(Demande d’autorisation n° 1487524)
La Commission nationale de l’informatique et des libertés,
Saisie par le Crédit immobilier de France Développement d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de recenser les prescripteurs, intervenants et réalisateurs immobiliers en fin de relations d’affaires ou mis sous surveillance et d’en informer les filiales du groupe ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le règlement n°97-02 du 21 février 1997 relatif au contrôle interne des établissements de crédit et des entreprises d’investissement ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le groupe Crédit immobilier de France est composé d’établissements de crédit spécialisés dans le financement de prêts immobiliers aux particuliers. L’entrée en relation avec le candidat emprunteur peut se faire directement via les agences du groupe ou par l’intermédiaire d’un apporteur d’affaires, personnes physique ou morale. Le Crédit immobilier de France Développement, maison mère du groupe Crédit immobilier de France, a saisi la Commission d’une demande d’autorisation relative à un traitement visant à recenser les apporteurs d’affaires ayant la qualité de prescripteurs, intervenants ou réalisateurs immobiliers avec lesquels les relations d’affaires ont été interrompues  ou qui sont mis sous surveillance afin d’en informer les filiales du groupe.
Contrairement aux traitements visant à évaluer le risque statistique de défaillance de l’emprunteur, ce traitement vise à identifier les prescripteurs, intervenants et réalisateurs immobiliers susceptibles d’être défaillants ou dont la défaillance est avérée dans le but de sécuriser l’opération immobilière engagée avec un client emprunteur.
Dès lors, ce traitement peut conduire à exclure des personnes (prescripteurs, intervenants ou réalisateurs immobiliers) du bénéfice d’une prestation ou d’un contrat en l’absence de toutes dispositions législatives ou réglementaires le prévoyant. En conséquence, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Sur la finalité du traitement :
Ce traitement contribue à l’évaluation des risques opérationnels attachés aux conditions de réalisation du projet immobilier financé par le crédit octroyé par le Crédit immobilier de France Développement et à la gestion des relations commerciales avec ces partenaires, apporteurs d’affaires. Il permet de recenser et de diffuser des informations sur des prescripteurs, intervenants et réalisateurs immobiliers avec lesquels une ou plusieurs sociétés du groupe ne souhaitent pas ou plus entretenir de relation d’affaires ou qui sont mis sous surveillance renforcée, c'est-à-dire avec lesquels l’entrée en relation est possible mais nécessite un suivi particulier.
L’inscription des prescripteurs, intervenants et réalisateurs immobiliers dans ce traitement est effectuée à la suite d’une analyse humaine approfondie de critères objectifs relatifs à la situation du prescripteur, intervenant ou réalisateur immobilier notamment liés à sa situation économique et financière ou à l’existence d’un contentieux. Dès lors, la Commission prend acte de l’absence de prise de décision automatisée conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur la nature des données traitées :
Les catégories de données traitées sont les suivantes :
Identification : nom, prénom, le cas échéant, raison sociale, nom commercial, catégorie juridique, adresse ;
Vie professionnelle : situation professionnelle, activité, fonction, mandat, la date et le motif de fin de la relation ;
L’entité du CIFD ayant procédé à l’inscription, la date de l’inscription, la date de désinscription et le motif résultant d’une nomenclature prédéfinie.
La Commission considère que ces données sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.
Sur la durée de conservation des données :
Les données collectées sont conservées pendant cinq ans à compter de la date d’inscription.
Cette durée de conservation n’appelle pas d’observations de la part de la Commission.
Sur les destinataires des données :
Sont destinataires de ce traitement les personnels habilités de la Direction des risques et du contrôle permanent, de la Direction marketing, les membres du Comité des risques opérationnels et de l’équipe d’audit du Crédit immobilier de France Développement.
Peuvent également prendre connaissance des données collectées : les personnels habilités des Directions générales, Directions filières risques, Directions commerciales, Directions des engagements, Direction du développement et des Directions du recouvrement et du contentieux des filiales du groupe Crédit immobilier de France.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l'information des personnes :
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de la mise en œuvre de ce traitement au moment de l’entrée en relation avec le groupe Crédit immobilier de France, au moment de la survenance de l’incident susceptible d’entraîner l’inscription dans ce traitement et lors de son inscription effective.
Ces modalités d’information des personnes sont satisfaisantes.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès, de rectification et d’opposition s’exercent auprès du service DRCP, du GIE CIF SERVICES, 26-28 rue de Madrid, 75384 Paris cedex 8.
La Commission prend acte de la mise en place d’une procédure de contestation permettant à la personne concernée de faire valoir ses droits. La diffusion des données sera suspendue pendant la durée de la procédure qui, le cas échéant, pourra aboutir à la modification ou à la suppression des informations.
Les autres modalités d’exercice des droits d’accès, de rectification et d’opposition n’appellent pas d’observations de la part de la Commission.
Sur la sécurité des données et la traçabilité des actions :
L’ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés. Les identifiants des connexions sont conservés pendant un an et, le cas échéant, accessibles aux seuls personnels du Crédit immobilier de France Développement.
Les autres mesures de sécurité n’appellent pas d’observations de la part de la Commission.
Dans ces conditions, la Commission autorise le Crédit immobilier de France Développement à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité  de recenser les prescripteurs, intervenants et réalisateurs immobiliers en cessation de relations d’affaires ou mis sous surveillance et d’en informer les filiales du groupe.
La Présidente
Isabelle FALQUE-PIERROTIN