La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-4° ;
Vu la demande d'autorisation, présentée par la Caisse Régionale de Crédit Agricole Mutuel du Midi, d'un traitement automatisé de données à caractère personnel ayant pour finalité la mise en oeuvre d'un outil d'aide à la décision lors de l'octroi d'un prêt habitat ou consommation (score) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Après avoir entendu M. Philippe Nogrix, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Caisse Régionale de Crédit Agricole Mutuel du Midi a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la mise en oeuvre d'un outil d'aide à la décision lors de l'octroi d'un prêt habitat ou consommation (score).
Les traitements de données à caractère personnel ayant pour objet de sélectionner la clientèle à des fins d'octroi de crédit ou de prêt à partir d'outils de notation ou de score relèvent de la procédure de demande d'autorisation prévue par les dispositions de l'article 25-4° de la loi du 6 janvier 1978 modifiée en août 2004 dans la mesure oie ils sont susceptibles d'exclure une personne du bénéfice d'un contrat de crédit lorsque aucune disposition législative ou réglementaire ne le prévoit.
L'article 10 de ladite loi dispose dans son deuxième alinéa qu'"aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité" et dans son troisième alinéa que "ne sont pas regardées comme prises sur le seul fondement d'un traitement automatisé les décisions prises dans le cadre de la conclusion ou de l'exécution d'un contrat et pour lesquelles la personne concernée a été mise à même de présenter ses observations, ni celles satisfaisant les demandes de la personne concernée" et qu'en application des dispositions de l'article 6-3° les données traitées doivent être "pertinentes, adéquates et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs".
La Commission considère, en application de ces dispositions, que la pertinence et la pondération des variables du score doivent résulter d'une analyse statistique établie selon une méthodologie reconnue, comprenant notamment la qualification du lien de causalité ou de corrélation entre le critère pondéré et le risque mesuré.
Elle estime également que les données traitées doivent avoir été directement obtenues de la personne concernée ou produites à partir d'informations communiquées par cette dernière ou de l'exécution d'un contrat ou d'une prestation de service conclus directement avec la personne concernée et qu'elles doivent être définies et combinées avec d'autres données du calcul automatisé du risque de manière objective et proportionnée à partir d'éléments se rapportant directement à l'emprunteur ou en rapport avec le financement et présentant un lien de corrélation notoire, direct et étroit avec le risque de défaut de l'emprunteur.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité de l'emprunteur, l'âge, la situation familiale, l'existence d'un numéro de téléphone, la situation professionnelle, la situation familiale, la situation financière, le niveau de risque, le statut résidentiel, le nombre d'emprunteurs, les informations relatives à l'achat ou la prestation financée, les caractéristiques du crédit et des informations relatives au compte bancaire et moyens de paiement.
La Commission considère que la prise en compte des variables du score est adéquate et proportionnée.
La Commission relève aussi que le résultat du score n'entraîne pas d'exclusion automatique, mais définit les niveaux de délégation nécessaires pour la prise de décision d'octroi de crédit et les cas où une étude du dossier est nécessaire.
Les destinataires des informations seront le personnel habilité de la Caisse Régionale de Crédit Agricole Mutuel du Midi (les services de financement), le réseau d'agences et le Crédit Agricole SA.
Le droit d'accès défini au chapitre VII de la loi s'exercera auprès de la Caisse Régionale de Crédit Agricole Mutuel du Midi, service relation clientèle, avenue du Montpellieret, 34977 LATTES-MAURIN.
Autorise, dans ces conditions, la Caisse Régionale de Crédit Agricole du Midi à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité l'outil d'aide à la décision lors de l'octroi d'un prêt habitat ou consommation (score).
Le président, Alex TURK.