(Demande d’autorisation n° 1801269)
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit Mutuel Arkéa d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la sélection et à l’évaluation des risques en matière d’octroi de crédit ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Mutuel Arkéa est un établissement de bancassurance qui propose à ses clients particuliers des crédits à la consommation.
Sur la finalité
Le Crédit Mutuel Arkéa a saisi la Commission d’une demande d’autorisation relative à la mise en œuvre d’un traitement de données à caractère personnel dont les finalités sont l’aide à la décision d’octroi de crédit à la consommation.
Le dispositif a pour objectifs d’améliorer le service client en accélérant la prise de décision, de permettre un suivi des actions commerciales de crédit et de développer la production de crédit à la consommation.
L’outil permet de minimiser l’exposition globale des clients à titre particulier notamment en limitant les montants préconisés pour les lignes de crédit à la consommation.
La Commission relève que conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est prise à l’égard des personnes concernées.
En effet, le dispositif fournit des indications sur le risque de défaillance du client et sur sa situation ou non de surendettement. Toutefois, la décision finale d’octroi ou de refus du crédit appartient au conseiller de clientèle qui n’est en aucun cas lié par le résultat de l’outil.
Plus précisément et à partir des données exploitées par l’outil le traitement restitue deux types informations : d’une part la probabilité pour un foyer de devenir risqué dans les 12 prochains mois, d’autre part, la ligne de crédit à la consommation maximale supportable par le foyer.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Ce traitement peut néanmoins, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition législative ou réglementaire prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Sur les données traitées
Les catégories de données traitées sont relatives à :
Les variables exploitées par le système concernent :
l’identité de l’emprunteur (date et lieu de naissance, identifiant client),
La situation professionnelle, le statut d’étudiant,
La situation économique et financière : les revenus, le taux d’endettement, les flux créditeurs et débiteurs sur les comptes de chèques et le solde du compte de chèques, la cotation Bale 2, l’équipement bancaire, le fonctionnement du compte.
les variables générales : numéro de foyer, indicateur de qualification, indicateur de contentieux (O/N), indicateur FICP (O/N), indicateur de fichage Banque de France (O/N), indicateur Niertz (O/N), indicateur oppositions (O/N), indicateur oppositions hors vol/perte de moyens de paiement (O/N), salarié crédit Mutuel (O/N), indicateur incapacité juridique (O/N), note de score Bâle, code profession avant retraite ;
les variables des comptes chèques du foyer : durée depuis ouverture du plus ancien chèque (en mois), autorisation de découvert, montant AVP crédit consommation du mois vers organismes concurrents, solde moyen 3 mois, revenu moyen du foyer au Crédit Mutuel, revenus moyens organismes sociaux et assimilés du foyer, revenus moyens espèces du foyer ;
les variables de crédit : montant mensualités global crédits du mois, nombre mensualités impayées crédits consommations, montant total impayés tous crédits, nombre mensualités impayés tous crédits, montant autorisation revolving ;
variables des comptes épargne : solde total épargne fin de mois hors solde compte chèque ;
variables d’utilisation des services bancaires calculées sur les 12 derniers mois : nombre de fréquentation guichet, nombre d'opérations en guichet automatique de banque (GAB), nombre d’utilisation de l’automate de remise de chèques (ARC) et de l’imprimante en libre service (ILS), nombre de paiement carte et nombre d'utilisation des services à distance ;
variables consolidées du foyer : niveau de cotation Bâle 2.
Ces données sont collectées à l’ouverture du contrat et mises à jour mensuellement au cours de la vie du contrat.
l’identité de l’emprunteur (date et lieu de naissance, identifiant client),
La situation professionnelle, le statut d’étudiant,
La situation économique et financière : les revenus, le taux d’endettement, les flux créditeurs et débiteurs sur les comptes de chèques et le solde du compte de chèques, la cotation Bale 2, l’équipement bancaire, le fonctionnement du compte.
