La Commission nationale de l'informatique et des libertés,
 Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment l'article 25 (I, 4°) ;
 Vu le code monétaire et financier, notamment ses articles L. 311-1, L. 313-1 et L. 511-1 ;
 Après avoir entendu M. Philippe Nogrix, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,
 Formule les observations suivantes :
 Les établissements de crédit recourent fréquemment, en matière d'octroi de crédit, à des traitements automatisés d'aide à la décision qui s'appuient sur des modèles de score.
 L'objectif de ces modèles est d'identifier les caractéristiques personnelles des clients qui paraissent différencier le mieux la population des emprunteurs défaillants de ceux qui ne font pas défaut. Les établissements de crédit les construisent sur la base de techniques statistiques, à partir des données relatives aux contrats de crédit qu'ils ont précédemment conclus, des caractéristiques personnelles des emprunteurs et des défauts de remboursement constatés.
 Ces traitements automatisés de données à caractère personnel ont pour objet, d'une part, d'évaluer, pour chaque personne qui présente une demande de crédit ou souhaite disposer d'un moyen de paiement adossé à un contrat de crédit, le risque statistique de défaillance qui lui est attaché et, d'autre part, de sélectionner les demandes qui correspondent à un niveau de risque de défaillance jugé satisfaisant. Ils sont, par voie de conséquence, susceptibles d'exclure, au moins de façon temporaire, une personne du bénéfice d'un contrat de crédit là où aucun texte législatif ou réglementaire ne prévoit une telle exclusion.
 Dès lors, ces traitements automatisés relèvent du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doivent, à ce titre, être autorisés par la CNIL.
 En vertu du II de l'article 25 de la loi du 6 janvier 1978, la commission peut autoriser par une décision unique une catégorie de traitements répondant aux mêmes finalités, portant sur des catégories de données identiques et ayant les mêmes catégories de destinataires. Il en résulte que le responsable d'un traitement conforme à cette décision unique d'autorisation pourra déclarer son traitement en adressant à la commission un engagement de conformité par lequel il s'engage à respecter les termes de la décision de la CNIL.
 Décide que les établissements de crédit qui souhaiteront se référer à la présente décision et adresseront, à cette fin, à la commission une déclaration comportant un engagement de conformité pour leurs traitements qui répondent strictement aux conditions fixées dans la présente décision unique seront autorisés à mettre en oeuvre ces traitements.
Le président,
A. Türk