La Commission nationale de l'informatique et des libertés,
Saisie par NATIXIS LEASE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’analyse des risques dans le cadre de l’octroi des contrats de location avec option d’achat de véhicules par les réseaux apporteurs pour le compte de NATIXIS LEASE au moyen d'un système de score ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25.I.4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique AU-005 relative à certains traitements de données à caractère personnel mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
NATIXIS LEASE est une entité du groupe BPCE spécialisée dans les financements locatifs.
Sur la finalité
Le traitement envisagé poursuit deux finalités.
Tout d’abord, il vise à évaluer sur la base de modèles de score le risque statistique de défaut de remboursement des contrats de locations avec option d’achats (LOA) de véhicules proposés par les réseaux apporteurs (Banque populaire ou Caisse d’épargne) pour le compte de NATIXIS LEASE.
Par ailleurs, il permet de constituer des modèles de score à utiliser à partir de l’analyse statistique des données personnelles, d’en vérifier la pertinence et de les actualiser.
Le traitement vise à sélectionner les demandes qui correspondent à un niveau de risque de défaillance jugé satisfaisant. Il est, par voie de conséquence, susceptible d’exclure, au moins de façon temporaire, une personne du bénéfice d’un contrat de crédit là où aucun texte législatif ou réglementaire ne prévoit une telle exclusion.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 et doit, à ce titre, être autorisé par la CNIL.
La Commission estime que ces finalités sont déterminées, explicites et légitimes.
Sur les données traitées
La Commission note que les catégories de données prises en compte pour le calcul du score attaché à chaque demande de crédit figurent parmi celles prévues par l’autorisation unique AU-005, à l’exception de quelques
variables supplémentaires qui concernent le demandeur de crédit :
. la situation de divorcé ;
. le département de naissance ;
. le secteur d’activité de l’emprunteur ;
. le type de compte,
. la note Bâle 2 octroyé par le réseau distributeur.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Les modalités de conservation et de réutilisation des données sont conformes à l’autorisation unique AU 005.
Sur les destinataires
Seuls peuvent être habilités à avoir communication des données précitées, sous réserve qu’elles soient nécessaires pour l’exercice de leurs fonctions :
- Pour l’ensemble des données nécessaires à l’élaboration et à l’actualisation des modèles de score : les personnels de l’établissement de crédit ou, en cas d’appartenance à un groupe, de l’entité du groupe qui sont chargés :
de la définition de ces modèles,
du contrôle interne.
- Pour le seul résultat de l’application du score :
les personnels des services chargés de l’octroi de crédit et de la sélection des risques ;
les commerciaux et chargés de clientèle ayant recueilli les données ;
les personnels habilités de l’apporteur d’affaires qui, une fois terminée la saisie des données demandées par le traitement, ne peuvent accéder qu’à un message indiquant l’acceptation immédiate ou non de la demande de crédit après application du score.
Ce message ne doit plus être consultable par les personnels de l’apporteur d’affaires après la communication au demandeur et à l’apporteur de la décision définitive de l’établissement de crédit. Il ne doit être conservé sur aucun support.
La liste de ces destinataires n'appelle pas d'observation particulière.
Sur le transfert des données hors UE
Lorsque des données sont transmises vers un Etat qui n’assure pas un niveau de protection suffisant ou reconnu comme tel par une décision de la Commission européenne, le transfert ne peut être effectué que sous réserve du respect par le responsable du traitement des dispositions des articles 68 et 69 de la loi du 6 janvier 1978 modifiée.
Tout contrat conclu avec les personnes habilitées à avoir communication des données devra respecter les décisions de la Commission européenne relatives aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers ou des sous-traitants établis dans des pays tiers en vertu de la directive du 24 octobre 1995 susvisée.
Sur l’information et le droit d’accès
En application des dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, aucune décision produisant des effets juridiques à l’égard d’une personne ne peut être prise sur le seul fondement d’un traitement automatisé de données destiné à définir le profil de l’intéressé.
Le respect de ces obligations légales est garanti, en cas d’utilisation d’un système de score, par la mise en place des règles prévues par l’AU 005 dès lors que la demande de crédit a fait l’objet d’un refus.
En outre et conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par le chargé de clientèle des réseaux apporteurs lors de l'octroi, dans le devis et dans le
contrat de LOA véhicule.
La mention d’information qui y figure rappelle notamment que les droits d’accès et de rectification s’exercent auprès de
NATIXIS LEASE 30, avenue pierre Mendès France 75013 PARIS.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et, notamment, pour empêcher qu’elles soient déformées,
endommagées ou que des tiers non autorisés puissent en prendre connaissance.
Les accès individuels au traitement s’effectuent par un identifiant et un mot de passe individuels, régulièrement renouvelés, ou par tout autre moyen d’authentification.
Les demandes de crédit en ligne donnent lieu à la création par l’établissement de crédit d’un compte informatique, individuel et provisoire, dont l’accès est sécurisé grâce à l’attribution au client d’un code d’accès et d’un mot de passe personnel ou de toute mesure offrant un niveau de sécurité supérieur.
Les mesures prises pour sécuriser l’accès aux données sont indiquées sur le premier écran de saisie.
Ce compte informatique, individuel et provisoire, est clôturé lors du rejet définitif de la demande de crédit ou de l’ouverture d’un compte client informatique définitif. Aucun document ne pourra être communiqué via le compte provisoire informatique.
Les demandes de crédit en ligne sont sécurisées dès l’affichage du premier écran de saisie (exemple : en https).
Sur les autres caractéristiques du traitement
Les autres caractéristiques du traitement respectent le cadre juridique défini par
Autorise, conformément à la présente délibération, NATIXIS LEASE à mettre en œuvre le traitement susmentionné.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS