AgentPublic/cnil huggingface dataset:
(demande d’autorisation n°1311782)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le code monétaire et financier ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu la demande d’autorisation présentée par la société KARAVEL ; 
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et de Mme Elisabeth ROLIN, commissaire du Gouvernement; en ses observations, 
Autorise, dans les conditions définies dans le dossier et ses compléments, la société KARAVEL à mettre en œuvre un traitement automatisé ayant pour finalité la lutte contre les impayés dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
KARAVEL
Finalités
Le dispositif présenté concerne la prévention des impayés. Les clients qui à l’issue d’un processus de recouvrement commercial amiable n’ont pas honoré leur facture sont inscrits sur une « liste noire » afin d’éviter toute nouvelle commande auprès de KARAVEL.Il y a donc lieu de faire application de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation préalable de la CNIL les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire le prévoyant.
Données traitées
Les données collectées sont les suivantes : 
le nom et le prénom
l’adresse
l’adresse mail
le numéro de téléphone
le numéro de dossier
la date de l’inscription
Destinataires
Seuls les personnels habilités du Service juridique et du Service des flux financiers sont destinataires de ce traitement.
Information et droit d’accès
Les personnes sont informées, conformément aux dispositions de l’article 32 de la loi Informatique et Libertés, au préalable dans les conditions générales de vente du site Karavel.com
En cas de survenance d’un impayé, la personne concernée est informée :
dans un premier temps, au moment de la survenance de l’incident de paiement par courrier électronique avec accusé de réception. Ce courrier mentionne les modalités de régularisation de l’impayé.
dans un second temps, si elle n’a pas procédé à la régularisation de sa situation, au moment de l’inscription sur la « liste noire » par l’envoi d’un courrier sous la forme d’une lettre recommandée avec accusé de réception.
Caractéristiques particulières du traitement
La Commission observe que les caractéristiques de ce traitement sont pertinentes au regard de l’activité de KARAVEL qui commercialise des voyages en ligne. Les données relatives aux personnes auteurs d’impayés sont supprimées de la « liste noire » dès la réalisation du paiement intégral des sommes dues. Les personnes concernées retrouvent donc immédiatement la possibilité de commander un nouveau produit. En cas de non régularisation du paiement, les données sont supprimées à l’issue d’un délai de cinq ans.
 Le Président
Alex TURK
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;  
Vu la directive 2006/49/CE du Parlement européen et du Conseil du 14 juin 2006 sur l’adéquation des fonds propres des entreprises d’investissement et des établissements de crédit ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-I -4° ; 
Vu les règlements du Comité de la réglementation bancaire et financière (CRBF) n°90-02 du 23 février 1990 modifié relatif aux fonds propres et n°97-02 du 21 février 1997 modifié relatif au contrôle interne des établissements de crédit et des entreprises d’investissement ;
Vu l’arrêté du ministère de l’économie, des finances et de l’industrie du 20 février 2007 relatif aux exigences de fonds propres applicables aux établissements de crédit et aux entreprises d’investissement ;
Vu le dossier de demande d’autorisation présenté par la société FINANCO ;
Après avoir entendu M. Jean Paul Amoudry, commissaire, en son rapport, et Mme Elisabeth Rolin commissaire du Gouvernement, en ses observations. 
Formule les observations suivantes : 
La société FINANCO, filiale du groupe Crédit Mutuel ARKEA, a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation d’un traitement de données à caractère personnel visant à évaluer le risque de crédit présenté par ses clients selon l’approche « notation interne » afin de définir son niveau de fonds propres réglementaires conformément aux dispositions de l’arrêté du 20 février 2007 susvisé.
Sur la procédure suivie auprès de la Commission
Chaque client ayant souscrit un crédit auprès de la société FINANCO fait l’objet d’une note dite « cotation Bâle II ». Cette cotation est susceptible d’être prise en compte en tant qu’élément permettant d’apprécier la solvabilité de l’emprunteur notamment en cas de nouvelle demande de crédit ou d’autorisation de découvert. L’existence d’une cotation défavorable peut, dans certain cas, conduire à une décision de refus d’octroi de crédit.
Dès lors ces traitements automatisés relèvent du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doivent, à ce titre, être autorisés par la CNIL.
