(Demande d’autorisation n° 1812608)
La Commission nationale de l'informatique et des libertés,
Saisie par la Compagnie européenne des garanties et cautions d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation et la sélection des risques en matière d’octroi de garantie financière des administrateurs de biens et agents immobiliers;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier ;
Vu la loi n° 70-9 du 2 janvier 1970 réglementant les conditions d'exercice des activités relatives à certaines opérations portant sur les immeubles et les fonds de commerce ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25.I.4° ;
Vu le décret n°72-678 du 20 juillet 1972 fixant les conditions d'application de la loi n° 70-9 du 2 janvier 1970 réglementant les conditions d'exercice des activités relatives à certaines opérations portant sur les immeubles et fonds de commerce ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Compagnie européenne des garanties et cautions, ci-dessous dénommée la CEGC, est un établissement d’assurance filiale à 100% de Natixis elle-même filiale du Groupe BPCE.
Sur la finalité
La CEGC a pour objet de délivrer des garanties et des cautions à des personnes physiques ou morales. Elle garantit financièrement les agents immobiliers et les administrateurs de biens en matière de responsabilité civile professionnelle, de protection juridique et de responsabilité du dirigeant.
Les demandes de garanties sont adressées à la CEGC par courrier ou à partir du site internet. Les données ainsi collectées se déversent dans l’outil d’aide à la décision qui a pour finalité de générer un diagnostic d’analyse de l’opération financée qui peut conduire lorsque son résultat est favorable, à la délivrance automatique d’une garantie, et en cas de résultat défavorable, de soumettre la demande de garantie à une analyse manuelle effectuée par les chargés d’affaires.
La Commission prend acte que conformément à l’article 10 de la loi du 6 janvier 1978 modifiée en 2004, le résultat de ce traitement n’a qu’un caractère indicatif, et qu’il est toujours possible d’y déroger au moyen d’une procédure d’analyse non automatisée en cas de dossiers plus complexes ou plus risqués.
Le traitement est un outil de gestion des garanties financières octroyées aux administrateurs  de biens et agents immobiliers. II a pour objet, d'une part, d'évaluer, pour les administrateurs de biens et agents immobiliers qui présentent une demande de garantie financière le risque statistique de défaillance qui lui est attaché et, d'autre part, de sélectionner les demandes qui correspondent à un niveau de risque de défaillance jugé satisfaisant.
Dès lors, le traitement est susceptible de conduire à l’exclusion, au moins de façon temporaire, d’une personne du bénéfice d’une garantie ou caution en dehors de toute disposition législative ou réglementaire le prévoyant.
A ce titre, la Commission considère qu’il y a lieu de faire application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée qui prévoit que doivent être autorisés par la CNIL les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition législative ou réglementaire.
Par ailleurs, le traitement ne rentre pas dans le champ de l’autorisation unique AU-005 modifiée par la délibération n°2008-198 du 9 juillet 2008 dès lors que ce système vise à apporter une aide à l’analyse des demandes de garanties et cautionnement et non de crédit.
Enfin, le dispositif permet aux clients administrateurs de biens et agents immobiliers le suivi de la gestion contractuelle des garanties financières qui leurs ont été accordées.
Le traitement envisagé est assorti d'un outil de pré-étude des données qui permet de gérer les risques financiers par une analyse automatisée des dossiers. Par ailleurs, la Commission relève qu’il existe une analyse manuelle des demandes réalisée par les analystes de la CEGC conformément à l’article 10 de la loi du 6 janvier 1978 modifiée en 2004.
