(Demande d’autorisation n° 1950535)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque de Savoie d’une demande d’autorisation concernant  un traitement automatisé de données à caractère personnel ayant pour  finalité la détection des clients en   situation de fragilité financière afin de leur proposer des mesures d'accompagnement   adaptées ;
Vu la Convention n° 108 du Conseil de l’Europe pour la  protection des personnes à l’égard du traitement automatisé des données à  caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du  24 octobre 1995 relative à la protection des personnes physiques à l’égard du  traitement de données à caractère personnel et à la libre circulation de ces  données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à  l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le code monétaire et financier et notamment son article  L.312-1-1 A, créé par la loi n°2013-672 du 26 juillet 2013 de séparation et de  régulation des activités bancaires ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour  l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique,  aux fichiers et aux libertés ;
Vu l’arrêté du 5  novembre 2014 portant homologation de la charte d'inclusion bancaire et de  prévention du surendettement ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en  son rapport, et M. Jean-Alexandre   SILVY, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
Responsable   du traitement
Banque de   Savoie.
Sur la finalité
La Banque de Savoie souhaite mettre en place un mécanisme de   détection précoce de ses clients en situation de fragilité financière en   combinant les dispositifs d’alertes internes et de connaissance client.
Le dispositif envisagé permet d’identifier les difficultés   financières des clients au regard de l’utilisation des produits et des services   qu’ils ont souscrits et sur la base des critères suivants :
Il s’agit d’une part de critères relatifs au profil :
-            les clients majeurs  à l’exception de   ceux qui font l’objet d’une gestion patrimoniale ;
-            qui ne sont pas en situation de surendettement   connue et déclarée ;
-            qui sont titulaires ou co-titulaires d’un   compte chèque et d’un prêt personnel.
Et d’autre part, de critères liés à l’utilisation des produits   et des services et au comportement financier des clients :
-            la détention d’un découvert autorisé ;
-            le statut résidentiel (propriétaire, logé à   titre gratuit, locataire, non connu) ;
-            l’existence de frais de rejet et de   commissions d’intervention sur le trimestre ;
-            l’utilisation d’un  crédit   renouvelable ;
-            la surface financière (total des avoirs du   client en moyenne sur 3 mois) ;
-            le rapport entre le montant de l’échéance   mensuelle et le capital total emprunté du prêt personnel ;
-            l’existence  d’impayés sur crédit sur 2   mois consécutifs ou plus au cours des 6 derniers mois.
A partir de ces critères, les clients qui seront identifiés comme   susceptibles d’être en situation de fragilité financière, recevront un   courrier leur proposant de rencontrer leur conseiller afin de faire le point   sur leur situation financière.
Il s’agit d’un entretien facultatif à la demande du client qui   consiste d’une part, à identifier les éventuelles difficultés financières et   leurs causes et d’autre part, à vérifier si l’équipement est adapté à la   situation du client afin de lui proposer des solutions de paiement, de   gestion du compte ou du crédit adaptés.
En outre, si sa situation l’exige, le client peut être orienté avec   son consentement vers les organismes gestionnaires de prestations   sociales : les collectivités locales, les institutions ayant une mission   de service public ou des associations caritatives jouant le rôle de médiation   sociale.
Il s’agit ainsi de   favoriser l’accès d’une part, aux droits et prestations auxquels les   personnes peuvent prétendre, et d’autre part, aux  acteurs du milieu associatif spécialisés   dans l’accompagnement des personnes en difficultés afin de proposer aux   clients des solutions ou des offres adaptées.
Ces différents acteurs prennent en charge le client selon leur processus   interne de traitement de situation de  mal endettement  ou de   surendettement. Tous les échanges ultérieurs entre le client et les   partenaires relèvent de leur seule responsabilité et ne sont pas communiqués   à la banque. Ainsi, le service proposé par la banque ne se substitue en aucun cas à l’accompagnement des acteurs   sociaux mais intervient en amont et en complément d’un accompagnement social.
La Commission observe que les clients détectés, mais qui ne se   manifesteraient pas suite à la réception de la proposition de prise de   contact, ne font l’objet d’aucune autre action,  ni limitation dans   l’usage des produits et services précédemment souscrits, ou dans ceux qu’ils   envisageraient de souscrire ultérieurement.
La Commission estime que les finalités du traitement sont   déterminées, explicites et légitimes, conformément aux dispositions de   l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Le dispositif vise en conséquence uniquement à détecter,   prévenir et accompagner les clients potentiellement en difficultés.
Par   conséquent, le traitement envisagé est susceptible de comporter des   appréciations sur les difficultés sociales des personnes concernées. Dès   lors, il relève des dispositions du 7° du I de l’article 25 de la loi du 6   janvier 1978 modifiée et sa mise en œuvre doit, à ce titre, être autorisée   par la CNIL.
Sur les données traitées
Les catégories de données à caractère personnel collectées   sont relatives :
-            à l’identification du client ;
-            à ses coordonnées ;
-            à son logement (locataire, propriétaire) ;
-            à sa situation familiale ;
-            à sa situation professionnelle ;
-            à ses revenus et situation   financière (découvert autorisé, frais de rejet, utilisation crédit   renouvelable, surface financière, impayés) ;
-            aux charges et revenus actuels et le cas échéant   les prévisions d’évolution future.
La Commission considère que ces données sont adéquates, pertinentes et   non excessives au sens de l’article 6-3° de la loi du 6 janvier 1978   modifiée.
Les   données sont conservées pendant une durée maximale de 5 ans et sont ensuite   supprimées. Cette durée correspond notamment à celle prévue en matière   d’incidents de remboursement des crédits aux particuliers (article L 333-4 et   suivants du code de la consommation).
Dès   lors, la Commission considère qu’elle est conforme aux dispositions de   l’article 6-4° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des   informations sont, dans la limite de leurs attributions, les conseillers   clientèle de la banque de Savoie, la structure dédiée dénommée, Qualité Relation Client (QRC), ainsi   que Natixis Financement et CASDEN (Groupe BPOC), pour les clients communs.
Les acteurs du milieu   associatif seront également destinataires des données relatives à   l’identification des clients, à la vie personnelle et professionnelle dès   lors que le client aura donné son consentement.
La Commission relève   que les informations d’ordre économique et financier ne seront en aucun cas   transmises à un tiers externe à la banque.
La  liste de ces destinataires   n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6   janvier 1978 modifiée, les clients de la banque sont informés de l’existence   de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès,   de rectification et d’opposition dans les conditions contractuelles de la   convention de compte.
La   mention d’information qui y figure rappelle notamment que les droits d’accès   et de rectification s’exercent auprès du service qualité de la relation client   de la banque de Savoie à l’adresse suivante : 6, boulevard du théâtre   73024 CHAMBERY.
Les clients orientés   vers les acteurs du milieu associatif devront préalablement donner leur   consentement exprès pour la transmission de leurs coordonnées, afin d’être   mis en contact.
La Commission considère que ces modalités d’information et d’exercice   des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
La continuité d’activité est assurée grâce à des sauvegardes   effectuées quotidiennement. Une autre sauvegarde hebdomadaire est effectuée.   Les étapes de développement et de maintenance font l’objet de mesures de   sécurité visant à garantir la confidentialité des données. La sécurité   physique des postes prenant part au traitement ainsi que du système   d’archivage est correctement assurée.
Concernant l’authentification des utilisateurs du système, la   Commission prend acte que le responsable de traitement s’engage à mettre en   place une politique de mots de passe qui exige que ceux-ci aient une longueur   minimale de 8 caractères, comprenant au moins trois des quatre types   (minuscules, majuscules, chiffres, caractères spéciaux).
Les opérations de consultation font l’objet d’une   journalisation afin d’en assurer la traçabilité et l’identifiant de   l’opérateur ayant traité un dossier est associé à ce dernier.
La Commission constate que la sécurité logique des postes   prenant part au traitement est assurée au moyen d’antivirus et d’un système   de détection d’intrusion.
Sous réserve des précédentes observations, les mesures de   sécurité décrites par le responsable de traitement sont conformes à   l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978   modifiée. La Commission rappelle toutefois que cette obligation nécessite la   mise à jour des mesures de sécurité au regard de la réévaluation régulière   des risques.
Sur les autres caractéristiques du   traitement
La Commission relève que les informations pouvant être   recueillies lors de l’entretien ne pourront porter que sur des éléments   objectifs liés aux difficultés financières du client (revenus, charges   actuelles ou futures…).
La Commission rappelle   que les informations concernant les clients et relatives à la vie personnelle   et professionnelle, communiquées par la banque aux autres organismes nécessite au   préalable la levée du secret bancaire, avec le recueil du consentement de la   personne.
Autorise, conformément à la présente délibération, la Banque de Savoie à mettre en œuvre le traitement susmentionné.
Pour La  Présidente
Le Vice-Président délégué,
Marie-France  MAZARS