La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; à
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le code monétaire et financier, notamment ses articles L. 311-1, L. 313-1, L. 511-1 et L. 511-33 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu la délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique AU005 relative à certains traitements de données à caractère personnel mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit ;
Vu la demande d’autorisation déposée par La Banque Postale Financement, relative à un traitement automatisé de données à caractère personnel ayant pour finalité l’élaboration, l’actualisation et l’utilisation d’un score d’octroi de crédit ;
Sur le rapport de M. Jean-Paul AMOUDRY, commissaire, et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La Banque Postale Financement (LBPF) a saisi la CNIL d’une demande d’autorisation relative à un traitement automatisé de données à caractère personnel dont la finalité est l’aide à la décision d’octroi de crédit à la consommation. Le score mis en place à cette occasion a pour objet de maîtriser le coût du risque et de participer à la lutte contre le surendettement.
Sur la procédure suivie
Le traitement permet d’évaluer pour chaque personne présentant une demande de crédit à la consommation, le risque statistique de défaillance qui lui est attaché, de sélectionner les demandes qui correspondent à un niveau de risque acceptable de défaillance et de proposer le montant du prêt susceptible d’être consenti en fonction de l’évaluation du risque. Il est, par voie de conséquence, susceptible d’exclure, au moins de façon temporaire, des personnes du bénéfice d’un contrat de crédit là où aucun texte législatif ou réglementaire ne prévoit une telle exclusion.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la CNIL.
Par sa délibération n° 2008-198 du 9 juillet 2008 susvisée modifiant l’autorisation unique AU-005, la Commission a autorisé les traitements mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit, sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre fixé par l’autorisation unique, que ces traitements remplissent également les conditions définies dans ce texte et que la CNIL ait reçu un engagement de conformité à l’AU-005.
Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l’autorisation unique.
L’analyse des caractéristiques du traitement qui est l’objet de la demande d’autorisation fait apparaître plusieurs différences tant sur les modalités de collecte des données traitées, les catégories d’informations prises en compte pour le calcul du score et les modalités d’information des personnes, par rapport à l’AU005 qui, de ce fait, sont soumises à l’examen de la CNIL.
Sur la collecte des données traitées
Le traitement automatisé mis en œuvre sous la responsabilité de LBPF a pour objet d’apporter une aide à l’instruction des demandes de crédit à la consommation qui sont formulées :
1° au cours d’un entretien avec un conseiller financier de La Poste agissant pour le compte et sous la responsabilité de La Banque Postale ;
2° au cours d’un entretien téléphonique avec un conseiller d’une plateforme dédiée de LBPF ;
3° au moyen d’un formulaire électronique rempli sur le site Internet de LBPF.
Il en résulte que le traitement est pour partie mis en œuvre par La Banque Postale lorsqu’elle intervient pour le compte de LBPF en qualité de distributeur et intermédiaire de crédit. Des données personnelles peuvent à cette occasion lui être transmises par les clients. Elles sont destinées à l’usage exclusif de LBPF.
Le traitement permet de calculer la probabilité de défaut et d’établir un avis favorable ou défavorable à leur sujet, ainsi que le montant susceptible d’être prêté.
En premier lieu, le traitement exploite des informations concernant les crédits octroyés par LBPF qui sont en cours de remboursement et les demandes de crédit rejetées par LBPF durant les six derniers mois.
En second lieu, il est proposé aux demandeurs de crédit de bénéficier d’une instruction simplifiée et accélérée de leur dossier pourvu qu’ils soient par ailleurs clients de La Banque Postale, grâce à la récupération automatique et immédiate de certaines données dont La Banque Postale dispose à leur sujet.
En cas d’autorisation de la levée du secret bancaire, la base « clients » de La Banque Postale est interrogée afin de transmettre au traitement d’aide à la décision en matière de crédit à la consommation des données nécessaires à l’instruction du dossier qui se rapportent aux comptes bancaires des demandeurs dont La Banque Postale assure la tenue.
La réception des données de La Banque Postale ne dispense pas les clients concernés de fournir tout autre renseignement nécessaire à l’instruction de leur dossier qui leur serait demandé.
Lorsque la collecte des données est réalisée par téléphone, la Commission prend acte que, avant toute collecte d’informations, les demandeurs sont formellement interrogés sur la mise en place de ce mode opératoire et qu’il leur est précisé qu’ils peuvent choisir de communiquer eux-mêmes l’ensemble des informations nécessaires au traitement de leur demande.
Lorsque la demande de crédit est transmise par Internet, les clients peuvent opter pour l’un ou l’autre des modes opératoires dès le remplissage du formulaire de demande de crédit.
La Commission prend ainsi bonne note qu’en toute hypothèse, il ne pourra être procédé au transfert des données de La Banque Postale qu’après recueil de l’autorisation des clients concernés prévue à l’avant-dernier alinéa de l’article L. 511-33 du code monétaire et financier. L’autorisation prend la forme d’une clause de levée du secret bancaire de La Banque Postale au bénéfice de LBPF dès que celle-ci peut matériellement être signée. Des instructions sont données en ce sens à l’ensemble des conseillers concernés.
Enfin, lorsque les clients n’autorisent pas la levée du secret professionnel de La Banque Postale ou qu’ils n’en sont pas clients, les données les concernant qui sont utilisées par le traitement d’aide à la décision proviennent des seuls renseignements et pièces justificatives qu’ils transmettent spécialement à cette fin.
Sur la nature des données traitées
Certaines des catégories de données prises en compte par le traitement d’aide à la décision en matière d’octroi de crédit ne sont pas prévues par l’AU-005 :
- Au titre de la situation maritale, la situation de divorcé, à laquelle correspond un taux de défaillance sensiblement différent de celui des autres situations, notamment de celle de célibataire ;
- Au titre de la situation de logement, une catégorie « autres » est ajoutée à celles prévues à l’AU-005, pour tenir compte des spécificités des logements des itinérants ;
- L’attribution des demandes de « prêts Etudiant » conduit à la prise en compte du profil étudiant qui est fonction du type d’école, du type de salaire, du domaine et du niveau actuel des études suivies, ainsi que du niveau de diplôme préparé, afin d’estimer la future catégorie socio-professionnelle des demandeurs ;
- L’appréciation du risque des demandeurs d’un prêt dénommé « Intérimaire » nécessite la collecte du nombre d’heures de mission durant les deux dernières années et la formation effectuée récemment, pour évaluer le montant et la stabilité des revenus de ces clients ;
- Le nombre de demandes de crédit de même nature déposées dans un temps donné est pris en compte, de même que l’existence de demandes de crédit en attente ou refusées lorsqu’elles ont été reçues au nom de la même personne durant les dernières semaines pour détecter les modifications abusives laissant présumer des tentatives de fraude.
La Commission estime que la prise en compte de ces données qui correspondent : à des situations particulières de clients, à des taux de défaillance sensiblement différents, ou à des risques spécifiques, est adéquate, pertinente et non excessive au regard de la finalité poursuivie.
Sur l’information des demandeurs de crédit
Les demandeurs de crédit sont informés conformément à l’article 32 de la loi du 6 janvier 1978 et à l’avant-dernier alinéa de l’article L. 511-33 du code monétaire et financier, préalablement à la collecte de données destinées à être prises en compte par le traitement de score. L’information porte, en tant que de besoin, sur :
l’identité du responsable du traitement, les finalités du traitement des données,
le caractère obligatoire ou facultatif des informations demandées,
leurs destinataires, notamment les conseillers financiers de La Banque Postale pour le seul résultat du score des dossiers dont ils assurent l’instruction,
la proposition de levée du secret professionnel de La Banque Postale au profit de LBPF pour faciliter l’instruction du dossier,
les droits des personnes à l’égard de l’utilisation des données à des fins de prospection commerciale, notamment par voie de SMS ou d’e-mail en cas de recueil de l’accord exprès des personnes concernées,
les modalités d’exercice des droits d’accès et de rectification.
Cette information est effectuée par écrit lorsque la collecte des données est effectuée par Internet ou dans les locaux de La Poste, conformément à l’article 90 du décret n° 2005-1309 susvisé. Elle est assurée oralement lorsque la collecte est opérée par téléphone.
Conformément à l'article 10 de la loi du 6 janvier 1978, le résultat du score ne peut, en toute hypothèse, avoir qu'un caractère indicatif lorsqu'il ne conclut pas à l'attribution du crédit demandé. Les demandeurs sont à ce titre informés lors de la lettre de notification du refus total ou partiel de leur demande, qu’ils ont le droit de solliciter un entretien avec un agent habilité à procéder à un réexamen de leur dossier, au cours duquel ils pourront présenter leurs observations sur leur situation financière personnelle. L'entretien s'effectue à distance et est complété par un échange de courriers ou courriels lorsqu’aucune autre solution ne peut être envisagée.
L’information des demandeurs de crédit en toutes les dispositions ci-dessus est conforme à l’AU-005, à l’exception de celles concernant la levée du secret bancaire et l’information sur le droit à bénéficier d’un entretien en cas de refus de la demande de crédit après mise en œuvre du traitement de score.
Les autres aspects du traitement automatisé sont conformes à l’autorisation unique AU-005 et n’appellent pas d’autres observations de la part de la Commission.
Autorise, dans ces conditions, La Banque Postale Financement à mettre en œuvre un traitement automatisé ayant pour objet l’élaboration, l’actualisation et l’utilisation d’un score d’octroi de crédit.