Sur les  finalités du traitement
Le traitement automatisé mis en œuvre par la société FINANCO a, en premier lieu, pour finalité la définition du niveau de fonds propres réglementaires correspondant à son niveau d’exposition et dans ce but, il permet : 
d’évaluer pour chaque client, personne physique ou morale, le risque de crédit qu’il présente sous la forme d’une note et d’affecter chaque exposition ou chaque client ou exposition à un lot et 
d’élaborer, de vérifier périodiquement et d’actualiser les modèles statistiques utilisés pour mesurer le risque de crédit des personnes physiques ou morales dans le cadre de l’application à leur clientèle de détail et de professionnels du dispositif de notation interne des risques de crédit.
Il prévoit, en second lieu, l’utilisation des notations internes, probabilités de défaut à un an (PD) et estimations de perte en cas de défaut (LGD) à l’occasion de certaines opérations de gestion des dossiers individuels des clients particuliers ou professionnels.
Les personnes concernées par le traitement sont exclusivement des emprunteurs, clients de la société FINANCO qui représentent un risque de crédit désigné ci-après sous le terme « débiteurs ».
Le système de notation interne des risques de crédit repose sur une évaluation statistique de la probabilité de défaut des débiteurs dans les douze mois à venir et du montant des pertes en résultant. Il doit tenir compte des caractéristiques pertinentes du risque attachées à l’emprunteur et à la transaction, dont l’établissement a connaissance.
Les notes d’évaluation du risque, les PD et les LGD sont mises à jour mensuellement et exclusivement utilisés pour :
le calcul des fonds propres réglementaires (proposition automatique de provisions),
l’aide à la décision en matière d’octroi de crédit (détermination du niveau de délégation requis pour la décision, acceptation des demandes, détermination de la tarification applicable et des garanties à demander), et
l’aide à la gestion du risque opérationnel (détermination d’un niveau de découvert non contractuel, prise de décision sur les dépassements d’autorisation, gestion des impayés, détermination des opérations de recouvrement amiable ou contentieux).
La Commission prend acte que conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, une décision défavorable en matière d’octroi de crédit ne peut être prise après consultation du résultat du score sans que le débiteur ait été informé de son droit à présenter des observations sur sa situation bancaire et financière.
Sur les catégories de données traitées
Les catégories de données prises en compte pour l’élaboration des notes d’évaluation du risque concernent :
la situation personnelle du débiteur : l’âge, la situation de famille, le type de logement (sous la forme locataire, propriétaire ou autre),
la situation professionnelle du débiteur : le code profession, l’ancienneté professionnelle, l’ancienneté de l’entreprise (cette donnée n’est prise en compte que pour la notation de la clientèle personne morale),
la situation économique et financière du débiteur: le montant des revenus, le montant des charges et des allocations,
les autres personnes composant le foyer : le revenu du foyer, le nombre d’enfants,
la situation bancaire des débiteurs : 
pour les crédits revolving : l’ancienneté du contrat, l’ancienneté bancaire à la signature du contrat de crédit, les informations relatives à l’utilisation du crédit (taux d’utilisation maximum sur les douze derniers mois, taux d’utilisation instantané au mois de cotation, etc.)
pour les autres crédits : le nombre d’échéances impayées, le taux d’amortissement du crédit, la durée du crédit, le capital emprunté, le taux d’apport personnel, le rang de retard du crédit au jour de la cotation, le type de retard.
Ces données peuvent faire l’objet de croisements. Elles sont choisies et pondérées en fonction du lien de corrélation qu’elles présentent avec le risque de crédit attaché au client en général ou à chaque opération de crédit en particulier.
La Commission observe qu’aucune variable ne reçoit une pondération telle qu’elle puisse à elle seule avoir un effet d’exclusion absolue ou disqualifiant. Il en va de même pour tout ensemble de variables corrélées les unes ou autres.
La Commission note également que l’affectation d’une cotation à un débiteur peut conduire la société FINANCO à prendre en compte des informations relatives à d’autres clients personnes physiques (des informations relatives aux membres de la famille ou au conjoint). Toutefois, il s’agit d’informations déclarées par le client au moment de sa demande de prêt et non d’informations que FINANCO détiendrait déjà dans son système d’informations au titre de demandes de crédit effectuées antérieurement.
Dans ces conditions, la Commission estime que la prise en compte de ces données est adéquate, pertinente et non excessive au regard de la finalité du traitement.
Sur la durée de conservation et les destinataires des données
Les notes sont réévaluées une fois par mois. Seuls ont accès aux notes en cours, les chargés de clientèle de la société FINANCO. Les directeurs commerciaux peuvent également avoir accès à ces informations en cas de décision d’octroi de crédit faisant l’objet d’une délégation.
Les cotations successives et les données permettant de les élaborer sont conservées pendant une durée de 5 ans sous une forme indirectement nominative afin d’actualiser les modèles statistiques utilisés pour mesurer le risque de crédit. Seuls ont accès à ces informations, les personnels en charge de l’actualisation du modèle de notation.
Seuls les personnels en charge du contrôle interne ont la possibilité d’identifier les personnes concernées dans le cadre de l’exercice de leurs missions d’audit.
Les actions effectuées par ces personnes sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Afin de permettre un calcul consolidé au niveau du groupe Crédit Mutuel ARKEA, la société FINANCO transmet à celui-ci les cotations et des encours de crédits. Cette transmission est réalisée sous une forme indirectement nominative, les destinataires des informations au niveau du groupe Crédit Mutuel ARKEA n’étant pas en mesure d’identifier le client concerné. 
La Commission observe qu’il n’y a pas de mutualisation de données à caractère personnel entre la société FINANCO et le Crédit Mutuel ARKEA.
Sur les droits des personnes 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, chaque client est informé lors de la collecte des données, notamment au moment de l’entrée en relation contractuelle, puis régulièrement sur :
la mise en place d’un système de notation interne des risques de crédit,
les droits qui lui sont reconnus par la loi susvisée, notamment le droit d’obtenir communication par écrit, sur sa demande, des notes d’évaluation du risque dont il fait l’objet, de leur signification et de leur modalité de calcul.
La Commission rappelle que conformément aux dispositions de l’article 30, II, de la loi du 6 janvier 1978 modifiée, la société FINANCO informe sans délai la Commission de tout changement affectant notamment l’identité et l’adresse du responsable de traitement, la ou les finalités du traitement, les données à caractère personnel traitées et la durée de conservation.
Autorise, dans les conditions prévues par la présente délibération, la société FINANCO à mettre en œuvre un traitement de données à caractère personnel visant à évaluer le risque de crédit selon l’approche « notation interne ».
                                                                                Le Président
Alex TURK
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 25 I 4° et II ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la délibération n°2005-305 de la Commission nationale de l’informatique et des libertés du 8 décembre 2005 ; 
Vu le document d’orientation relatif aux dispositifs d’alerte professionnelle adopté par la Commission le 10 novembre 2005; 
Après avoir entendu M. Emmanuel de GIVRY, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a adopté le 8 décembre 2005 une délibération portant autorisation unique (AU-004) de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle (« whistleblowing »).
Par un arrêt n°2524 du 8 décembre 2009, la chambre sociale de la Cour de cassation a mis en lumière les difficultés d’interprétation de certaines dispositions de l’autorisation unique n°AU-004, en particulier ses articles 1er et 3. 
En effet, l'article 3 de l’autorisation unique n°AU-004 du 8 décembre 2005 prévoit que « Des faits qui ne se rapportent pas à ces domaines peuvent toutefois être communiqués aux personnes compétentes de l'organisme concerné lorsque l'intérêt vital de cet organisme ou l'intégrité physique ou morale de ses employés est en jeu ».
A cette occasion, la Cour de cassation a rappelé que la mise en œuvre d'un dispositif d'alerte professionnelle, faisant l'objet d'un engagement de conformité à l'autorisation unique, devait se limiter aux seuls domaines comptables, financiers, et de lutte contre la corruption définis à l’article 1er et que l’article 3 ne devait pas être interprété comme permettant un élargissement de la finalité des dispositifs d'alertes tels que prévus par l'autorisation unique.
Dans ce contexte, il est apparu nécessaire à la Commission de clarifier son autorisation unique, les organismes aspirant légitimement à une plus grande sécurité juridique. Préalablement, elle a mené de nouvelles auditions des principaux acteurs concernés par les dispositifs d’alerte pour déterminer dans quelle mesure il y a lieu de modifier les termes de l’autorisation unique.
Par ailleurs, depuis 2005 la Commission a eu l’occasion d’autoriser à de nombreuses reprises, dans le cadre du régime d’autorisation spécifique, des dispositifs d’alerte élargis aux pratiques anticoncurrentielles, ainsi que ceux fondés sur la loi japonaise dite « Japanese SOX ». La Commission a souhaité prendre en compte ces évolutions dans l’autorisation unique en modifiant son champ d’application en ce sens.
Décide :
Article 1er
Le dernier alinéa de l’article 1er relatif aux finalités du traitement est rédigé comme suit :
« Conformément à l'article 7-5° de la loi du 6 janvier 1978 modifiée, entrent également dans le champ de la présente décision :
les traitements mis en œuvre dans les domaines précités par les entreprises concernées par la section 301(4) de la loi américaine dite «Sarbanes-Oxley» du 31 juillet 2002, ainsi que par la loi japonaise « Financial Instrument and exchange Act » du 6 juin 2006 dite « Japanese SOX ». 
les traitements mis en œuvre pour lutter contre les pratiques anticoncurrentielles au sein de l’organisme concerné ».
Article 2
La phrase suivante de l’article 3 est supprimée : «  Des faits qui ne se rapportent pas à ces domaines peuvent toutefois être communiqués aux personnes compétentes de l'organisme concerné lorsque l'intérêt vital de cet organisme ou l'intégrité physique ou morale de ses employés est en jeu ».
Article 3
Les deux premiers alinéas de l’article 6 sont ainsi rédigés :
« Les données relatives à une alerte considérée, dès son recueil par le responsable du traitement, comme n’entrant pas dans le champ du dispositif, sont détruites ou archivées sans délai.
Lorsque l’alerte n’est pas suivie d’une procédure disciplinaire ou judiciaire, les données relatives à cette alerte sont détruites ou archivées par l’organisation chargée de la gestion des alertes dans un délai de deux mois à compter de la clôture des opérations de vérification ». 
Article 4  
L’article 12 est ainsi rédigé :
« Article 12. Dispositions transitoires
Les responsables de traitements de  données à caractère personnel dont la mise en œuvre est régulièrement intervenue avant la publication de la délibération n°2010-369 du 14 octobre 2010 et qui ne respectent pas strictement les conditions fixées aux articles 1er et 3 de l'autorisation unique modifiée, disposent d’un délai de 6 mois, à compter de la publication de la délibération n°2010-369, pour mettre leurs traitements en conformité ». 
La présente délibération sera publiée au Journal officiel de la République française.
Le président
Alex Türk
La Commission nationale de l'informatique et des libertés,
Vu la convention du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code électoral ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Après avoir entendu Mme Isabelle Falque-Pierrotin, vice-présidente, en son rapport et Mme Elisabeth Rolin, commissaire du Gouvernement, en ses observations,
 
Formule les observations suivantes :
Alors que le vote électronique commençait seulement à s'implanter en 2003, lors de l'adoption de la première recommandation de la CNIL, la commission constate aujourd'hui que les systèmes de vote électronique sur place ou à distance se sont développés et s'étendent désormais à un nombre croissant d'opérations de vote et de types de vote.
La commission souligne que le recours à de tels systèmes doit s'inscrire dans le respect des principes fondamentaux qui commandent les opérations électorales : le secret du scrutin sauf pour les scrutins publics, le caractère personnel, libre et anonyme du vote, la sincérité des opérations électorales, la surveillance effective du vote et le contrôle a posteriori par le juge de l'élection. Ces systèmes de vote électronique doivent également respecter les prescriptions des textes constitutionnels, législatifs et réglementaires en vigueur.
La commission constate que si l'application principale du vote électronique réside dans les élections professionnelles (comité d'entreprise et représentants du personnel), celui-ci se développe également pour les assemblées générales, conseil de surveillance, élection des représentants de professions réglementées et, depuis 2003, pour des élections à caractère politique. De plus, en 2009, pour la première fois, la possibilité de recourir au vote électronique pour une élection nationale, au suffrage universel direct, a été introduite par l'ordonnance n° 2009-936 du 29 juillet 2009 relative à l'élection de députés par les Français établis hors de France.
Devant l'extension du vote par internet à tous types d'élections, la commission souhaite rappeler que le vote électronique présente des difficultés accrues au regard des principes susmentionnés pour les personnes chargées d'organiser le scrutin et celles chargées d'en vérifier le déroulement, principalement à cause de la technicité importante des solutions mises en œuvre. Au cours des travaux que la commission a menés depuis 2003, elle a, en effet, pu constater que les systèmes de vote existants ne fournissaient pas encore toutes les garanties exigées par les textes légaux. Dès lors et en particulier, compte tenu des éléments précités, la commission est réservée quant à l'utilisation de dispositifs de vote électronique pour des élections politiques.
La présente délibération a pour objet de revoir la recommandation de 2003 à l'aune des opérations électorales intervenues depuis cette date et de leur analyse par la CNIL, y compris par les contrôles effectués.