(Demande d’autorisation n° 1710461)
La Commission nationale de l'informatique et des libertés,
Saisie par LEASECOM d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude dans le cadre d’une demande de financement locatif ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu la loi n°78-753 du 17 juillet 1978 portant diverses mesures d'amélioration des relations entre l'administration et le public et diverses dispositions d'ordre administratif, social et fiscal, notamment son article 6 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société LEASCOM est une filiale du Crédit Mutuel ARKEA. Elle propose des solutions de location financière longue durée pour l’équipement d’un bien ou des solutions de services intégrés adaptées aux besoins des entreprises (ex : informatique, bureautique, télécoms etc.).
Sur la finalité
Le traitement mis en œuvre a pour objectif de détecter une fraude commise par une entreprise qui a fait une demande de financement locatif.
LEASECOM utilise une solution décisionnelle développée par la société Experian. Le module utilisé permet d’étudier toutes les demandes de financement émanant des entreprises pour en déterminer un score de suspicion de fraude. La note de score permet d’instruire une décision de financement locatif.
Le fonctionnement du module est le suivant. Il existe une pondération qui correspond à une liste de critères ou d’évènements pouvant conduire à une suspicion de fraude. Les critères sont déterminés à partir des cas de fraudes avérées dont la société a été victime. La somme des coefficients des critères est ensuite calculée par le module qui déclenche une alerte lorsque le résultat est supérieur ou égale à un score prédéterminé.
Lorsqu’une alerte est générée la demande de financement est bloquée. Le service des engagements procède alors à une analyse manuelle du dossier de demande de financement émanant de la société suspectée de fraude.
Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
Si le risque est avéré et l’alerte confirmée, un refus est alors opposé à la société cliente. En revanche et si le risque n’est pas significatif, la demande de financement est acceptée.
Ce traitement peut ainsi, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale ou réglementaire prévoyant une telle exclusion.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée en 2004 et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données analysées sont relatives :
- à l’identification du dirigeant : nom, prénom, date de naissance, numéro SIREN ;
- aux informations d’ordre économique et financier : revenus, situation financière (liasse fiscale de l’entreprise).
Les données utilisées pour la détermination des critères ou évènements sont les suivantes :
- données juridiques et d’identités relatives à la gérance et à la structure sociale,
- secteurs d’activité,
- montant d’investissement,
- origine de l’affaire,
- informations relatives au distributeur.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes habilitées sont celles du service des engagements et le responsable de ce service en charge d’étudier la validité de la demande de financement.
Ces destinataires n'appellent pas d'observations particulières de la part de la Commission.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention légale d’information qui figure dans les conditions générales de location ainsi que sur le site internet de la société.
Cette mention rappelle notamment que les droits d’accès et de rectification s’exercent auprès du service Contrôle permanent et conformité à l’adresse suivante : LEASECOM – CIL local - 75015 Quai André Citroën Paris Cedex 15 ou par courriel à l'adresse ld.cil.local@leasecom.fr
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. Le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial.
Les postes de travail disposent d'un pare-feu logiciel et d'un logiciel antivirus mis à jour régulièrement.
Le réseau de l’entreprise fait l’objet de mesures de filtrage ayant pour but de restreindre l’émission et la réception des flux réseaux aux machines identifiées et autorisées.
Des sauvegardes régulières sont réalisées, elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité.
Seuls les accès à l’application sont journalisés, ce qui est acceptable compte tenu du nombre très réduit de personnes ayant accès au traitement.
Des alarmes sont installées et leur fonctionnement est testé régulièrement.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission relève que les motifs de refus pour cause de suspicion de fraude sont enregistrés sur le CRM et liés au numéro SIREN.
Le motif est conservé pour établi des statistiques sur le nombre de demandes de financement par an, le taux de concrétisation et la répartition des refus par motif.
La Commission observe que les données relatives au nom, à la date de naissance du dirigeant et à la réponse générée par le score en cas de fraude avérée « réserve sérieuse sur l’entreprise » est de 5 ans que la demande de financement soit ou non acceptée. Passé ce délai les données sont supprimées.
La Commission relève que les données utilisées pour la détermination des critères ou évènements sont détruites dès lors que les critères et évènements sont déterminés.
Enfin, les données relatives à l’identification du dirigeant sont conservées de manière anonyme pour l’élaboration de statistiques.
La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, LEASECOM à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN