Délibération n° 2016-182 du 16 juin 2016 autorisant la Banque populaire Côte d’Azur à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la détection des clients en situation de fragilité financière afin de leur proposer des mesures d'accompagnement adaptées.
Nature: Autre autorisation

(Demande d’autorisation n° 1959647)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque populaire Côte d’Azur d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection des clients en situation de fragilité financière afin de leur proposer des mesures d'accompagnement adaptées ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le code monétaire et financier et notamment son article L.312-1-1 A, créé par la loi n°2013-672 du 26 juillet 2013 de séparation et de régulation des activités bancaires ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 5 novembre 2014 portant homologation de la charte d'inclusion bancaire et de prévention du surendettement ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
Responsable du traitement
Banque populaire Côte d’Azur.
Sur la finalité
La Banque populaire Côte d’Azur souhaite mettre en place un mécanisme de détection précoce de ses clients en situation de fragilité financière en combinant les dispositifs d’alertes internes et de connaissance client. 
Le dispositif envisagé permet d’identifier les difficultés financières des clients au regard de l’utilisation des produits et des services qu’ils ont souscrits et sur la base des critères suivants :
Il s’agit d’une part de critères relatifs au profil : 
les clients majeurs  à l’exception de ceux qui font l’objet d’une gestion patrimoniale ;
qui ne sont pas en situation de surendettement connue et déclarée ;
qui sont titulaires ou co-titulaires d’un compte chèque et d’un prêt personnel.
la détention d’un découvert autorisé ;
le statut résidentiel (propriétaire, logé à titre gratuit, locataire, non connu) ;
l’existence de frais de rejet et de commissions d’intervention sur le trimestre ;
l’utilisation d’un  crédit renouvelable ;
la surface financière (total des avoirs du client en moyenne sur 3 mois) ;
le rapport entre le montant de l’échéance mensuelle et le capital total emprunté du prêt personnel ;
l’existence  d’impayés sur crédit sur 2 mois consécutifs ou plus au cours des 6 derniers mois.
Et d’autre part, de critères liés à l’utilisation des produits et des services et au comportement financier des clients :
les clients majeurs  à l’exception de ceux qui font l’objet d’une gestion patrimoniale ;
qui ne sont pas en situation de surendettement connue et déclarée ;
qui sont titulaires ou co-titulaires d’un compte chèque et d’un prêt personnel.
la détention d’un découvert autorisé ;
le statut résidentiel (propriétaire, logé à titre gratuit, locataire, non connu) ;
l’existence de frais de rejet et de commissions d’intervention sur le trimestre ;
l’utilisation d’un  crédit renouvelable ;
la surface financière (total des avoirs du client en moyenne sur 3 mois) ;
le rapport entre le montant de l’échéance mensuelle et le capital total emprunté du prêt personnel ;
l’existence  d’impayés sur crédit sur 2 mois consécutifs ou plus au cours des 6 derniers mois.
A partir de ces critères, les clients qui seront identifiés comme susceptibles d’être en situation de fragilité financière, recevront un courrier leur proposant de rencontrer leur conseiller afin de faire le point sur leur situation financière. 
Il s’agit d’un entretien facultatif à la demande du client qui consiste d’une part, à identifier les éventuelles difficultés financières et leurs causes et d’autre part, à vérifier si l’équipement est adapté à la situation du client afin de lui proposer des solutions de paiement, de gestion du compte ou du crédit adaptés.
En outre, si sa situation l’exige, le client peut être orienté avec son consentement vers les organismes gestionnaires de prestations sociales : les collectivités locales, les institutions ayant une mission de service public ou des associations caritatives jouant le rôle de médiation sociale. 
Il s’agit ainsi de favoriser l’accès d’une part, aux droits et prestations auxquels les personnes peuvent prétendre, et d’autre part, aux  acteurs du milieu associatif spécialisés dans l’accompagnement des personnes en difficultés afin de proposer aux clients des solutions ou des offres adaptées.
Ces différents acteurs prennent en charge le client selon leur processus interne de traitement de situation de « mal endettement » ou de surendettement. Tous les échanges ultérieurs entre le client et les partenaires relèvent de leur seule responsabilité et ne sont pas communiqués à la Banque populaire Côte d’Azur. Ainsi, le service proposé par la banque ne se substitue en aucun cas à l’accompagnement des acteurs sociaux mais intervient en amont et en complément d’un accompagnement social. 
