(Demande d’autorisation n° 1768297)
La Commission nationale de l'informatique et des libertés,
Saisie par la société LASER COFINOGA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la décision en matière d’octroi de crédit à la consommation et la prévention des impayés ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2008-198 du 9 juillet 2008 modifiant l’autorisation unique n° AU-005 relative à certains traitements de données à caractère personnel mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit ;
Vu la délibération n°2011-167 du 9 juin 2011 autorisant la mise en œuvre par la société FIDEM d’un traitement ayant pour finalité l’aide à la décision en matière d’octroi de crédit à la consommation et la prévention des impayés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société LASER COFINOGA, établissement de crédit à la consommation.
Sur la finalité
La société LASER COFINOGA a saisi la Commission d’un dossier relatif à la mise en œuvre d’un traitement de données à caractère personnel dont la finalité est l’aide à la décision d’octroi de crédit à la consommation et la prévention des impayés.
Le traitement de données à caractère personnel soumis à l’examen de la Commission doit permettre d’évaluer, sur la base de modèles de score, le risque statistique de défaut de remboursement attaché à chaque demande de crédit à la consommation qui lui est présentée et de constituer des modèles de score à partir de l’analyse statistique des données personnelles en sa possession, d’en vérifier la pertinence et de les actualiser.
Ce traitement permet d’évaluer pour chaque personne présentant une demande de crédit à la consommation, le risque statistique de défaillance qui lui est attaché et de sélectionner les demandes qui correspondent à un niveau de risque acceptable de défaillance. Il est, par voie de conséquence, susceptible d’exclure, au moins de façon temporaire, une personne du bénéfice d’un contrat là où aucun texte législatif ou réglementaire ne prévoit une telle exclusion.
Dès lors, ce traitement relève de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la Commission.
Par sa délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique n° AU-005, la Commission a autorisé les traitements mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique n° AU-005.
Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l’autorisation unique.
L’analyse des caractéristiques du traitement, objet de la présente demande d’autorisation, fait apparaître une différence par rapport à l’AU-005 relative à la collecte d’une nouvelle donnée concernant le niveau de diplôme. Dès lors, la collecte de cette donnée est soumise à l’examen de la CNIL.
Sur les données traitées
La Commission relève que les catégories de données prises en compte pour le calcul du score attaché à chaque demande de crédit figurent parmi celles prévues par l’autorisation unique AU-005, à l’exception de la variable supplémentaire concernant le demandeur de crédit et les garants qui concerne le niveau de diplôme.
La Commission observe que la référence au niveau de diplôme a d’ores et déjà fait l’objet d’une autorisation dans la délibération n°2011-167 du 9 juin 2011 autorisant la mise en œuvre par la société FIDEM d’un traitement ayant pour finalité l’aide à la décision en matière d’octroi de crédit à la consommation et la prévention des impayés.
La Commission considère que cette nouvelle donnée est adéquate, pertinente et non excessive par rapport à la finalité du traitement.
Les autres caractéristiques du traitement mis en œuvre par la société LASER COFINOGA sont conformes à l’autorisation unique n° AU-005.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la société LASER COFINOGA sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention qui figure dans la convention de compte du client et sur le site internet de la société.
Cette mention rappelle notamment que les droits d’accès et de rectification s’exercent auprès du service assistance clients par courrier postal à l’adresse suivante : TSA 70014 Bordeaux cedex 9 - 33914, ou par courrier électronique à l’adresse suivante : assistance.clients@cofinoga.fr
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, la société LASER COFINOGA à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN