(Demande d’autorisation n° 1812618)
La Commission nationale de l'informatique et des libertés,
Saisie par la Compagnie européenne des garanties et cautions d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation et la sélection des risques en matière d’octroi de garantie financière et caution des entreprises et des artisans ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Compagnie européenne des garanties et cautions, ci-dessous dénommée la CEGC, est un établissement d’assurance filiale à 100% de Natixis elle-même filiale du Groupe BPCE.
Sur la finalité
La CEGC a pour objet de délivrer des garanties et des cautions à des personnes physiques ou morales. Elle délivre des garanties et cautions aux entreprises.
Les demandes de cautions ou garanties sont adressées à la CEGC par courrier ou renseignées à partir des sites internet (www.cautiondemarche.com et www.caution-artisan-du-batiment.com).
Les données ainsi collectées se déversent dans l’outil d’aide à la décision qui a pour finalité de générer un diagnostic d’analyse de l’opération financée qui peut conduire lorsque son résultat est favorable, à la délivrance automatique d’une garantie ou caution, et en cas de résultat défavorable, de soumettre la demande de garantie ou caution à une analyse manuelle effectuée par les chargés d’affaires.
La Commission prend acte que conformément à l’article 10 de la loi du 6 janvier 1978 modifiée en 2004, le résultat de ce traitement n’a qu’un caractère indicatif, et qu’il est toujours possible d’y déroger au moyen d’une procédure d’analyse non automatisée en cas de dossiers plus complexes ou plus risqués.
Le traitement est un outil de gestion et d’instruction des demandes de garanties financières ou cautions octroyées aux entreprises ou artisans. II a pour objet, d'une part, d'évaluer le risque statistique de défaillance attaché à une demande de garantie ou cation et, d'autre part, de sélectionner les demandes qui correspondent à un niveau de risque de défaillance jugé satisfaisant.
Dès lors, le traitement est susceptible de conduire à l’exclusion, au moins de façon temporaire, d’une personne du bénéfice d’une garantie ou caution en dehors de toute disposition législative ou réglementaire le prévoyant.
A ce titre, la Commission considère qu’il y a lieu de faire application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée qui prévoit que doivent être autorisés par la CNIL les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition législative ou réglementaire.
Par ailleurs, le traitement ne rentre pas dans le champ de l’autorisation unique AU-005 modifiée par la délibération n°2008-198 du 9 juillet 2008 dès lors que ce système vise à apporter une aide à l’analyse des demandes de garanties et cautionnement et non de crédit.
Enfin, le dispositif permet aux personnes concernées de suivre la gestion contractuelle des garanties financières ou cautions qui leurs ont été accordées.
Le traitement envisagé est assorti d'un outil de pré-étude des données qui permet de gérer les risques financiers par une analyse automatisée des dossiers. Par ailleurs, la Commission relève qu’il existe une analyse manuelle des demandes réalisée par les analystes de la CEGC conformément à l’article 10 de la loi du 6 janvier 1978 modifiée en 2004.
Sur les données traitées
Les données collectées pour les demandes de délivrance de garanties financières ou cautions sont les suivantes :
- pour les documents constitutifs d’un dossier : note de présentation de l’entreprise, deux dernières liasses fiscales, carnet de commande, prévisionnel, extrait k bis, statuts, copie de la carte d’identité des actionnaires détenant au moins 25 % du capital, coordonnées bancaires (BIC/IBAN), curriculum vitae des principaux animateurs des entreprises de travail temporaires (actionnaires, gérants ou commerciaux), état des privilèges et nantissements sur la société et attestation des organismes sociaux (ASSEDIC, TVA, URSSAF, IERPS) et état patrimonial pour les entreprises de travail temporaires.
- sur l’identité de l’entreprise : dénomination ou raison sociale, forme juridique, siège social, capital social, répartition du capital, numéro de téléphone et courrier électronique de la société et de l’expert comptable, activité de l’entreprise et code NAF, filiales ou participations (noms, pourcentage, SIREN), principaux clients et fournisseurs, existence d’une police d’assurance-crédit ou d’affacturage.
- sur les informations financières : financements à court terme (nom de la banque, montants des concours accordés, sûretés données), financements à long ou moyen terme (nom de la banque, objet, durée, montant initial reste dû, sûretés données), cautionnements en cours (consentis pour le compte de l’entreprise, nom de l’établissement, type de caution, durée, montant, sûretés données).
- pour les garanties cautions de marché : type, montant de la ligne de caution demandée, montant et durée moyenne, nombre de cautions / an.