La Commission observe que les clients détectés, mais qui ne se manifesteraient pas suite à la réception de la proposition de prise de contact, ne font l’objet d’aucune autre action,  ni limitation dans l’usage des produits et services précédemment souscrits, ou dans ceux qu’ils envisageraient de souscrire ultérieurement. 
La Commission estime que les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Le dispositif vise en conséquence uniquement à détecter, prévenir et accompagner les clients potentiellement en difficultés.
Par conséquent, le traitement envisagé est susceptible de comporter des appréciations sur les difficultés sociales des personnes concernées. Dès lors, il relève des dispositions du 7° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et sa mise en œuvre doit, à ce titre, être autorisée par la CNIL.
Sur les données traitées
Les catégories de données à caractère personnel collectées sont relatives à :
l’identification du client ;
ses coordonnées ;
son logement (locataire, propriétaire) ;
sa situation familiale ;
sa situation professionnelle ;
ses revenus et situation financière (découvert autorisé, frais de rejet, utilisation crédit renouvelable, surface financière, impayés) ;
ses charges et revenus actuels et le cas échéant aux prévisions d’évolution future.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au sens de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Les données sont conservées pendant une durée maximale de 5 ans et sont ensuite supprimées. Cette durée correspond notamment à celle prévue en matière d’incidents de remboursement des crédits aux particuliers (article L 333-4 et suivants du code de la consommation).
Dès lors, la Commission considère qu’elle est conforme aux dispositions de l’article 6-4° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des informations sont, dans la limite de leurs attributions, les conseillers clientèle de la Banque populaire Côte d’Azur, la structure dédiée dénommée, Qualité Relation Client (QRC), ainsi que Natixis Financement et CASDEN (Groupe BPOC), pour les clients communs.Les acteurs du milieu associatif seront également destinataires des données relatives à l’identification des clients, à la vie personnelle et professionnelle dès lors que le client aura donné son consentement.La Commission relève que les informations d’ordre économique et financier ne seront en aucun cas transmises à un tiers externe à la banque.La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition dans les conditions contractuelles de la convention de compte.La mention d’information qui y figure rappelle notamment que les droits d’accès et de rectification s’exercent auprès du service marketing de la Banque populaire Côte d’Azur à l’adresse suivante : 457, Promenade des Anglais - BP241 NICE CEDEX 3  ou par courrier électronique à l’adresse suivante : balbpcazmarketing@bpca.fr.Les clients orientés vers les acteurs du milieu associatif devront préalablement donner leur consentement exprès pour la transmission de leurs coordonnées, afin d’être mis en contact. La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
La continuité d’activité est assurée grâce à des sauvegardes effectuées quotidiennement. Une autre sauvegarde hebdomadaire est effectuée. Les étapes de développement et de maintenance font l’objet de mesures de sécurité visant à garantir la confidentialité des données. La sécurité physique des postes prenant part au traitement ainsi que du système d’archivage est correctement assurée.Concernant l’authentification des utilisateurs du système, la Commission prend acte que le responsable de traitement s’engage à mettre en place une politique de mots de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, comprenant au moins trois des quatre types (minuscules, majuscules, chiffres, caractères spéciaux).Les opérations de consultation font l’objet d’une journalisation afin d’en assurer la traçabilité et l’identifiant de l’opérateur ayant traité un dossier est associé à ce dernier.La Commission constate que la sécurité logique des postes prenant part au traitement est assurée au moyen d’antivirus et d’un système de détection d’intrusion. Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission relève que les informations pouvant être recueillies lors de l’entretien ne pourront porter que sur des éléments objectifs liés aux difficultés financières du client (revenus, charges actuelles ou futures…).La Commission rappelle que les informations concernant les clients et relatives à la vie personnelle et professionnelle, communiquées par la Banque populaire Côte d’Azur aux autres organismes nécessite au préalable la levée du secret bancaire, avec le recueil du consentement de la personne. 
Autorise, conformément à la présente délibération, la Banque populaire Côte d’Azur à mettre en œuvre le traitement susmentionné.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS