(demande d’autorisation n°1471007)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le code monétaire et financier notamment ses articles L 314-1 et L 522-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu la délibération n°2008-198 du 9 juillet 2008 modifiant l’autorisation unique n°AU-005 relative à certains traitements de données à caractère personnel mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit ;
Vu la demande d’autorisation déposée par la société AQOBA EP relative à un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à l’évaluation et à la sélection des risques en matière d’octroi de cartes de paiement ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et de  Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations.
Formule les observations suivantes :
La société AQOBA EP est un établissement de paiement au sens de l’article L 522-1 du code monétaire et financier (CMF), agréé pour délivrer les services de paiement mentionnés au 2°, 3° et 5° du II de l’article L 314-1 du CMF. Dès lors, AQOBA EP est autorisé à délivrer des cartes de paiement.
Le traitement de données à caractère personnel soumis à l’examen de la Commission doit permettre d’évaluer, sur la base de modèles de score, le risque statistique de défaut de paiement attaché à chaque demande d’attribution de cartes de paiement qui lui est présenté, de constituer des modèles de score à utiliser à partir de l’analyse statistique des données personnelles en sa possession, d’en vérifier la pertinence et de les actualiser.
Ce traitement permet d’évaluer pour chaque personne présentant une demande de cartes de paiement, le risque statistique de défaillance qui lui est attaché et de sélectionner les demandes qui correspondent à un niveau de risque acceptable de défaillance. Il est, par voie de conséquence, susceptible d’exclure, au moins de façon temporaire, une personne du bénéfice d’un contrat là où aucun texte législatif ou réglementaire ne prévoit une telle exclusion.
Dès lors, ce traitement relève de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la Commission.
Par sa délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique AU-005, la Commission a autorisé les traitements mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique AU-005.
L’analyse des caractéristiques du traitement qui est l’objet de la présente demande fait apparaître plusieurs différences par rapport à l’AU-005 qui, de ce fait, doivent faire l’objet d’une autorisation spécifique de la Commission.
En premier lieu, la Commission constate qu’AQOBA EP est un établissement de paiement et non un établissement de crédit.
En second lieu, elle observe que la finalité du traitement est l’aide à l’évaluation et à la sélection des risques en matière d’octroi de cartes de paiement.
La Commission considère que ces caractéristiques n’appellent pas d’observations particulières.
Les autres caractéristiques du traitement mis en œuvre par la société AQOBA EP sont conformes à l’autorisation unique AU 005.
Les droits d’accès et de rectification s’exercent auprès de la société AQOBA EP, 168 bis – 170 rue Raymond Losserand, 75014 PARIS.
Autorise, dans les conditions prévues par le dossier du demandeur et la présente délibération, la société AQOBA EP à mettre en œuvre le traitement automatisé d’aide à l’évaluation et à la sélection des risques en matière d’octroi de cartes de paiement.