La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-4° ;
Vu la demande d'autorisation présentée par la société SOFINCO le 26 mai 2005 ;
Après avoir entendu M. Philippe Nogrix, commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, commissaire du Gouvernement adjoint, en ses observations.
Formule les observations suivantes :
La société SOFINCO a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la prévention du surendettement par les filiales de crédit à la consommation du groupe Crédit Agricole.
La Commission rappelle que relèvent de la procédure de demande d'autorisation prévues par les dispositions de l'article 25-4° de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004 les traitements de données à caractère personnel ayant pour objet la sélection du risque d'octroi de crédit susceptibles d'exclure une personne du bénéfice d'un contrat de crédit sans qu'aucun texte ne prévoie une telle exclusion.
La Commission rappelle qu'aux termes de l'article 10 alinéa 2 de ladite loi "aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité" et qu'en application des dispositions de l'article 6-3° les données traitées doivent être "pertinentes, adéquates et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs".
La Commission relève que le traitement repose sur un échange ponctuel d'informations entre les sociétés FINAREF et SOFINCO destiné à évaluer le niveau d'endettement d'un demandeur de crédit au regard des crédits à la consommation précédemment souscrits auprès de l'une des deux sociétés ou d'une société ayant confié la gestion de ses crédits à la société SOFINCO.
La Commission observe que cet échange limité d'informations interviendra uniquement entre deux sociétés appartenant au même groupe financier, le groupe Crédit agricole, toutes deux spécialisées dans le crédit à la consommation et qu'il existe une communauté de risque financier entre les sociétés bénéficiaires de l'échange de données.
La Commission relève en outre que le consentement des clients est recueilli par le biais d'une clause particulière de la demande de crédit précisant la finalité et les destinataires des échanges d'information. Dans la mesure où les informations échangées sont couvertes par le secret bancaire, il est prévu que la clause comporte l'autorisation explicite du client de partager des informations couvertes par le secret bancaire.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité de l'emprunteur, le montant de son endettement, sa charge mensuelle, ainsi que l'état des impayés éventuels concernant les crédits à la consommation souscrits.
Les destinataires des informations seront le personnel habilité de la société SOFINCO, les services chargés du contrôle, les établissements de crédit pour lesquels la société SOFINCO assure directement la gestion des crédits à la consommation, et la société FINAREF.
Le droit d'accès défini au chapitre VII de la loi s'exercera auprès de la société SOFINCO, service consommateurs, rue du Bois Sauvage, 91038 Evry cedex.
Autorise, dans ces conditions, la société SOFINCO à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la prévention du surendettement par les filiales de crédit à la consommation du groupe Crédit Agricole.
Le président, Alex TURK.