(Demande d’autorisation n° 1934727)
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit Agricole Consumer d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation et à la sélection des risques en matière d’octroi de crédit à la consommation ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique AU 005 relative à certains traitements de données à caractère personnel mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit  ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Crédit Agricole Consumer Finance (CACF).
Sur la finalité
Le traitement de données à caractère personnel soumis par le CACF à l’examen de la Commission doit permettre d’évaluer, sur la base de modèle de score, le risque statistique de défaut de remboursement attaché à chaque demande de crédit à la consommation présentée par un candidat à l’emprunt.
Il permet d’évaluer pour chaque personne présentant une demande de crédit, le risque statistique de défaillance qui lui est attaché et de sélectionner les demandes qui correspondent à un niveau de risque acceptable de défaillance. Il est, en conséquence, susceptible d’exclure, au moins de façon temporaire, une personne du bénéfice d’un contrat en l’absence de dispositions législatives ou réglementaires prévoyant une telle exclusion. Dès lors, il doit faire l’objet d’une autorisation de la Commission conformément aux dispositions de l’article 25, I, 4° de la loi du 6 janvier 1978 modifiée.
Par sa délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique AU-005, la Commission a autorisé les traitements mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique AU-005.
Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l’autorisation unique.
L’analyse des caractéristiques du traitement qui est l’objet de la présente demande fait apparaître plusieurs différences par rapport à l’AU 005 qui, de ce fait, sont soumises à l’examen et à l’autorisation de la CNIL.
Sur les données traitées
La Commission note que les catégories de données prises en compte dans le calcul du score attaché à chaque demande de crédit figurent parmi celles prévues dans l’autorisation unique AU-005, à l’exception des données suivantes :
La Commission prend acte qu’il s’agit d’une donnée facultative et que dans le cas où la personne concernée n’aurait pas communiqué cette information, le calcul de la note de score sera réalisé sur une base n’incluant pas ce critère.
l’ancienneté dans l’emploi du conjoint non co-emprunteur.
le nombre d’heures travaillées sur les 12 derniers mois pour les demandeurs d’un prêt « intérimaires ».
La Commission prend acte qu’il s’agit de prendre en compte  les  risques spécifiques attachés aux demandeurs « intérimaires » afin d’évaluer la régularité dans l’emploi et leur capacité à rembourser un crédit en cas de période d’inactivité.
l’ancienneté dans l’emploi du conjoint non co-emprunteur.
le nombre d’heures travaillées sur les 12 derniers mois pour les demandeurs d’un prêt « intérimaires ».
En outre, les variables prises en compte, s’agissant de la situation du logement seront les suivantes : logé par un tiers, par la famille, locataire, logé par l’employeur, par l’administration, accédant à la propriété ou autre.
Conformément à l’AU 005, aucune des variables n’a, à elle seule, ou en corrélation avec d’autres, un effet d’exclusion absolu ou disqualifiant.
Dans ces conditions, la Commission estime que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le traitement.
Sur les destinataires
Les destinataires sont ceux mentionnés dans l’autorisation unique AU 005.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes sont informées conformément à l’article 32 de la loi du 6 janvier 1978 modifiée par une clause figurant dans le contrat de crédit, une mention d’information figurant sur le formulaire de collecte et sur le site internet de CACF.
Les droits d’accès, de rectification et d’opposition des personnes s’exercent auprès du Crédit Agricole Consumer Finance, 128-130 boulevard Raspail, 75006 Paris.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Les actions effectuées par les personnes accédant au traitement  sont tracées afin de détecter et d’analyser tout accès, modifications et suppressions de données non autorisés.
Les autres mesures de sécurité mises en place n’appellent pas d’observations.
Sur les autres caractéristiques du traitement
La Commission observe que le traitement mis en œuvre n’est qu’un outil d’aide à l’évaluation des risques présentés par les demandeurs de crédit et la sélection des demandes dont le niveau est jugé acceptable. La Commission prend acte qu’en cas de refus, le demandeur sera en mesure de présenter des observations et pourra voir sa situation réexaminée, le cas échéant avec collecte de données complémentaires.
Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
Autorise, conformément à la présente délibération, le Crédit Agricole Consumer à mettre en œuvre le traitement susmentionné.
La présente délibération annule et remplace la délibération n°2012-218 du 5 juillet 2012.
Pour La Présidente
Le Vice-Président délégué,
Marie-France MAZARS