Sur les données traitées
Les données collectées pour les demandes de délivrance de garanties financières sont les suivantes :
- pour la demande de souscription : nom, prénom(s), date et lieu de naissance, adresse, profession, fonction au sein de la société, adhésion à un syndic de copropriétaires professionnel ;
- dans le cas ou le souscripteur exerce une activité à titre complémentaire : activité accessoire, participation dans des entreprises, appartenance à un réseau de franchise ;
- pour les personnes en activité : chiffre d’affaires du dernier exercice, montant des garanties sollicitées, listes des sinistres des 3 dernières années avec montant des provisions ou indemnités
- pour les personnes morales : dénomination sociale, forme de la société, siège social, nom et prénoms de représentant légal, numéros de téléphones, de télécopies, adresse électronique, numéro du registre du commerce, ville, numéro SIREN, inscription (ou demande) au RCS, extrait k bis (ou récépissé de la demande), copie du bail ou titre de propriété du siège de la société, attestation d’ouverture du compte des « dépôts clients transactions », liste des porteurs de parts, associés ou actionnaires, copie d’un titre d’identité du dirigeant, copie des statuts, autorisation de prélèvement, BIC et IBAN ;
- pour une personne physique : nom et prénoms, enseigne commerciale, adresse du siège social de l’entreprise individuelle, numéros de téléphones, de télécopies, adresse électronique, numéro du registre du commerce, ville, numéro SIREN, inscription (ou demande) au RCS, extrait k bis (ou récépissé de la demande), attestation d’ouverture du compte des « dépôts clients gestion et transactions », adhésion à un syndic de copropriétaires professionnel, appartenance à une franchise, établissements secondaires, copie de la carte d’identité, copie des statuts, autorisation de prélèvement, BIC et IBAN ;
- pour une entreprise en activité : comptes annuels des deux derniers exercices, rapport des commissaires aux comptes si nécessaire, copie de la carte professionnelle délivrée en gestion ou transaction, attestation de garantie financière, attestation d’assurance RCP, dernier rapport de contrôle du précédent garant financier.
La note de score prend en compte les variables suivantes :
- éléments d’identification de l’entreprise, des actionnaires, des dirigeants ou associés et leurs liens éventuels avec d’autres entreprises ;
- cotation Banque de France des dirigeants et ou associés ;
- cotation Banque de France des entreprises constituant le capital.
Ces variables ne font pas l’objet de croisements.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Elles sont conservées pendant toute la durée du contrat, en cas d’acceptation de la demande de garantie.
En cas de rejet de la demande de garantie, les informations collectées pour l’instruction de la demande sont conservées pendant une durée de six mois à compter du dépôt de la demande. Elles ne peuvent être utilisées qu’aux fins de l’instruction de nouvelles demandes de garanties.
Sur les destinataires
Seuls sont autorisés à avoir communication des données précitées les personnels habilités :
- du département de contrôle de gestion ;
- les services de la comptabilité ;
- la direction technique des risques ;
- la direction des systèmes d’information ;
- la direction de l’organisation et de la maîtrise d’ouvrage ;
- les gestionnaires du service administrateurs de biens et agents immobiliers ;
- la direction générale ;
- la direction juridique et contentieux.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant sur le site internet www.socamab.fr. Les collaborateurs de la CEGC sont informés dans la charte informatique annexée au règlement intérieur.
Les droits d’accès et de rectification s’exercent auprès du de la Direction Juridique par courrier à l’adresse suivante : CEGC – Direction Juridique – 128, rue de la Boétie – 75378 Paris Cedex 08.
Sur les mesures de sécurité
L’ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
L’accès au bâtiment s’effectue par badge. Il existe un dispositif de télésurveillance avec une levée de doute opérée par le poste de sécurité pendant les heures non ouvrées.
L’outil dispose d’une protection contre les intrusions extérieures utilisant le canal des réseaux informatiques via un routeur et un pare-feu.
Afin d’assurer la confidentialité des données lors du développement de l’application informatique, le personnel affecté aux taches de développement est distinct de celui assurant la gestion et l’exploitation des équipements informatiques de production.
Les opérations de maintenance des équipements informatiques par un sous-traitant se font en présence d’un informaticien de l’entreprise pour garantir la confidentialité des données. De même, les interventions de maintenance des logiciels de l’environnement de production se font sous le contrôle du chef d’exploitation.
Par ailleurs, le site internet www.socamab.fr n’est accessible qu’aux personnes disposant d’un identifiant et d’un mot de passe.
Les mesures de sécurité mises en place n’appellent pas d’observations.
Sur les autres caractéristiques du traitement
Le traitement contient des zones de commentaires libres de nature objective permettant de motiver la décision du  gestionnaire en charge du dossier.
Lors de l’instruction des dossiers par les analystes financiers, des informations complémentaires peuvent être demandées aux intéressés. Il est ensuite procédé à une interrogation du fichier FIBEN auprès de la banque de France. Dès lors, la grille d’analyse du dossier est transmise aux comités de décisions. La Commission observe que cette grille n’est qu’un simple outil d’aide à la décision.
Si le dossier est favorable, l’attestation de garantie sera soit mise à disposition de l’administrateur de bien ou de l’agent immobilier sur le site internet, soit adressée par courrier. Dans le cas contraire, le demandeur de garantie dispose peut solliciter une nouvelle étude de son dossier.
Les autres caractéristiques du traitement n’appellent pas d’observations.
Autorise, conformément à la présente délibération, la Compagnie européenne des garanties et cautions à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN