(Demande n°1567239)
La Commission nationale de l'informatique et des libertés,
Saisie par Bouygues Telecom d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détermination d’un niveau de risques aidant à la fixation des conditions d’attribution du service fourni ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 10 et 25-I°4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Didier Gasse, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Afin de prévenir les impayés, Bouygues Télécom souhaite mettre en œuvre un système d’évaluation de risques aidant à la fixation des conditions d’attribution de ses services.
Bouygues Telecom a donc saisi la CNIL d’une demande d’autorisation en date du 20 février 2012 pour son traitement.
Le traitement consiste à attribuer aux personnes concernées des notes plus ou moins élevées selon le niveau de risque qu’elles présentent en vue de cibler 1% des activations présentant le plus de risques. En fonction de la note attribuée, il pourra être demandé, lors de la souscription d’un abonnement, une avance sur consommation et/ou la communication d’un justificatif de domicile complémentaire aux fins de vérification avant l’activation de sa ligne. Ce traitement sera mis en œuvre dans les points de vente physiques proposant des services et des produits Bouygues Telecom, mais ne sera pas utilisé lors d’une commande en ligne sur le site de Bouygues Telecom.
Dans la mesure où ce traitement est susceptible d’exclure les demandeurs du bénéfice d’une prestation ou d’un contrat, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements susceptibles du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou règlementaire.
Sur la finalité du traitement :
Le traitement présenté a pour finalité la détermination d’un niveau de risque d’impayés en vue de fixer les conditions d’attribution du service fourni.
Ce traitement a également pour finalités la constitution de modèles d’évaluation à partir de l’analyse statistique de données, la vérification de la pertinence des modèles mis en œuvre et l’évaluation des risques.
Cet outil d’aide à la détermination des conditions d’attribution du service fourni a pour but, sur la base de critères objectifs pondérés, d’améliorer le processus de prévention des risques d’impayés.
La Commission considère la finalité poursuivie comme légitime au sens des dispositions de l’article 6 de la loi du 6 janvier 1978 modifiée.
Sur la nature des données collectées et leur traitement :
Les données traitées et les critères retenus dans la grille de scoring concernent :
la portabilité entrante ;
le nombre de lignes activées du client ;
le montant de l’offre hors taxe ;
le type de justificatif d’identité ;
le code enseigne d’activation ;
le qualité de nouveau client ;
la gamme de terminal souscrit ;
le canal d’acquisition ;
la gamme d’offre ;
l’adresse email renseignée (oui/non).
Les données collectées sont pertinentes, adéquates et non excessives au regard des finalités pour lesquelles elles sont collectées.
Les données ont été choisies au regard du résultat d’études réalisées sur le recouvrement des impayés et pondérées en fonction du lien de corrélation qu'elles présentent avec le risque d’incidents de paiement.
La définition du score résulte de la prise en compte de l’ensemble de ces critères combinés via l’application d’une formule mathématique complexe.
Aucune variable ne reçoit une pondération telle qu'elle puisse à elle seule avoir un effet d'exclusion absolue. Il en va de même pour tout ensemble de variables étroitement corrélées les unes aux autres. La Commission est consciente des risques qu’un tel score peut potentiellement présenter. Le score obtenu par une personne ne sera pas utilisé de façon automatique pour déterminer les conditions de fourniture d’un service par Bouygues Telecom et la personne concernée sera mise à même de présenter ses observations.
En tout état de cause, les alinéas 2 et 3 de l’article 10 de la loi du 6 janvier 1978 disposent qu’ « aucune (…) décision produisant des effets juridiques à l’égard d’une personne ne peut être prise sur le seul fondement d’un traitement automatisé de données destiné à définir le profil de l’intéressé ou à évaluer certains aspects de sa personnalité. Ne sont pas regardées comme prises sur le seul fondement d’un traitement automatisé les décisions prises dans le cadre de la conclusion ou de l’exécution d’un contrat et pour lesquelles la personne concernée a été mise à même de présenter ses observations, ni celles satisfaisant les demandes de la personne concernée ».
Sur la durée de conservation des données :
Les données de score sont supprimées dès que la décision d’activation de la ligne a été prise.
Les données des personnes n’ayant pas donné suite au processus d’activation d’un abonnement auprès de Bouygues Telecom sont conservées 60 jours. Seules les données des personnes consentantes seront conservées.
Sur les destinataires des données :
Les données de score ne sont ni transmises ni conservées. Seules les conséquences du score obtenu (justificatif supplémentaire à produire ou abonnement prépayé) seront accessibles aux personnels des points de vente pour identifier les personnes présentant des risques d’impayés.
Les destinataires des données n’appellent pas d’observation particulière.
Sur l'information des personnes :
Les personnes sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention inscrite sur le formulaire de collecte des données, dans la documentation commerciale et par voie d’affichage dans les points de vente.
En outre, lorsqu’elles font l’objet d’une demande d’avance sur consommation et/ou de justificatif complémentaire, les personnes concernées sont informées de leur droit à un entretien avec un conseiller au cours duquel leur seront exposées les raisons et les conséquences du score obtenu. Elles auront la possibilité de présenter leurs observations.
La Commission estime que ces informations sont conformes aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès et de rectification s’exerceront auprès de Bouygues Telecom – Service Informatique et Libertés – 13/15 avenue du Maréchal Juin, 92360 Meudon.
Sur la sécurité des données et la traçabilité des actions :
Au titre des mesures de sécurité, sont notamment mis en place :
une conservation pendant au moins six mois de la traçabilité des connexions,
une gestion des profils d’habilitation,
une procédure d’authentification,
un chiffrement des transmissions.
La Commission considère que ces mesures sont proportionnées au regard de la finalité.
Dans ces conditions, la Commission autorise, conformément à la présente délibération  Bouygues Telecom à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la détermination d’un niveau de risque d’impayés en vue de fixer les conditions d’attribution de ses services.
La Présidente
Isabelle FALQUE-PIERROTIN