locale.
Les applications SCONET-SDO et INCA (pour le ministère de l’éducation nationale, de la jeunesse et de la vie associative), PREDECAGRI (pour le ministère de l’agriculture) et PARCOURS 3 (pour les missions locales) vont être les vecteurs d’alimentation de cette plateforme interministérielle.
La Commission relève que le SIEI a pour objet d’interconnecter plusieurs traitements distincts de données à caractère personnel, à savoir, ceux des établissements de formation initiale du ministère de l’éducation nationale, de la jeunesse et de la vie associative et du ministère de l’agriculture, ainsi que ceux des centres de formation  des apprentis et des missions locales. Ces interconnexions sont mises en œuvre par un processus automatisé ayant pour objet de mettre en relation des informations issues de traitements dont les finalités ne relèvent pas d’un unique intérêt public. Dès lors la Commission considère que le traitement qui lui est présenté relève du régime de l’autorisation en vertu des dispositions de l’article 25-I-5°de la loi du 6 janvier 1978 modifiée en août 2004.
La Commission observe que le fonctionnement du SIEI repose sur une structure pyramidale dont les étapes sont structurées par l’établissement successif de 7 listes. 
La liste L1 permet d’identifier les élèves « sortis » des établissements scolaires avant l’achèvement de leur cursus. La liste L2 permet d’identifier ceux qui sont « entrés » dans d’autres établissements. Puis, les listes L1 sont comparées avec les listes L2 de toutes les académies afin de pouvoir établir deux nouvelles listes correspondants aux élèves « retrouvés scolarisés » dans d’autres académies (L3) et aux élèves « non retrouvés » dans un cycle de formation initiale de l’éducation nationale (L4).
Une liste L5 des élèves retrouvés scolarisés ou en apprentissage dans un autre système de formation que celui d’origine est élaborée à partir des propres listes L1, L2, L3 et L4 de ces systèmes de formation, qui ont procédé de manière identique. Une liste L6 des « élèves ayant décroché » du système de formation initiale qui ne sont plus scolarisés dans leur établissement d’origine et qui ne se sont pas réinscrits dans un autre établissement, est établie. Ce processus permet d’établir une liste finale (Liste L7) des jeunes ayant « décroché » de formation initiale, précisant s’ils sont accompagnés ou non par une mission locale. 
Cette liste, éclatée ensuite aux niveaux géographiques appropriés, permet à des coordinateurs locaux désignés par les préfets de prendre contact avec les jeunes supposés en situation de décrochage pour leur proposer une prise en charge appropriée.
La Commission prend acte que le ministère de la défense, ainsi que celui de la mer, ne participent pas pour l’instant au SIEI mais qu’ils y seront associés dans une version ultérieure. A cet égard, la Commission rappelle que toute modification du système devra impérativement faire l’objet des formalités préalables adéquates auprès de la Commission.
La Commission observe que les élèves « perdus » par l’un des trois systèmes de formation et non « retrouvés » par ceux-ci peuvent s’être dirigés ou avoir été dirigés vers les dispositifs relevant d’autres ministères, qui ne participent pas pour le moment au SIEI, ou qui n’ont pas vocation à le rejoindre. Ces jeunes figureront sur les listes jusqu’au moment où un contact direct sera pris par les coordonateurs locaux. Seront dans le même cas les élèves ayant décroché du système scolaire qui ont trouvé un emploi, car le système ne peut collecter cette donnée.
La Commission a par ailleurs constaté que certaines académies n’utilisant pas Sconet-SDO envisageraient de développer leurs propres traitements de détection du décrochage en dehors du SIEI. Elle prend acte du fait que le ministère a décidé d’appliquer le SIEI dans la totalité des académies.
Sur la finalité poursuivie
La Commission constate que la finalité poursuivie par le dispositif mis en place est d’identifier conformément aux dispositions de l’article L.317-7 du code de l’éducation, les jeunes de plus de seize ans, sortis du système de formation initiale sans diplôme ni qualification  pour leur proposer une solution d’accompagnement lorsqu’ils ne sont pas déjà suivis par une mission locale. S’y ajoute subsidiairement une finalité statistique, sur des données anonymisées.
La Commission considère que la finalité poursuivie par ce traitement est déterminée, explicite et légitime.
Sur les personnes visées par le traitement
La Commission observe que le SIEI ne devrait concerner que les jeunes ayant atteint au moins l’âge de 16 ans. Cette restriction d’âge correspondant à la fin de l’obligation scolaire ainsi qu’au champ de compétences des missions locales qui concerne, aux termes de l’article L.5314-2 du code du travail, les jeunes de 16 à 25 ans.
La Commission appelle l’attention du ministère de l’éducation nationale, de la jeunesse et de la vie associative sur la nécessité de mettre en place un mécanisme technique permettant d’écarter dès l’émission des premières listes, par les établissements de formation initiale, les mineurs n’ayant pas atteint l’âge de 16 ans. 
Elle prend acte de l’engagement du ministère de mettre en place un tel mécanisme par un complément d’information en date du 24 novembre 2010. Elle rappelle toutefois qu’un tel engagement devra être mis en œuvre par chacun des ministères concernés pour les traitements dont ils ont la responsabilité.
Sur les données collectées
La Commission souligne que le SIEI est un traitement ayant uniquement vocation à permettre un échange de données,  ne contenant aucune possibilité de saisie ou de modification d’écriture et  n’étant accessible qu’en lecture seule.
Elle prend acte que toutes les listes sont composées de données personnelles non sensibles limitativement énumérées. Les données suivantes sont recueillies dans le traitement : nom, prénom, sexe, date et lieu de naissance, numéro INE, numéro d’enregistrement interne de l’élève dans le système d’information d’origine, coordonnées complètes des responsables légaux ou de l’élève majeur, diplômes et date d’obtention, dernière formation suivie (code  et libellé en clair, dates d’entrée et de sortie), dernier système de formation initiale, dernier établissement d’origine, dernière académie ou région d’origine, nouvelle académie d’inscription, nouvel établissement fréquenté, statut vis-à-vis de la mission locale (« Inconnu », « en veille », « Actif », « Accompagné »), numéro d’enregistrement interne du jeune dans le système d’information Parcours 3, siège social de la mission locale, antenne de la mission locale. 
Tout en considérant que le recueil de données est proportionné, adéquat et non excessif au regard de la finalité poursuivie, la Commission relève que le ministère a indiqué procéder à l’enregistrement du numéro INE dans le but de limiter les risques d’homonymie dans le SIEI.
La Commission rappelle que cet identifiant ne constitue pas un numéro identifiant national mais un identifiant académique, impliquant en cas de changement d’académie, un changement de numéro identifiant. Elle appelle l’attention du ministère sur la nécessité de procéder aux formalités préalables correspondantes auprès de la Commission si le ministère venait à décider la mise en place d’un numéro national identifiant. 
S’agissant des destinataires
Les destinataires de la dernière liste SIEI sont les personnes ou organismes désignés par le préfet, ainsi que les missions locales pour l’insertion professionnelle et sociale des jeunes. 
La Commission prend acte qu’ils sont destinataires exclusivement de la liste L7, c’est-à-dire celle des jeunes de plus de seize ans ayant « décroché » précisant s’ils sont, suivis ou non, par une mission locale. Les données transmises par le SIEI ne portent que sur la formation initiale suivie et la connaissance d’un accompagnement par les missions locales. La diffusion des données par le SIEI est totalement cloisonnée, chaque plateforme locale ne recevant que les informations relatives à sa zone d’intervention.
Elle prend également acte qu’une fois parvenue au stade de la plateforme locale, l’information relative au jeune décroché aboutit à un traitement « manuel », un responsable joignant par téléphone le jeune concerné.
Elle appelle, l’attention des ministères concernés sur la nécessité d’accomplir les formalités préalables adéquates si un traitement automatisé venait à être crée au niveau des plateformes locales, pour assurer le suivi du soutien apporté aux jeunes ayant « décroché. »
La Commission relève qu’il est prévu un retour nominatif d’informations vers les organismes de formation initiale, à l’exception des CFA. Les données transmises sont l’identité et les coordonnées du jeune « décroché », le dernier établissement fréquenté, la dernière formation suivie, le statut du jeune vis-vis de la mission locale (non connu, en veille, actif ou accompagné).
La Commission souligne qu’un retour nominatif d’informations vers les établissements de formation initiale, implique un nombre particulièrement important de destinataires des données recueillies au sein du SIEI. Elle relève que ce retour d’informations n’est pas expressément prévu par les textes.
Les ministères concernés font valoir qu’il est nécessaire que ces établissements disposent d’informations sur leurs anciens élèves pour leur permettre de mettre en place une politique de prévention du décrochage scolaire adaptée. Ils considèrent que ce retour d’informations est proportionné et concourt aux objectifs définis par le législateur pour le service public de l’éducation et que la seule transmission de données statistiques et anonymisées n’est pas suffisante pour permettre aux établissements scolaires de satisfaire aux  responsabilités qui leur incombent en vertu des dispositions du code de l’éducation nationale. Enfin, cette transmission de données répond à des considérations techniques, en permettant de mettre à jour automatiquement les listes émises par l’établissement d’origine. En l’absence de ce retour, les élèves considérés seraient pris en compte dans les listes à chacune  des quatre campagnes du SIEI.
La Commission prend acte de ces précisions et estime dès lors que ce retour nominatif d’information  est proportionné au regard de la finalité poursuivie de prévention du décrochage scolaire, à la condition qu’il soit limité aux seuls établissements concernés.
Sur les durées de conservation
- Concernant le SIEI
La Commission relève que la liste des élèves ayant « décroché » de formation initiale et accompagnés ou non par les missions locales sera conservée pendant une durée de deux ans dans le SIEI.