La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 91/308/CE du Conseil du 10 juin 1991 modifiée relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment le° du I de l’article 25 ;
Vu le code monétaire et financier ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu la délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique n° AU-005 relative à certains traitements de données à caractère personnel mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit ;
Vu le demande d’autorisation déposée par Natixis Financement relative à un traitement automatisé de données à caractère personnel dénommé « Système expert d’analyse des risques » ;
Sur le rapport de M. Jean-Paul AMOUDRY, commissaire, et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
Le traitement de données à caractère personnel soumis par Natixis Financement à l’examen de la Commission doit permettre d’évaluer, sur la base de modèles de score, le risque statistique de défaut de remboursement attaché à chaque demande de crédit renouvelable ou d’un moyen de paiement adossé à un contrat de crédit qui lui est présentée, de constituer les modèles de score à utiliser à partir de l’analyse statistiques des données personnelles en sa possession, d’en vérifier la pertinence et de les actualiser ;
Ce traitement sera ainsi utilisé pour sélectionner les demandes qui correspondent à un niveau de risque de défaillance jugé satisfaisant. Il est, par voie de conséquence, susceptible d’exclure, au moins de façon temporaire, une personne du bénéfice d’un contrat de crédit là où aucun texte législatif ou réglementaire ne prévoit une telle exclusion.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 et doit, à ce titre, être autorisé par la CNIL.
Par sa délibération n° 2008-198 du 9 juillet 2008 susvisée modifiant l’autorisation unique AU-005, la Commission a autorisé les traitements mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique AU-005.
La Commission note que les catégories de données prises en compte pour le calcul du score attaché à chaque demande de crédit figurent parmi celles prévues par l’autorisation unique AU-005, à l’exception de quelques variables supplémentaires qui concernent le demandeur de crédit :
. la situation de divorcé ;
. le département de naissance ;
. le secteur d’activité de l’emprunteur ;
. le type de compte,
. la note Bâle 2 octroyé par le réseau distributeur.
La Commission estime que la prise en compte de ces données est adéquate, pertinente et non excessive au regard de la finalité poursuivie.
Les autres caractéristiques du traitement respectent le cadre juridique défini par l’autorisation unique précitée.
Autorise, dans les conditions prévues par le dossier du demandeur et la présente délibération, Natixis Financement à mettre en œuvre le traitement automatisé ayant pour finalité l’analyse des risques dans le cadre de l’octroi de crédits renouvelables pour le compte des Banques Populaires au moyen d’un système de score.