- pour les types de marchés : public, privé.
- si le demandeur d’une caution de marché fait appel à un sous- traitant, il en informe la CEGC.
- pour les sûretés proposées : cautionnement personnel et solidaire, nantissement (compte de titres financiers, gage espèces, contrats d’assurance-vie, parts sociales), engagement de non-cession de parts de SCI, garantie bancaire autonome à première demande.
- état patrimonial et état civil du déclarant et de son conjoint.
La Commission observe que les données collectées permettent une analyse objective du dossier de demande de garantie ou de caution.
La note de score prend en compte les variables suivantes :
- éléments d’identification de l’entreprise et des dirigeants ;
- cotation Banque de France de l’entreprise et des dirigeants ;
- le dernier bilan de l’entreprise ;
- le montant de la garantie sollicité.
En outre et s’agissant de l’outil de décision lors des demandes de cautions de marchés, les éléments analysés sont les suivants :
- éléments d’identification de l’entreprise et des dirigeants ;
- cotation Banque de France de l’entreprise et des dirigeants ;
- données bilancielles de l’entreprise ;
- type de demande ;
- type de garantie demandé ;
- montant de la garantie sollicité.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Elles sont conservées pendant toute la durée du contrat, en cas d’acceptation de la demande de garantie.
En cas de rejet de la demande de garantie, les informations collectées pour l’instruction de la demande sont conservées pendant une durée de six mois à compter du dépôt de la demande. Elles ne peuvent être utilisées qu’aux fins de l’instruction de nouvelles demandes de garanties.
Sur les destinataires
Seuls sont autorisés à avoir communication des données précitées les personnels habilités :
- du département de contrôle de gestion ;
- des services de la comptabilité ;
- du service client ;
- du service de la production applicative ;
- de la direction technique des risques ;
- de la direction de la conformité et du contrôle interne ;
- de la direction des systèmes d’information ;
- de la direction de l’organisation et de la maîtrise d’ouvrage ;
- les gestionnaires du service du marché des entreprises ;
- de la direction générale ;
- de la direction juridique et contentieux.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant sur les sites internet www.cautiondemarche.com et www.caution-artisan-du-batiment.com. Les collaborateurs de la CEGC sont informés dans la charte informatique annexée au règlement intérieur.
Les droits d’accès et de rectification s’exercent auprès du de la Direction Juridique par courrier à l’adresse suivante : CEGC – Direction Juridique – 128, rue de la Boétie – 75378 Paris Cedex 08.
Sur les mesures de sécurité
L’ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
L’accès au bâtiment s’effectue par badge. Il existe un dispositif de télésurveillance avec une levée de doute opérée par le poste de sécurité pendant les heures non ouvrées.
L’outil dispose d’une protection contre les intrusions extérieures utilisant le canal des réseaux informatiques via un routeur et un pare-feu.
Afin d’assurer la confidentialité des données lors du développement de l’application informatique, le personnel affecté aux taches de développement est distinct de celui assurant la gestion et l’exploitation des équipements informatiques de production.
Les opérations de maintenance des équipements informatiques par un sous-traitant se font en présence d’un informaticien de l’entreprise pour garantir la confidentialité des données. De même, les interventions de maintenance des logiciels de l’environnement de production se font sous le contrôle du chef d’exploitation.
Par ailleurs, les sites internet ne sont accessibles qu’aux personnes disposant d’un identifiant et d’un mot de passe.
Les mesures de sécurité mises en place n’appellent pas d’observations.
Sur les autres caractéristiques du traitement
Le traitement contient des zones de commentaires libres de nature objective permettant de motiver la décision du  gestionnaire en charge du dossier.
Lors de l’instruction des dossiers par les analystes financiers, des informations complémentaires peuvent être demandées aux intéressés. Il est ensuite procédé à une interrogation du fichier FIBEN auprès de la banque de France. Dès lors, la grille d’analyse du dossier est transmise aux comités de décisions. La Commission observe que cette grille n’est qu’un simple outil d’aide à la décision.
Si le dossier est favorable, l’attestation de garantie sera soit mise à disposition de l’entreprise concernée sur le site internet www.caution-artisan-du-batiment.com, soit adressée par courrier à l’entreprise concernée s’agissant des cautions de marchés délivrées sur le site www.cautiondemarche.com. Dans le cas contraire, le demandeur de garantie dispose peut solliciter une nouvelle étude de son dossier.
Les autres caractéristiques du traitement n’appellent pas d’observations.
Autorise, conformément à la présente délibération, la Compagnie européenne des garanties et cautions à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN