(Demande d’autorisation n° 1797234)
La Commission nationale de l'informatique et des libertés,
Saisie par BNP PARIBAS SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la décision d’octroi de crédit et la prévention des impayés ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le code monétaire et financier, notamment ses articles L. 311-1, L. 313-1, L. 511-1 et L. 511-33 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
BNP PARIBAS SA, établissement de crédit.
Sur la finalité
BNP PARIBAS SA a saisi la Commission nationale de l’informatique et des libertés d’un dossier de formalités relatif à la mise en œuvre d’un traitement de données à caractère personnel dont les finalités sont l’aide à la décision d’octroi de crédit à la consommation et immobiliers et la prévention des impayés.
Ce traitement doit permettre au responsable de traitement d’évaluer, sur la base de modèles de score, le risque statistique de défaut de remboursement attaché à chaque demande de crédit qui lui est présentée et de constituer des modèles de score à partir de l’analyse statistique des données personnelles en sa possession, d’en vérifier la pertinence et de les actualiser.
Plus précisément, il s’agit d’évaluer, pour chaque personne présentant une demande de crédit, le risque statistique de défaillance qui lui est attaché et de sélectionner les demandes qui correspondent à un niveau de risque acceptable de défaillance. Il est, par voie de conséquence, susceptible d’exclure, au moins de façon temporaire, une personne du bénéfice d’un contrat en l'absence de toute  disposition législative ou réglementaire prévoyant une telle exclusion.
Dès lors, ce traitement relève de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la Commission.
Par sa délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique n° AU-005, la Commission a autorisé les traitements mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la Commission un engagement de conformité à ladite autorisation unique.
Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique.
L’analyse des caractéristiques du traitement, objet de la demande d’autorisation, fait apparaître des différences par rapport à l’AU-005 qui doivent dès lors être soumises à l’examen de la Commission.
Sur les données traitées
Les catégories de données prises en compte pour le calcul du score attaché à chaque demande de crédit figurent parmi celles prévues par l’AU-005.
La Commission observe qu’aucune décision automatisée n’est donc prise à l’égard des personnes concernées conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée.
Outre les variables autorisées par l’AU 005 ; d’autres variables sont utilisées par le système de score. Il s’agit du solde du compte à vue le plus bas et de l’origine des revenus du demandeur de crédit (dirigeant de société ou à titre personnel).
La Commission relève qu’aucune variable ne reçoit une pondération telle qu'elle puisse à elle seule avoir un effet d'exclusion absolue ou disqualifiant. Il en va de même pour tout ensemble de variables étroitement corrélées les unes aux autres.
Elle considère que les données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Elle rappelle que les modalités de levée du secret bancaire doivent être conformes aux dispositions de l’article L. 511-33 du code monétaire et financier telles qu’elles résultent de l’article 154 de la loi n° 2008-776 du 4 août 2008.
En ce qui concerne les demandes de crédit satisfaites qui ont été présentées par de nouveaux clients, le déclarant prévoit d’utiliser le résultat du score pour évaluer le risque de crédit associé à l’emprunteur au titre de la notation interne dite « Bâle II ». La note « Bâle II » sera, dans cette hypothèse, le résultat du score. En effet, la banque ne dispose pas d’autres éléments de référence jugés pertinents au regard des exigences de la maîtrise du risque.
La Commission reconnaît la légitimité de l’utilisation du résultat de score en tant que « note Bâle II » d’un nouvel emprunteur dès lors que l’établissement de crédit n’est pas en possession d’informations plus pertinentes pour évaluer le risque de crédit qu’il représente. Elle estime que la durée de conservation de ce résultat, qui ne saurait dépasser 2 mois à compter de la dernière échéance du crédit, est adéquate au regard de la finalité du traitement.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de BNP PARIBAS SA sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention qui figure dans les documents contractuels.
Les droits d’accès et de rectification s’exercent par courrier postal à l’adresse suivante : BNP Paribas, APAC TDC Val de Marne, TSA 30233, 94729 FONTENAY-SOUS-BOIS CEDEX.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre. Il existe des profils d'habilitation pour gérer les accès aux données.
La Commission observe que la méthode d’authentification mise en place par le responsable de traitement est conforme aux recommandations de l’ANSSI.
Des sauvegardes régulières sont effectuées et  stockées dans un endroit garantissant leur sécurité et leur disponibilité.
Les postes de travail disposent d'un pare-feu logiciel et d'un logiciel antivirus régulièrement mis à jour.
Les communications intervenant sur le réseau informatique interne sont filtrées.
Les interventions de maintenance font l'objet d'une traçabilité et les opérations de consultation, de création et de modification du traitement font l’objet d’une journalisation.
L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.
Concernant le recours au protocole HTTPS, la Commission recommande de ne plus utiliser SSLv3, mais de préférer la version à jour de TLS.
Autorise, conformément à la présente délibération, BNP PARIBAS SA à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN