(Demande d’autorisation n° 1795335)
La Commission nationale de l'informatique et des libertés,
Saisie par SYGMA BANQUE d’une demande de modification de la délibération n°2012-298 du 13 septembre 2012 autorisant  SYGMA BANQUE à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la sélection et à l’évaluation des risques en matière d’octroi de crédit ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2012-298 du 13 septembre 2012 autorisant n°2012-298 du 13 septembre 2012 autorisant SYGMA BANQUE à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la sélection et à l’évaluation des risques en matière d’octroi de crédit ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société SYGMA BANQUE, filiale du Groupe Laser Cofinoga, propose à ses clients des crédits à la consommation.
Sur la finalité
Ce traitement vise à évaluer le risque d’impayés en matière d’octroi de crédit afin de prévenir le risque de défaillance de l’emprunteur lors de la demande initiale ou en cas de demande d’augmentation du plafond de crédit octroyé.
Le traitement consiste en l’élaboration et l’utilisation de grilles de  scores en matière d’octroi de crédit.
La Commission relève que la note de score attribuée au client est calculée en prenant en compte l’état des encours et incidents de paiements survenus sur les comptes du client détenus auprès de l’une ou l’autre des sociétés du Groupe Laser (Laser Cofinoga, CGDP, SYGMA BANQUE).
La Commission relève qu’en cas de défaillance de l’emprunteur, un plan de rééchelonnement des sommes dues, adapté à la situation du client, pourra être mis en place.
Enfin, il existe une communication d’information entre la SYGMA BANQUE et la société LASER COFINOGA, destinée à évaluer le niveau d’endettement d’un demandeur de crédit au regard des crédits précédemment souscrits auprès de l’une de ces sociétés et le cas échéant, afin de proposer au client un rééchelonnement de sa dette.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Ce traitement peut néanmoins, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition législative ou réglementaire prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Sur les données traitées
Les catégories de données traitées sont relatives à :
Les données exploitées à des fins de scoring sont relatives :
l’identité de l’emprunteur (nom, prénom, adresse, date et lieu de naissance),
La situation familiale et professionnelle,
La situation économique et financière sur une période de cinq ans : les caractéristiques des crédits en cours (type, montant total, montant des mensualités et durée), la limite de crédit revolving, le montant des règlements effectués et des utilisations de crédit revolving, les incidents de paiement, et, le cas échéant, le plan de rééchelonnement des sommes dues.
à la situation économique et financière (les revenus, le taux d’endettement),
aux variables concernant le client (ancienneté du client et ancienneté bancaire, type de logement),
aux variables concernant le contrat (taux d’utilisation, encours, retard),
aux variables concernant l’historique du contrat (ancienneté du défaut, retard et encours, moyenne du taux utilisation, montant des achats, utilisation de la réserve de crédit, dernier mouvement sur le compte et sur la réserve de crédit, montant mensuel à rembourser si plan de surendettement),
aux variables relatives aux autres contrats détenus par le client (ancienneté du retard, taux d’utilisation du crédit revolving, montant crédit utilisé / montant crédit autorisé, montant des achats, montant de la réserve de crédit, retards, soldes et montant mensuel à rembourser si plan de surendettement).
Ces données sont collectées à l’ouverture du contrat et mises à jour au cours de la vie du contrat.
l’identité de l’emprunteur (nom, prénom, adresse, date et lieu de naissance),
La situation familiale et professionnelle,
La situation économique et financière sur une période de cinq ans : les caractéristiques des crédits en cours (type, montant total, montant des mensualités et durée), la limite de crédit revolving, le montant des règlements effectués et des utilisations de crédit revolving, les incidents de paiement, et, le cas échéant, le plan de rééchelonnement des sommes dues.
à la situation économique et financière (les revenus, le taux d’endettement),
aux variables concernant le client (ancienneté du client et ancienneté bancaire, type de logement),
aux variables concernant le contrat (taux d’utilisation, encours, retard),
aux variables concernant l’historique du contrat (ancienneté du défaut, retard et encours, moyenne du taux utilisation, montant des achats, utilisation de la réserve de crédit, dernier mouvement sur le compte et sur la réserve de crédit, montant mensuel à rembourser si plan de surendettement),
aux variables relatives aux autres contrats détenus par le client (ancienneté du retard, taux d’utilisation du crédit revolving, montant crédit utilisé / montant crédit autorisé, montant des achats, montant de la réserve de crédit, retards, soldes et montant mensuel à rembourser si plan de surendettement).
La Commission observe qu’aucune variable ne reçoit une pondération telle qu’elle puisse à elle seule avoir un effet d’exclusion absolue ou disqualifiant. Les notes sont réévaluées mensuellement.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Sont destinataires de ces informations les personnels habilités du Service Risques et Relation clientèle.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Les personnes sont informées conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une mention figurant sur les offres de prêts.
La Commission relève en outre que le consentement des clients est recueilli par le biais d’une clause particulière de la demande de crédit précisant la finalité et les destinataires des échanges d’information. Dans la mesure où les informations échangées sont couvertes par le secret bancaire, il est prévu que la clause comporte l’autorisation explicite du client de partager des informations couvertes par le secret bancaire.
Les droits d’accès, de rectification et d’opposition s’exercent auprès du service Assistance clients à l’adresse suivante : TSA 70014 Bordeaux CEDEX 9 – 33914 ou par courrier électronique à l’adresse : assistance.clients@cofinoga.fr
Ces modalités d’exercice des droits n’appellent pas d’observations de la part de la Commission.
Sur les mesures de sécurité
Les actions effectuées par les personnes accédant au traitement  sont tracées afin de détecter et d’analyser tout accès, modifications et suppressions de données non autorisés.
La Commission relève que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
La Commission relève que les fichiers clients de SYGMA BANQUE seront consultés par les personnels habilités de LASER COFINOGA à l’occasion d’une demande de crédit ou de la défaillance d’un emprunteur nécessitant d’engager une procédure de recouvrement.
La Commission prend acte que ces opérations n’emportent pas constitution d’un fichier centralisant les incidents de paiement ou les encours de crédit et qu’il n’y a pas de mémorisation des informations consultées dans les fichiers clients respectifs.
Elle observe également que ces  deux sociétés appartiennent au même groupe et qu’elles sont toutes spécialisées dans le crédit à la consommation et qu’il existe une communauté de risque financier entre les sociétés bénéficiaires de cet échange.
Conformément à l’article 10 de la loi du 6 janvier 1978 modifiée, le résultat de ce traitement n’a qu’un caractère indicatif, et qu’il est toujours possible d’y déroger au moyen d’une procédure d’analyse non automatisée en cas de dossiers plus complexes.
Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Les données collectées ne sont conservées que pendant le temps nécessaire à la prise de décision. Les données utilisées pour les grilles de score et relatives aux contrats des clients sont conservées pendant la durée de vie du contrat. Le résultat du traitement permet d’attribuer à l’emprunteur une note de score mise à jour mensuellement.
Ces durées de conservation n’appellent pas d’observations de la part de la Commission.
Autorise, conformément à la présente délibération, SYGMA BANQUE à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN