(Demande d’autorisation n°1530930)
La Commission nationale de l’informatique et des libertés,
Saisie par la société IDESIA CONSEILS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité d’apprécier la solvabilité des candidats emprunteurs sollicitant une demande de rachat de crédits ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code des assurances ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société IDESIA CONSEILS
Sur la finalité
Le traitement mis en œuvre a pour objectif de vérifier les conditions d’éligibilité du candidat au rachat de crédits.
La société IDESIA CONSEILS recueille les données des candidats emprunteurs, via le logiciel IOB IDESIA, en vue de réaliser une pré sélection des dossiers qui seront présentés aux partenaires financiers et établissements de crédit.
Ce traitement peut ainsi, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale ou réglementaire prévoyant une telle exclusion.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée en 2004 et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données analysées sont relatives :
- à l’identification (nom, prénom, adresse, date et lieu de naissance, téléphone, nationalité),
- à la vie personnelle (situation familiale, nombre de personnes à charge dans le foyer, âge des enfants),
- à la vie professionnelle (situation professionnelle, ancienneté et employeur),
- aux informations d’ordre économique et financier (revenus, situation financière, solution financière retenue, besoin de trésorerie, situation patrimoniale, inscription FICP, FCC).
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes habilitées sont les mandants de la société IDESIA CONSEILS, c’est-à-dire, les partenaires financiers et établissements de crédits. La société IDESIA CONSEIL a conclu avec chacun des partenaires un mandat d’intermédiaire en opérations de banque.
Ces destinataires n'appellent pas d'observations particulières de la part de la Commission.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention légale d’information qui figure sur le prospectus remis aux clients, les mandats de recherche de capitaux proposés à la signature par les franchisés ainsi que sur le site internet de la société IDESIA CONSEILS.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Les actions effectuées par ces personnes sont tracées afin de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés.
Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Les données concernant un dossier refusé sont conservées pour une durée de trois mois. Pour les dossiers acceptés, la durée de conservation est de 60 jours à compter de la dernière échéance du prêt.  Passé ces délais, les données sont définitivement supprimées.
L’inscription au fichier national des incidents de remboursement des crédits aux particuliers (FICP) ou au fichier central des chèques (FCC) est directement communiquée par la personne concernée lorsque celle-ci en a connaissance.
La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société IDESIA CONSEILS  à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN