(demande d’autorisation n° 1442147)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, notamment son article 25-I-4° ;
Vu le code monétaire et financier ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée ;
Vu la délibération n°2008-198 du 9 juillet 2008 modifiant l’autorisation unique n°AU-005 relative à certains traitements de données à caractère personnel mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit ;
Vu la demande d’autorisation déposée par GROUPAMA BANQUE relative à un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation et la sélection des risques en matière d’octroi de crédit à la consommation ;
Après avoir entendu GROUPAMA BANQUE ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire adjointe du Gouvernement, en ses observations,
Formule les observations suivantes :
GROUPAMA BANQUE est un établissement bancaire filial du groupe Groupama.
Le traitement de données à caractère personnel soumis par GROUPAMA BANQUE à l’examen de la Commission doit permettre d’évaluer, sur la base de modèles de score, le risque statistique de défaut de remboursement attaché à chaque demande de crédit à la consommation, qu’elle soit présentée par un prospect ou une personne ayant déjà la qualité de sociétaire de Groupama.
Il vise également à permettre l’élaboration des modèles de score utilisés à partir d’une analyse statistique des données, d’en vérifier la pertinence et de les actualiser.
Ce traitement permet d’évaluer pour chaque personne présentant une demande de crédit, le risque statistique de défaillance qui lui est attaché et de sélectionner les demandes qui correspondent à un niveau de risque acceptable de défaillance. Il est, par voie de conséquence, susceptible d’exclure, au moins de façon temporaire, une personne du bénéfice d’un contrat là où aucun texte législatif ou réglementaire ne prévoit une telle exclusion.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la Commission nationale de l’informatique et des libertés.
Par sa délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique AU-005, la Commission a autorisé les traitements mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique AU-005.
Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l’autorisation unique.
L’analyse des caractéristiques du traitement qui est l’objet de la présente demande fait apparaître plusieurs différences par rapport à l’AU 005 qui, de ce fait, sont soumises à l’examen et à l’autorisation de la CNIL.
Sur les catégories de données collectées
La Commission note que les catégories de données prises en compte pour le calcul du score attaché à chaque demande de crédit figurent parmi celles prévues par l’autorisation unique AU-005, à l’exception des données suivantes relatives au demandeur de crédit :
l’ancienneté de la relation avec le groupe,
le nombre de produits d’assurances souscrits auprès du groupe,
l’encours vie.
La Commission observe que ces données traduisent uniquement l’ancienneté de la relation contractuelle du sociétaire avec le groupe et la surface patrimoniale que ce dernier a constitué auprès de Groupama.
La Commission prend acte que ces données ne permettent pas de traduire l’existence d’un impayé relatif à une prime d’assurance.
Conformément à l’AU 005, aucune de ces variables n’a, à elle seule, ou en corrélation avec les autres un effet d’exclusion absolue ou disqualifiant.
Dans ces conditions, la Commission estime que la prise en compte de ces données est adéquate, pertinente et non excessive au regard de la finalité poursuivie.
La Commission observe que toutes les autres caractéristiques du traitement mis en œuvre par GROUPAMA BANQUE sont conformes à l’autorisation unique AU 005.
Autorise, dans les conditions prévues par le dossier du demandeur et la présente délibération, GROUPAMA BANQUE à mettre en œuvre le traitement automatisé d’aide à l’évaluation et la sélection des risques en matière d’octroi de crédits à la consommation.
Isabelle FALQUE-PIERROTIN