les variables générales : numéro de foyer, indicateur de qualification, indicateur de contentieux (O/N), indicateur FICP (O/N), indicateur de fichage Banque de France (O/N), indicateur Niertz (O/N), indicateur oppositions (O/N), indicateur oppositions hors vol/perte de moyens de paiement (O/N), salarié crédit Mutuel (O/N), indicateur incapacité juridique (O/N), note de score Bâle, code profession avant retraite ;
les variables des comptes chèques du foyer : durée depuis ouverture du plus ancien chèque (en mois), autorisation de découvert, montant AVP crédit consommation du mois vers organismes concurrents, solde moyen 3 mois, revenu moyen du foyer au Crédit Mutuel, revenus moyens organismes sociaux et assimilés du foyer, revenus moyens espèces du foyer ;
les variables de crédit : montant mensualités global crédits du mois, nombre mensualités impayées crédits consommations, montant total impayés tous crédits, nombre mensualités impayés tous crédits, montant autorisation revolving ;
variables des comptes épargne : solde total épargne fin de mois hors solde compte chèque ;
variables d’utilisation des services bancaires calculées sur les 12 derniers mois : nombre de fréquentation guichet, nombre d'opérations en guichet automatique de banque (GAB), nombre d’utilisation de l’automate de remise de chèques (ARC) et de l’imprimante en libre service (ILS), nombre de paiement carte et nombre d'utilisation des services à distance ;
variables consolidées du foyer : niveau de cotation Bâle 2.
La Commission relève que les variables d’utilisation des services bancaires ne sont pas prises en compte dans le calcul des montants de crédit à la consommation.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires de ces informations sont :
- les gestionnaires de clientèle et les supérieurs hiérarchiques,
- les chargés d’administration en agence,
- les collaborateurs des actions commerciales et des offres de crédits,
- les gestionnaires prêts du service support crédit,
- la Direction des risques, contrôles, inspection et audit,
- la Direction marketing.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Les personnes sont informées conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une mention figurant sur le site interne de l’établissement.
La Commission relève en outre que le consentement des clients est recueilli par le biais d’une clause particulière de la demande de crédit précisant la finalité et les destinataires des échanges d’information. Dans la mesure où les informations échangées sont couvertes par le secret bancaire, il est prévu que la clause comporte l’autorisation explicite du client de partager des informations couvertes par le secret bancaire.
Les droits d’accès, de rectification et d’opposition s’exercent auprès du service Assistance clients à l’adresse suivante : 1, rue Louis Lichou – 29808 LE RELECQ-KERHUON ou à l’adresse électronique suivante : cnil-groupe@arkea.com
Ces modalités d’exercice des droits n’appellent pas d’observations de la part de la Commission.
Sur les mesures de sécurité
Les postes de travail disposent d'un pare-feu logiciel et d'un logiciel antivirus mis à jour régulièrement.
Il existe des profils d'habilitation afin de gérer les accès aux données. Les mots de passe sont obligatoirement changés après leur réinitialisation. Toutefois, la Commission recommande d’adapter la politique de gestion des mots de passes afin que ceux-ci soient plus robustes.
Les accès distants sont sécurisés au moyen d’une authentification renforcée.
Des sauvegardes synchrones sont réalisées, elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité. Le transfert des sauvegardes est sécurisé.
L'accès aux locaux contenant les sauvegardes est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel. La continuité d'activité est testée régulièrement.
Les interventions de maintenance font l'objet d'une traçabilité.
Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement sécurisé.
Le réseau de l’entreprise  fait l’objet de mesure de filtrage ayant pour but de restreindre l’émission et la réception des flux réseaux aux machines identifiées et autorisées.
Une journalisation des opérations de consultation du traitement est réalisée.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
La Commission prend acte que ces opérations n’emportent pas constitution d’un fichier centralisant les incidents de paiement ou les encours de crédit et qu’il n’y a pas de mémorisation des informations consultées dans les fichiers clients respectifs.
La Commission relève qu’il existe une interconnexion avec le fichier des cotations Bâle 2 afin de déterminer le risque client.
Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Les données relatives aux simulations de prêts sont archivées sur 12 mois glissant.
Ces durées de conservation n’appellent pas d’observations de la part de la Commission.
Autorise, conformément à la présente délibération, le Crédit Mutuel Arkéa à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN