(demande d’autorisation n°1505522)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2006/49/CE du Parlement européen et du Conseil du 14 juin 2006 sur l’adéquation des fonds propres des entreprises d’investissement et des établissements de crédit ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-I -4° ;
Vu le code monétaire et financier notamment ses articles L. 314-1 et L. 522-14 ;
Vu les règlements du Comité de la réglementation bancaire et financière (CRBF) n°90-02 du 23 février 1990 modifié relatif aux fonds propres et n°97-02 du 21 février 1997 modifié relatif au contrôle interne des établissements de crédit et des entreprises d’investissement ;
Vu l’arrêté du ministère de l’économie, des finances et de l’industrie du 20 février 2007 relatif aux exigences de fonds propres applicables aux établissements de crédit et aux entreprises d’investissement ;
Vu l’arrêté du 29 octobre 2009 portant sur la réglementation prudentielle des établissements de paiement ;
Vu le dossier de demande d’autorisation présenté par la société AQOBA EP ;
Après avoir entendu M. Jean Paul AMOUDRY, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La société AQOBA EP est un établissement de paiement au sens de l’article L.522-1 du code monétaire et financier (CMF), agréé pour proposer les services de paiement mentionnés au 2°, 3° et 5° du II de l’article L 314-1 du CMF. Conformément aux dispositions de l’article L 522-2, II, AQOBA EP est autorisé à délivrer des cartes de paiement.
AQOBA EP a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation d’un traitement de données à caractère personnel dont les finalités concernent l’évaluation du risque de défaillance présenté par chacun de ses clients, ainsi que la définition de son niveau de fonds propres réglementaires conformément aux dispositions des arrêtés du 20 février 2007 et du 29 octobre 2009 susvisés (réglementation Bâle II).
Sur la procédure suivie auprès de la Commission
Chaque porteur d’une carte de paiement émise par AQOBA EP dispose d’une avance en paiement. L’octroi de cette faculté expose AQOBA EP à un risque financier, que le système de « cotation Bâle II » a vocation à évaluer.
Les indicateurs qui en résultent sont pris en compte pour apprécier la solvabilité de chaque client détenteur d’une carte de paiement. Ils peuvent ainsi conduire AQOBA EP à appliquer à la carte une réduction du plafond de paiement autorisé, voire à bloquer l’utilisation du moyen de paiement.
Ce traitement est, par voie de conséquence, susceptible d’exclure, de façon plus ou moins prolongée, des personnes du bénéfice d’un contrat ou de certaines prestations en l’absence de toute disposition légale prévoyant une telle exclusion.
Dès lors ces traitements automatisés relèvent du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doivent, à ce titre, être autorisés par la CNIL.
Sur les finalités du traitement
Ce traitement automatisé vise :
1° à évaluer, dans le cadre du dispositif de notation interne des risques, pour chaque client détenteur d’une carte de paiement émise par AQOBA EP, le risque statistique de défaut de remboursement des avances qui lui ont été accordées et à définir le niveau de fonds propres réglementaires correspondant ;
2° à définir les règles de gestion du risque opérationnel qui seront appliquées aux clients en fonction du niveau de risque de défaillance qui leur est associé.
S’agissant de la première finalité, le traitement calcule une notation réglementaire, dite « cotation Bâle II », qui est attachée à chaque client :
le risque de crédit est évalué sous la forme d’une note, d’une probabilité de défaut à un an et d’une estimation de perte en cas de défaut ;
sur la base de ces évaluations, chaque client est affecté à un lot de risques jugés équivalents ;
les notes d’évaluation du risque sont réévaluées tous les six mois ;
les modèles statistiques utilisés sont vérifiés et actualisés périodiquement.
Les personnes concernées par le traitement sont exclusivement des clients de la société AQOBA EP, titulaires d’un moyen de paiement.
Le système de notation des risques de crédit repose sur une évaluation statistique de la probabilité de défaut des titulaires d’une carte de paiement dans les douze mois à venir et du montant des pertes en résultant. Il doit tenir compte des caractéristiques pertinentes du risque attachées à l’emprunteur, dont l’établissement a connaissance.
Les notes d’évaluation du risque sont utilisées de manière globale pour le calcul des fonds propres réglementaires de la société responsable de traitement.
S’agissant de la seconde finalité, certaines des données traitées sont exploitées lors d’opérations de gestion des moyens de paiement des clients :
- pour déterminer ou modifier le plafond de l’avance en paiement autorisé ;
- pour se prononcer sur les dépassements d’autorisation pour gérer les impayés et
- pour décider de procéder à un blocage du moyen de paiement.
En cas de réduction du plafond, le porteur en est informé conformément aux dispositions de la convention de compte. Dans les cas où le moyen de paiement est bloqué, il est informé des modalités de régularisation de l’impayé entrainant immédiatement le déblocage du moyen de paiement.
La Commission prend acte que conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, une décision défavorable en matière d’utilisation d’un moyen de paiement ne peut être prise après consultation du résultat du score sans que le débiteur ait été informé de son droit à présenter des observations sur sa situation bancaire et financière.
Sur les catégories de données traitées
Les catégories de données prises en compte sont :
- pour la définition du niveau de fonds propres : la situation économique et financière du débiteur et l’existence éventuelle d’un impayé.
- pour évaluer le niveau de risque attaché à chaque client : la désignation du compte bancaire permettant d’alimenter le compte de paiement tenu par AQOBA EP (RIB), la fréquence et les modalités d’utilisation de la carte de paiement (utilisation permanente du plafond), la contestation éventuelle d’un prélèvement émis.
Ces données peuvent faire l’objet de croisements. Elles sont choisies et pondérées en fonction du lien de corrélation qu’elles présentent avec le risque de crédit attaché au client en général ou à chaque opération en particulier.
La Commission observe qu’aucune variable ne reçoit une pondération telle qu’elle puisse à elle seule avoir un effet d’exclusion absolue ou disqualifiant. Il en va de même pour tout ensemble de variables corrélées les unes aux autres.
Dans ces conditions, la Commission estime que la prise en compte de ces données est adéquate, pertinente et non excessive au regard de la finalité du traitement.
Sur la durée de conservation et les destinataires des données
Les indicateurs calculés par le traitement sont réévalués tous les six mois. Ils sont ensuite archivés pendant la durée de la relation contractuelle. Les chargés de clientèle de la société AQOBA EP ont accès,  pour les clients les concernant, aux informations mises à jour.
Pour la définition du niveau de fonds propres, les cotations successives et les données permettant de les élaborer sont conservées pendant une durée de 5 ans. A l’issue de ce délai, elles sont anonymisées et exploitées uniquement afin de mettre à jour les modèles statistiques utilisés pour mesurer le risque. Seuls ont accès à ces informations, les personnels en charge de l’actualisation du modèle de notation. Seuls les personnels en charge du contrôle interne ont la possibilité d’identifier les personnes concernées dans le cadre de l’exercice de leurs missions d’audit.
Sur les droits des personnes
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, chaque client est informé lors de la collecte des données, notamment au moment de l’entrée en relation contractuelle, puis régulièrement sur :
la mise en place d’un système de notation interne des risques de crédit,
les droits qui lui sont reconnus par la loi susvisée, notamment le droit d’obtenir communication par écrit, sur sa demande, des notes d’évaluation du risque dont il fait l’objet, de leur signification et de leur modalité de calcul.
La Commission rappelle que conformément aux dispositions de l’article 30, II, de la loi du 6 janvier 1978 modifiée, la société AQOBA EP informe sans délai la Commission de tout changement affectant notamment l’identité et l’adresse du responsable de traitement, la ou les finalités du traitement, les données à caractère personnel traitées et la durée de conservation.
La Commission, autorise, dans les conditions prévues par la présente délibération, la société AQOBA EP à mettre en œuvre un traitement automatisé de données à caractère personnel visant à évaluer le risque statistique de défaillance des clients détenteurs d’une carte de paiement.