La Commission nationale de l'informatique et des libertés,
Saisie par la société EDUKYS SAS d’une demande d’autorisation  concernant un traitement automatisé de données à caractère personnel ayant  pour finalité la mise en œuvre d’un système d’aide à l’évaluation et à la  sélection des risques en matière d’octroi de prêts étudiants via le  financement participatif ;
Vu la convention n° 108 du Conseil de l’Europe pour la  protection des personnes à l’égard du traitement automatisé des données à  caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du  24 octobre 1995 relative à la protection des personnes physiques à l’égard du  traitement des données à caractère personnel et à la libre circulation de ces  données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à  l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu la loi n° 2014-1 du 2 janvier 2014 habilitant le  Gouvernement à simplifier et sécuriser la vie des entreprises ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour  l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique,  aux fichiers et aux libertés ;
Vu le décret n° 2014-1053 du 16 septembre 2014 relatif au  financement participatif ;
Vu l’ordonnance n° 2014-559 du 30 mai   2014 relative au financement participatif  ;
Vu la délibération no 2008-198 du 9 juillet 2008 modifiant  l’autorisation unique n° AU-005 relative à certains traitements de données à  caractère personnel mis en œuvre par les établissements de crédit pour aider à  l’évaluation et à la sélection des risques en matière d’octroi de  crédit ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en  son rapport, et M. Jean-Alexandre   SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La société EDUKYS a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel dont la finalité est d’apporter une aide à la décision dans le cadre de l’examen des demandes d’étudiants souhaitant obtenir des prêts personnels pour financer leurs études.
La Commission observe que ce traitement a ainsi pour objet de qualifier les demandes qui correspondent à un niveau de risque de défaillance jugé satisfaisant. Il est, par voie de conséquence, susceptible de conduire à l’exclusion, au moins de façon temporaire, d’une personne du bénéfice d’un contrat en dehors de toute disposition législative ou réglementaire le prévoyant.
A ce titre, la Commission considère qu’il y a lieu de faire application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée qui prévoit que doivent être autorisés par la CNIL les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition législative ou réglementaire.
La Commission rappelle qu’elle a adopté une autorisation unique (AU-005) relative à certains traitements de données à caractère personnel mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit.
Elle observe cependant que la société EDUKYS ne rentre pas dans le champ de l’autorisation unique AU-005 modifiée par la délibération n°2008-198 du 9 juillet 2008 dès lors qu’elle n’a pas le statut d’établissement de crédit mais d’intermédiaire en financement participatif.
Sur la finalité du traitement :
En France, le financement participatif (ou
crowdfunding
En l’espèce, la société EDUKYS immatriculée à l’ORIAS a le statut d’intermédiaire en financement participatif (IFP) et doit à ce titre respecter le cadre fixé par l'ordonnance n°2014-559 du 30 mai 2014 et son décret d’application n° 2014-1053 du 16 septembre 2014.
La société EDUKYS, en qualité d’IFP souhaite proposer une plateforme de financement participatif dédiée aux prêts étudiants dont la finalité est de mettre en relation des étudiants à la recherche d’une solution de financement de leurs études, avec des particuliers prêts à financer ces étudiants via des contrats de prêts avec intérêts. Les contrats de prêts ne peuvent dépasser le montant de 10.000 euros par projet sur une durée de sept ans.
Ce traitement automatisé de données à caractère personnel a pour objet, d’une part, d’évaluer, pour chaque étudiant qui présente un projet de financement de ses études, le risque statistique de défaillance qui lui est attaché et, d’autre part, de sélectionner les demandes qui correspondent à un niveau de risque de défaillance jugé satisfaisant.
Le processus de sélection des projets d’étudiants se déroulera en deux phases :
-       Une phase de vérification des pièces justificatives, de l’identité du porteur de projet et de contrôle de cohérence des éléments déclarés afin notamment de détecter des anomalies.
-       Une phase d’application du modèle de score de la société EDUKYS qui permet d’identifier les caractéristiques personnelles des étudiants qui paraissent différencier le mieux la population des emprunteurs défaillants de ceux qui ne font pas défaut.
Conformément à l’article 10 de la loi du 6 janvier 1978, le résultat du score ne peut, en toute hypothèse, avoir qu’un caractère indicatif lorsqu’il ne conclut pas à l’attribution du crédit sous la seule réserve de la production de pièces justificatives.
Sur la nature des données traitées :
La Commission relève qu’au regard de l’activité de financement participatif dédiée aux prêts étudiants, la société EDUKYS prend en compte les variables suivantes pour établir la note de score:
a) Sur la situation personnelle des demandeurs de crédit (les futurs signataires du contrat de crédit) : âge, nationalité (sous la forme : français, ressortissant d'un autre Etat de l'Union européenne, autre nationalité), capacité juridique, situation maritale (sous la forme : célibataire, veuf, marié, autre vie de couple), régime matrimonial ou afférent au PACS, nombre d'enfants, département de résidence, type d'habitation, situation de logement (sous la forme : propriétaire, locataire, hébergé à titre gracieux, logé par l'employeur, accédant à la propriété), ancienneté dans le logement, niveau d’études et filière suivie, situation professionnelle (contrat d’apprentissage, job étudiant, etc.), ancienneté dans l'emploi, types de téléphone, adresse électronique.
b) Sur la situation économique et financière des demandeurs de crédit : nature et montant des revenus et des charges.
c) Sur la situation bancaire des demandeurs de crédit : domiciliation bancaire, ancienneté bancaire, type de banque, montant du solde des comptes et des flux financiers, encours de l'épargne, mouvements financiers, moyens de paiement et de crédit détenus, fréquence d'utilisation, autres crédits en cours, incidents de paiement, respect des échéances.
d) Sur les garants : âge, nationalité (sous la forme : français, ressortissant d'un autre Etat de l'Union européenne, autre nationalité), situation maritale (sous la forme : célibataire, veuf, marié, autre vie de couple), régime matrimonial ou afférent au PACS, nombre d'enfants, situation de logement (sous la forme : propriétaire, locataire, hébergé à titre gracieux, logé par l'employeur, accédant à la propriété), catégorie socioprofessionnelle, situation professionnelle, ancienneté dans l'emploi, chômage, nature et montant des revenus et des charges, domiciliation bancaire, incidents de paiement. La société EDUKYS s’assure de l’information et du consentement des personnes se portant garants pour les demandeurs de crédit.
e) Sur les caractéristiques de l'opération de crédit : canal d'acquisition du client, montant, durée totale, durée du différé, taux, dépenses financées, garanties, date de mise à disposition des fonds, assurance.
La Commission considère que ces catégories de données sont pertinentes au regard de la finalité poursuivie.
Les autres caractéristiques du traitement mis en œuvre par la société EDUKYS sont conformes à l’autorisation unique n°AU-005.
Dans ces conditions, la Commission autorise la société EDUKYS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en œuvre d’un système d’aide à l’évaluation et à la sélection des risques en matière d’octroi de prêts étudiants via le financement participatif.
Pour La  Présidente,
Le Vice-Président délégué,
Marie-France  MAZARS