(Demande d’autorisation n° 1727706)
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit Agricole Consumer Finance d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention du surendettement par la mise en place d’un dispositif de détection précoce des situations de fragilité financière des clients ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L312-1-1 A et L612-31 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Agricole Consumer Finance, ci-dessous dénommé le Crédit Agricole, filiale spécialisée de Crédit Agricole S.A en matière de crédit à la consommation.
Sur la finalité
Dans le cadre de la loi du 26 juillet 2013 de séparation et de régulation des activités bancaires, les nouvelles dispositions de l’article L312-1-1 A du code monétaire et financier, font référence à la charte d’inclusion bancaire et de prévention du surendettement. Cette charge précise que les établissements de crédit et les sociétés de financement s’engagent à mettre en place des mesures permettant de mieux prévenir le surendettement en développant des mécanismes de détection et de traitement précoce des difficultés financières de leurs clients.
En premier lieu, le dispositif doit permettre d’identifier les difficultés financières des clients soit à partir de leur comportement financier, lors du  remboursement du dossier,  soit à l’occasion d’un entretien avec eux.  En second lieu, l’établissement de crédit doit s’engager à nouer des partenariats avec des acteurs tiers (associations ou futurs points Conseils Budget) afin de faciliter l’orientation du client, en accord avec ce dernier.
Le contrôle du respect de la charte est assuré par l’Autorité de contrôle prudentiel et de résolution (ACPR) et relève de la procédure prévue à l’article L.612-31 du code monétaire et financier.
Ce traitement doit permettre de réaliser un accompagnement spécifique des clients du Crédit Agricole rencontrant des difficultés financières, passagères ou durables, les mettant en situation de « fragilité ». Il peut s’agit d’une fragilité structurelle, concernant les clients ayant peu de revenus ou de ressources depuis une longue période, ou conjoncturelle, concernant par exemple les clients dont le budget s’est déséquilibré du fait d’un accident de la vie (chômage, divorce, maladie, décès, etc.) ou en situation de surendettement.
Plus précisément, le service qui repose sur la création d’une plateforme téléphonique nommée « Agence Accompagnement Client » (AAC) permettant d’échanger avec les chargés de clientèle du service, poursuit trois finalités.
Il s’agit, en premier lieu, d’établir un diagnostic de la situation budgétaire du client concerné dans une approche de « reste pour vivre », c’est-à-dire des ressources restantes pour assumer les dépenses essentielles de la vie quotidienne, déduction faite des charges contraintes. A partir de cette analyse, le chargé de clientèle pourra, à son niveau, proposer des actions concrètes en vue d’améliorer la gestion bancaire et budgétaire du client (modification de la date des prélèvements automatiques, pause paiement, consolidation des créances, allongement de durée, etc.).
Ensuite, lorsque la situation du client nécessite une prise en charge plus spécifique. Les chargés de clientèle du service l’oriente vers les partenaires avec lesquels le Crédit Agricole a conclu un accord afin de proposer aux clients des solutions ou des offres adaptées (association Crésus et les « Points passerelles du Groupe CA », il s’agit des associations qui assurent l’accompagnement des clients en difficulté et qui ont été créées par les Caisses Régionales du Crédit Agricole).
La Commission estime que les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Elle considère que l’utilisation du dispositif d’accompagnement bancaire doit demeurer facultative pour les clients et complémentaire des autres dispositifs d’accompagnement social proposés par les organismes sociaux. La Commission relève à cet égard que le Crédit Agricole encourage une démarche volontaire et participative de la part du client, qui reste libre d’avoir recours à ce service d’assistance bancaire.
Aucun traitement de détection systématique et préalable des clients en situation de « fragilité » n’est d’ailleurs mis en œuvre par le Crédit Agricole.
Sur les données traitées
Les données traitées sont collectées directement auprès des personnes concernées, dans le cadre des échanges téléphoniques entre la plateforme et les clients volontaires.
Afin d’établir le diagnostic de la situation budgétaire du client et de lui proposer des actions adaptées, les chargés de clientèle ont uniquement accès aux écrans de gestion des crédits détenus dans le seul groupe CA Consumer Finance et collectent auprès du client les informations nécessaires à l'établissement du bilan, en actualisant les données communiquées antérieurement par le client. Ils n’ont donc pas accès aux relevés de compte du client.
Les catégories de données à caractère personnel collectées sont relatives :
La Commission observe que ces données ont d’ores et déjà été collectées lors de la souscription du contrat de crédit et qu’il s’agit principalement d’une actualisation.
