La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-4 et 25-I-6 ;
Vu la loi n° 2004-801 du 6 août 2004 susvisée et notamment son article 20 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la déclaration effectuée par la société VOLKSWAGEN FINANCES le 31 janvier 2005 ;
Vu la délibération n° 2005-199 du 22 septembre 2005 portant autorisation de mise en oeuvre par la société VOLKSWAGEN FINANCE d'un traitement automatisé de données à caractère personnel ayant pour finalité la mutualisation de la détection des incohérences dans les demandes de crédit par l'adhésion au service "detect" mis en oeuvre par la société EXPERIAN (demande d'autorisation n° 1102812) ;
Vu la demande d'autorisation présentée par la société le 24 juin 2005 portant sur l'utilisation du numéro de sécurité sociale à des fins de contrôle de cohérence des demandes de crédit ;
Après avoir entendu M. Bernard Peyrat, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations :
Formule les observations suivantes :
La société VOLKSWAGEN FINANCES a saisi la CNIL d'une déclaration de modification relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité l'utilisation du numéro de sécurité sociale à des fins de contrôle de cohérence des demandes de crédit.
La Commission rappelle que relèvent de la procédure de demande d'autorisation prévue par les dispositions de l'article 25-I-4° de la loi du 6 janvier 1978 modifiée en août 2004 les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.
La Commission considère que le régime de l'autorisation de l'article 25-I-4° s'applique au traitement mis en oeuvre par la société VOLKSWAGEN FINANCES, dès lors que le contrôle de cohérence qui est effectué afin de permettre le contrôle du risque de crédit, en particulier celui découlant des fausses déclarations ou erreurs présentes dans les demandes de crédit présentées par une même personne est de ce fait susceptible, de par sa nature et sa portée, d'exclure une personne du bénéfice d'un contrat de crédit.
La Commission relève par ailleurs que le traitement examiné relève également des dispositions de l'article 25-I-6° dans la mesure où il porte sur des données parmi lesquelles figure le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR).
La Commission relève qu'il résulte des dispositions de l'article 6-3° de la loi du 6 janvier 1978 qu'un traitement de données à caractère personnel ne peut porter que sur des données adéquates, pertinentes et non excessives au regard des finalités pour lesquels elles sont collectées et de leur traitement ultérieur.
Par ailleurs, il résulte des dispositions de l'article 7-5° de laite loi que la réalisation de l'intérêt légitime du responsable de traitement doit être pris en compte sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée.
La Commission rappelle que le numéro d'inscription au répertoire national d'identification des personnes physiques ou NIR, communément appelé "numéro de sécurité sociale", constitue un identifiant particulièrement signifiant, dont l'utilisation présente des risques pour la vie privée et les libertés individuelles et est de ce fait encadré par la loi.
L'utilisation généralisée d'un identifiant unique dans l'ensemble des fichiers, en ce qu'elle faciliterait ainsi leur interconnexion, permettrait de tracer les individus dans tous les actes de la vie courante.
La Commission souligne à cet égard que l'origine même de la loi Informatique et libertés résulte du rejet du projet SAFARI d'interconnexion de fichiers publics à partir du numéro de sécurité sociale.
Ces considérations ont conduit la Commission à limiter l'usage du NIR en tant qu'identifiant propre à la sphère de la santé et la sphère sociale et à recommander le recours à des identifiants sectoriels spécifiques à chaque secteur d'activité.  Les dérogations prévues par le législateur n'ont porté que sur des cas limités, justifiés par l'intérêt général.
La société VOLKSWAGEN FINANCES expose qu'elle souhaite utiliser le numéro de sécurité sociale figurant sur les bulletins de paye fournis à l'appui des demandes de crédit qui lui sont présentées à des fins de contrôle de cohérence (c'est-à-dire d'exactitude) des données communiquées à l'occasion de la demande de crédit présentée.
Le traitement présenté met en place un dispositif de lutte contre la fraude basé sur l'utilisation du numéro de sécurité sociale ou NIR qui, comparé avec les autres informations d'état civil communiquées par l'emprunteur (sexe, date et lieu de naissance) permettrait de vérifier l'exactitude des informations communiquées.
La Commission relève que la société VOLKSWAGEN FINANCE a un intérêt légitime à se prémunir contre les agissements frauduleux qui lui seraient préjudiciables et que les contrôles de cohérence s'inscrivent dans le cadre des outils de lutte contre la fraude.
La Commission considère cependant qu'au regard des risques présentés par la généralisation de l'usage du NIR et de l'application du principe de proportionnalité défini à l'article 6-3° de la loi du 6 janvier 1978, l'utilisation du NIR par un organisme n'intervenant pas dans le secteur de la sécurité sociale, doit, pour être admise, résulter du constat de l'intérêt général de l'usage envisagé.
La Commission estime que la société VOLKSWAGEN FINANCES ne peut se prévaloir d'aucune disposition législative ou réglementaire constatant la poursuite de l'intérêt général.
La Commission estime en conséquence le traitement contraire aux dispositions de l'article 6-3° de la loi du 6 janvier 1978.
N'autorise pas la société VOLKSWAGEN FINANCES à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité l'utilisation du numéro de sécurité sociale à des fins de contrôle de cohérence des demandes de crédit.
Le président, Alex TURK.