(Demande d’autorisation n°1518732)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données,;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le code monétaire et financier ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Vu la demande d’autorisation déposée par la Compagnie européenne de garanties et cautions relative à un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à l’évaluation et à la sélection des risques en matière d’octroi de garantie ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et de Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations.
Formule les observations suivantes :
La Compagnie européenne de garanties et cautions a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel dont la finalité est d’apporter une aide à la décision dans le cadre de l’examen des demandes de cautionnement de contrats de prêts souscrits par des personnes morales ou physiques pour des besoins professionnels.
Sur la procédure suivie auprès de la Commission
La Commission observe que ce traitement a pour finalité d’apporter une aide à la décision dans le cadre de l’examen des demandes de cautionnement effectuées par des personnes physiques ou morales auprès de la Compagnie européenne de garanties et cautions et visant à garantir le remboursement d’un prêt, souscrit à des fins professionnels, en cas de défaillance de l’emprunteur.
Ce traitement a ainsi pour objet de qualifier les demandes qui correspondent à un niveau de risque de défaillance jugé satisfaisant. Il est, par voie de conséquence, susceptible de conduire à l’exclusion, au moins de façon temporaire, d’une personne du bénéfice d’une caution en dehors de toute disposition législative ou réglementaire le prévoyant.
A ce titre, la Commission considère qu’il y a lieu de faire application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée qui prévoit que doivent être autorisés par la CNIL les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition législative ou réglementaire.
Le traitement ne rentre pas dans le champ de l’autorisation unique AU-005 modifiée par la délibération n°2008-198 du 9 juillet 2008 dès lors que le système projeté vise à apporter une aide à l’analyse des demandes de cautionnement, et non de crédit.
Sur les finalités
Le traitement analyse les demandes de cautionnement envoyées par courrier ou saisies directement dans l’application par les chargés de clientèle des établissements prêteurs partenaires avec lesquels la Compagnie européenne de garanties et cautions a conclu des conventions cadre de caution simple ou solidaire, à l’occasion de l’instruction des demandes de prêt effectuées par des personnes physiques ou morales pour leurs besoins professionnels et permet d’évaluer le risque statistique de défaillance de l’emprunteur.
Lorsque le traitement est directement alimenté par les chargés de clientèle des établissements de crédits susmentionnés, ces derniers obtiennent une réponse immédiate quant à l’octroi de l’accord de cautionnement.
Les réponses sont de deux ordres :
en cas de réponse favorable, l’accord de cautionnement est délivré ;
l’accord de cautionnement ne peut pas être délivré sur la base des seuls critères pris en compte dans le traitement de score. La demande nécessite une étude complémentaire et elle est alors transmise à cette fin à la Direction des marchés de la Compagnie européenne de garanties et cautions. L’accord de cautionnement est suspendu jusqu’à la décision de cette direction. L’opération fait alors l’objet d’une étude approfondie par un analyste de la Compagnie européenne de garanties et cautions, éventuellement sur la base d’un dossier préalablement enrichi. Si cette analyse ne permet pas de délivrer l’accord de cautionnement, la décision de refus est motivée et portée à la connaissance de l’emprunteur par l’intermédiaire de son interlocuteur au sein de l’établissement prêteur. Le demandeur est systématiquement informé de la faculté qui lui est reconnue de présenter des informations complémentaires sur sa situation, et qu’il peut en demander une nouvelle étude approfondie
Lorsque les demandes sont envoyées par courriers, elles sont saisies dans le traitement Aladin par les personnels de la Compagnie européenne de garanties et cautions. La réponse est alors transmise aux établissements de crédit par la même voie.
L’accord de cautionnement ne conditionne pas l’édition de l’offre de prêt par l’établissement prêteur. Celui-ci est donc libre de refuser le crédit demandé y compris en cas d’accord de cautionnement.
La Commission prend acte que conformément à l’article 10 de la loi du 6 janvier 1978 modifiée en 2004, le résultat de ce traitement n’a qu’un caractère indicatif, et qu’il est toujours possible d’y déroger au moyen d’une procédure d’analyse non automatisée en cas de dossiers plus complexes ou plus risqués notamment lorsque l’un des demandeurs est mineur. Par ailleurs, il a simplement pour effet d’exclure temporairement les demandeurs du bénéfice d’un contrat de crédit, l’établissement bancaire ayant toujours la possibilité de recourir à d’autres garanties.
Sur les données collectées et la durée de conservation :
La note de score prend en compte les variables suivantes :
En ce qui concerne la situation personnelle des emprunteurs : la situation familiale,
En ce qui concerne la situation professionnelle des emprunteurs : la catégorie socioprofessionnelle, le secteur d’activité professionnelle, l’expérience professionnelle (sous la forme expérience professionnelle dans l’activité financée ou non),
En ce qui concerne la situation économique et financière des emprunteurs : le revenu, l’épargne,
En ce qui concerne le financement demandé : le montant, la durée maximale, le type de taux des prêts de l’opération (sous la forme fixe ou variable), le taux d’apport personnel,
Ces variables peuvent faire l’objet de croisements.
Le traitement comporte également des données d’identification du demandeur de crédit (nom, prénom, date et lieu de naissance) et son adresse. La Commission prend acte que ces données ne sont pas prises en compte dans le calcul de la note de score.
Enfin, le traitement comporte une zone commentaire visant à expliciter la décision de l’analyste, d’où sont exclues toute information sans rapport avec la finalité du traitement, et tout jugement de valeur ou appréciation subjective.
Les données collectées sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.
Elles sont conservées pendant toute la durée du contrat, en cas d’acceptation de la demande de caution.
En cas de rejet de la demande de cautionnement, les informations collectées pour l’instruction de la demande sont conservées pendant une durée de six mois à compter du dépôt de la demande. Elles ne peuvent être utilisées qu’aux fins de l’instruction de nouvelles demandes de garanties. La Commission observe que ces dispositions sont conformes à l’autorisation unique AU-005.
Sur les destinataires du traitement
Seuls sont autorisés à avoir communication des données précitées les personnels habilités :
du Département contrôle de gestion, de la Direction des risques et conformité, de la Direction des marchés, du Département études et risques et du service comptabilité de la Compagnie européenne de garanties et cautions, et
des établissements prêteurs partenaires liés à la Compagnie européenne de garanties et cautions par une convention cadre de caution solidaire.
Les actions effectuées par ces personnes sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Sur les modalités d’information et d’exercice des droits des personnes
Dans la mesure où les demandes de cautions sont réalisées par l’intermédiaire des établissements prêteurs partenaires, les conventions cadre de caution solidaire relatives aux marchés des particuliers prévoient l’obligation pour les établissements prêteurs d’introduire une clause spécifique au sein des contrats de prêts informant les personnes de leurs droits conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.
L’information porte, en tant que de besoin, sur :
l’identité du responsable du traitement, les finalités du traitement des données,
le caractère obligatoire ou facultatif des informations demandées,
leurs destinataires, notamment les conseillers financiers pour le seul résultat du score des dossiers dont ils assurent l’instruction,
les modalités d’exercice des droits d’accès et de rectification.
Ils sont également informés que des données les concernant sont transmises à la Compagnie européenne de garanties et cautions aux fins d’évaluation du risque statistique de défaillance.
Conformément aux dispositions de l’article 39 de la loi du 6 janvier 1978 modifiée, le droit d’accès s’exerce auprès de la Compagnie européenne de garanties et cautions.
Autorise, dans les conditions prévues par le dossier du demandeur et la présente délibération, la Compagnie européenne de garanties et cautions à mettre en œuvre un traitement automatisé d’aide à la décision en matière d’octroi de garanties de prêts professionnels.