à l’identification du client ;
à ses coordonnées ;
à son logement (locataire, propriétaire)
à sa situation familiale ;
à ses revenus (salaire, primes, revenus fonciers, autres revenus, allocations familiales, pensions alimentaires) ;
aux charges courantes du foyer, au détail des crédits, aux arriérés d’impayés ;
à l’appréciation sur les difficultés sociales des personnes (charges et revenus actuels, le cas échéant une prévision des charges et revenus futurs).
Dès lors, la Commission considère que la collecte de ces données est proportionnée à la finalité poursuivie.
La Commission rappelle toutefois la nécessité de minimiser la collecte de données  afin de ne recueillir que les informations strictement nécessaires à l’appréciation de la situation financière de la personne et son orientation vers les acteurs sociaux.
Elle observe que les données contenues dans des zones « commentaires » ne comportent aucune appréciation subjective et ne font en aucun cas apparaître directement ou indirectement des données relatives aux origines raciales, aux opinions politiques, philosophiques ou religieuses ou aux appartenances syndicales, ou qui sont relatives à la santé ou à la vie sexuelle.
Sur les destinataires
Les destinataires des informations sont, dans la limite de leurs attributions, les seuls agents de la AAC, formés spécifiquement et soumis à une obligation renforcée de confidentialité. Aucun autre service ou filiale du Crédit Agricole ne sera destinataire des données recueillies dans le cadre de l’accompagnement proposé.
Seront également destinataires des seules données relatives à l’identification et aux coordonnées des clients ayant accepté d’être suivis par les partenaires du Crédit Agricole, l’association CRESUS, reconnue mission d’utilité publique et engagée depuis de nombreuses années dans l’accompagnement, la prévention du risque de surendettement et d’exclusion financière des ménages en France, les « Points passerelles du Groupe Crédit Agricole » qui sont les associations qui assurent l’accompagnement des clients en difficultés, et les prestataires.
La communication d’informations à ces organismes par le Crédit Agricole nécessite au préalable la levée du secret bancaire. La banque envisage de recueillir l’accord de la personne par courrier.
La Commission prend acte que des conventions de partenariat seront signées avec ces partenaires, afin de déterminer les modalités précises de collaboration et d’orientation des clients du Crédit Agricole.
La Commission considère que ces destinataires, qui sont en nombre limité, ont un intérêt légitime à connaître de ces données.
Sur l’information et le droit d’accès
Les clients du Crédit Agricole sont informés de la communication des informations budgétaires personnelles par CRESUS dans un formulaire d’autorisation qu’ils signent pour matérialiser leur consentement. Ils reçoivent également un courrier personnalisé.
L’entretien téléphonique de diagnostic avec le client de Crédit Agricole est fixé par l'Agence AC pour l’association CRESUS et directement par les collaborateurs des Points Passerelle dans les autres cas.
L’entretien est personnalisé avec le client qui a signé le contrat de crédit. Ainsi, le Crédit Agricole ne collecte pas de données concernant des tiers.
Les personnes sont également informées des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition, qu’ils pourront exercer à tout moment, directement auprès du service conformité : rue du bois sauvage – 91038 EVRY CEDEX.
Les clients orientés vers les partenaires du Crédit Agricole (Crésus et les « Points relais ») devront préalablement donner leur consentement exprès pour la transmission de leur coordonnées afin d’être mis en contact avec ces organismes. Le consentement du client est matérialisé par la signature de la charte d’accompagnement de CRESUS qui précise qu’il accepte la proposition d’accompagnement. La Commission rappelle qu’il s’agit d’accompagnement spécifique pour les clients du Crédit Agricole rencontrant des difficultés financières et ayant accepté cette prise en charge.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée. Les modalités d’exercice des droits des personnes n’appellent pas d’observation de sa part.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre.
Le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, et qu’ils contiennent au moins un chiffre, une minuscule et une majuscule.
Les mots de passe sont obligatoirement changés après leur réinitialisation.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.
Les postes de travail disposent d'un pare-feu logiciel.
Les postes de travail disposent d'un logiciel antivirus mis à jour régulièrement.
Des sauvegardes quotidiennes sont réalisées.
Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement sécurisé.
Une journalisation des connexions à l’application est réalisée.
Les services web sont sécurisés au moyen du protocole SSL.
Une clause spécifique couvre les interventions des sous-traitants en matière d'accès aux données personnelles.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant une durée maximale de 5 ans et sont ensuite supprimées. Cette durée correspond notamment à celle prévue en matière d’incidents de remboursement des crédits aux particuliers (article L 333-4 et suivants du code de la consommation).
La Commission considère qu’elle est conforme aux dispositions de l’article 6-4° de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, le Crédit Agricole Consumer Finance, à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN