Délibération n° 2016-169 du 26 mai 2016 autorisant la BNP Paribas Paris à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation du risque de crédit présenté par les clients au moyen d'un système de notation interne et la définition du niveau de fonds propres réglementaires.
Nature: Autre autorisation

(Demande d’autorisation n° 1797246)
La Commission nationale de l'informatique et des libertés,
Saisie par la BNP Paribas Paris d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation du risque de crédit présenté par les clients au moyen d'un système de notation interne et la définition du niveau de fonds propres réglementaires ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La BNP Paribas Paris, ci-après désignée la « BNP », a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation d’un traitement de données à caractère personnel visant à évaluer le risque statistique de défaillance de ses clients au moyen d’un système de notation interne.
Sur la finalité
Le traitement s'inscrit dans le cadre du dispositif prudentiel de BNP Paribas SA en France, conformément aux dispositions de l'arrêté du 20 février 2007 susvisées et aux recommandations de l'Autorisation de contrôle prudentiel et de résolution (ACPR), et plus généralement aux accords de Bâle II et à la législation européenne sur les fonds propres réglementaires des banques.
Ces dispositions ont pour objectif de mieux adapter les exigences de fonds propres aux risques encourus et de promouvoir la gestion des risques au sein des établissements financiers afin de :
• maintenir la stabilité financière ;
• préserver la confiance dans les institutions financières ;
• protéger les consommateurs.
Chaque client ayant souscrit un crédit auprès de BNP  fait l’objet d’une note dite « bâloise ». Cette notation est susceptible d’être prise en compte en tant qu’élément permettant d’apprécier la probabilité statistique de défaut. 
Cette notation, qui évalue le risque statistique de défaillance du demandeur s'il souscrit un contrat de crédit, est susceptible d'être prise en compte pour apprécier la solvabilité de l'emprunteur, notamment à l'occasion d'une nouvelle demande de crédit, et par conséquent contribuera à la prise de décision d'accepter ou de refuser le crédit demandé. La note « bâloise » est un élément permettant de pondérer la note de score relatif au processus d'aide à la décision en matière d'octroi de crédit et de prévention des risques d'impayés. 
L’existence d’une cotation défavorable peut, dans certains cas, conduire à une décision de refus d’octroi de crédit.
Dès lors, ce traitement peut, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition législative ou réglementaire prévoyant une telle exclusion. De ce fait, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Le traitement automatisé mis en œuvre par BNP  a pour finalités :
de définir un niveau de fonds propres réglementaires ;
d’évaluer le risque de défaillance présenté par les clients au moyen d'un système de notation interne.
d’évaluer pour chaque client (personne physique) le risque de crédit qu’il présente sous la forme d’une note et d’affecter chaque exposition ou chaque client ou exposition à une classe de risque homogène ;
d’élaborer, de vérifier périodiquement et d’actualiser les modèles statistiques utilisés pour mesurer le risque de crédit des personnes physiques dans le cadre de l’application, à la clientèle de détail et de professionnels, du dispositif de notation interne des risques de crédit.
le calcul des fonds propres réglementaires pour BNP ;
l'évaluation du risque de défaillance des clients : risque statistique de probabilité de défaut des emprunteurs afin de prévenir le risque d'impayés et les situations de surendettement ;
l’aide à la décision en matière d’octroi de crédit et d’augmentation de découvert ;
la mesure du niveau de contrôle du dossier en appréciant s'il convient, ou non, de demander des pièces justificatives complémentaires en vue de la prise de décision ;
la détermination du niveau de délégation requis pour la prise de décision : selon le niveau de risque associé à la demande de crédit, la validation par un responsable de niveau hiérarchique plus élevé peut être requise ;
l’apport une aide à la décision en acceptant ou en refusant une augmentation du crédit demandée par un emprunteur titulaire d'un crédit souscrit auprès de BNP ou d'une augmentation de découvert maximum autorisé ;
la détermination de la tarification applicable et rationaliser l'envoi des offres commerciales afin d’éviter d’envoyer une sollicitation commerciale à un client présentant un risque de défaillance.
La définition du niveau de fonds propres réglementaires correspond au niveau d’exposition. Il permet ainsi : 
de définir un niveau de fonds propres réglementaires ;
d’évaluer le risque de défaillance présenté par les clients au moyen d'un système de notation interne.
d’évaluer pour chaque client (personne physique) le risque de crédit qu’il présente sous la forme d’une note et d’affecter chaque exposition ou chaque client ou exposition à une classe de risque homogène ;
d’élaborer, de vérifier périodiquement et d’actualiser les modèles statistiques utilisés pour mesurer le risque de crédit des personnes physiques dans le cadre de l’application, à la clientèle de détail et de professionnels, du dispositif de notation interne des risques de crédit.
le calcul des fonds propres réglementaires pour BNP ;
l'évaluation du risque de défaillance des clients : risque statistique de probabilité de défaut des emprunteurs afin de prévenir le risque d'impayés et les situations de surendettement ;
l’aide à la décision en matière d’octroi de crédit et d’augmentation de découvert ;
la mesure du niveau de contrôle du dossier en appréciant s'il convient, ou non, de demander des pièces justificatives complémentaires en vue de la prise de décision ;
la détermination du niveau de délégation requis pour la prise de décision : selon le niveau de risque associé à la demande de crédit, la validation par un responsable de niveau hiérarchique plus élevé peut être requise ;
l’apport une aide à la décision en acceptant ou en refusant une augmentation du crédit demandée par un emprunteur titulaire d'un crédit souscrit auprès de BNP ou d'une augmentation de découvert maximum autorisé ;
la détermination de la tarification applicable et rationaliser l'envoi des offres commerciales afin d’éviter d’envoyer une sollicitation commerciale à un client présentant un risque de défaillance.
Il permet, en second lieu, de calculer un indicateur utilisé pour les opérations de gestion des dossiers de prêts, et intervient pour des décisions d’octroi des dossiers de prêts en fonction du niveau de risque de défaillance associé au client.
Les personnes concernées par le traitement sont exclusivement des emprunteurs, clients de BNP.
Le système de notation interne des risques de crédit repose sur une évaluation statistique de la probabilité de défaut des débiteurs et du montant des pertes en résultant. Il doit tenir compte des caractéristiques pertinentes du risque attachées à l’emprunteur et à la transaction, dont l’établissement a connaissance.
Les notes d’évaluation du risque sont mises à jour mensuellement et utilisés pour :
de définir un niveau de fonds propres réglementaires ;
d’évaluer le risque de défaillance présenté par les clients au moyen d'un système de notation interne.
d’évaluer pour chaque client (personne physique) le risque de crédit qu’il présente sous la forme d’une note et d’affecter chaque exposition ou chaque client ou exposition à une classe de risque homogène ;
d’élaborer, de vérifier périodiquement et d’actualiser les modèles statistiques utilisés pour mesurer le risque de crédit des personnes physiques dans le cadre de l’application, à la clientèle de détail et de professionnels, du dispositif de notation interne des risques de crédit.
le calcul des fonds propres réglementaires pour BNP ;
l'évaluation du risque de défaillance des clients : risque statistique de probabilité de défaut des emprunteurs afin de prévenir le risque d'impayés et les situations de surendettement ;
l’aide à la décision en matière d’octroi de crédit et d’augmentation de découvert ;
la mesure du niveau de contrôle du dossier en appréciant s'il convient, ou non, de demander des pièces justificatives complémentaires en vue de la prise de décision ;
la détermination du niveau de délégation requis pour la prise de décision : selon le niveau de risque associé à la demande de crédit, la validation par un responsable de niveau hiérarchique plus élevé peut être requise ;
l’apport une aide à la décision en acceptant ou en refusant une augmentation du crédit demandée par un emprunteur titulaire d'un crédit souscrit auprès de BNP ou d'une augmentation de découvert maximum autorisé ;
la détermination de la tarification applicable et rationaliser l'envoi des offres commerciales afin d’éviter d’envoyer une sollicitation commerciale à un client présentant un risque de défaillance.
BNP s'assure de la convergence des données issues des traitements comptables et des données issues des traitements prudentiels relatives à l'encours, en vue de provisionner le bon niveau de fonds propres via un rapprochement « Comptabilité/Risques ». En effet, le calcul du niveau de fonds propres fait intervenir aussi bien des normes comptables que des normes prudentielles, qui peuvent présenter des différences de traitement. D'où la nécessité de contrôler la cohérence de ces données en rapprochant les déclarations « comptables » et les déclarations « risques ». Dans le cadre de ce contrôle, seules des informations prudentielles relatives à la notation de l'encours sous une forme non nominative, sont transmises à la fonction Finance de BNP Paribas.
La Commission prend acte que, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, une décision défavorable en matière d’octroi de crédit ne peut être prise après consultation du résultat du score sans que le débiteur ait été informé de son droit à présenter des observations sur sa situation bancaire et financière.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données prises en compte pour l’élaboration des notes d’évaluation du risque concernent :
la situation personnelle de l’emprunteur : âge, nom, prénom, date et lieu de naissance ;
la situation professionnelle : la catégorie socioprofessionnelle pour les particuliers, le secteur d’activité et l’ancienneté dans l’entreprise ;
la situation du logement : locataire, propriétaire ;
la situation économique et financière : ancienneté bancaire, situation de surendettement, nombre de crédits en cours.
Les données relatives au nom, prénom, date et lieu de naissance, et numéro de compte ne sont pas utilisées pour le calcul de la cotation mais pour identifier au sein de la base client la personne physique à qui est attribuée la note. 
Aucune variable ne reçoit une pondération telle qu’elle puisse à elle seule avoir un effet d’exclusion absolue ou disqualifiant. 
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
L'accès aux données nécessaires à l'estimation statistique du risque de crédit et au calcul des fonds propres est réservé aux collaborateurs spécifiquement habilités :
de la fonction Risques chargée d'élaborer les modèles de notation interne, de les implémenter et de les actualiser ;
de la fonction Finance dans le cadre du RCR ;
du contrôle interne, chargé notamment de vérifier la conformité du dispositif de notation interne de BNP aux exigences réglementaires dites « Bâle Il ».
dans le cas de l'hypothèse où un écart entre les données comptables et les données risques est constaté, seuls les collaborateurs de la fonction Risques spécifiquement habilités ont accès à l'outil de gestion afin de vérifier le dossier du client. Tout écart entre les données comptables et les données risques constaté doit en effet être documenté et justifié dans le cadre des obligations de reporting comptable et prudentiel de BNP Paribas SA auprès de l'ACPR.
Dans le cadre des missions d’audit des collaborateurs du contrôle interne.
Il est impossible pour un collaborateur de BNP Paribas d'identifier directement une personne physique au moyen des données traitées dans le cadre du traitement, à l'exception de deux cas particuliers :
de la fonction Risques chargée d'élaborer les modèles de notation interne, de les implémenter et de les actualiser ;
de la fonction Finance dans le cadre du RCR ;
du contrôle interne, chargé notamment de vérifier la conformité du dispositif de notation interne de BNP aux exigences réglementaires dites « Bâle Il ».
dans le cas de l'hypothèse où un écart entre les données comptables et les données risques est constaté, seuls les collaborateurs de la fonction Risques spécifiquement habilités ont accès à l'outil de gestion afin de vérifier le dossier du client. Tout écart entre les données comptables et les données risques constaté doit en effet être documenté et justifié dans le cadre des obligations de reporting comptable et prudentiel de BNP Paribas SA auprès de l'ACPR.
Dans le cadre des missions d’audit des collaborateurs du contrôle interne.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, chaque client est informé lors de la collecte des données, notamment au moment de l’entrée en relation contractuelle :
de la mise en place d’un système de notation interne des risques de crédit ;
des droits qui lui sont reconnus par la loi susvisée, notamment le droit d’obtenir une copie des informations enregistrées dans les fichiers, ainsi que leur origine ;
 de son droit de solliciter un entretien afin de présenter ses observations en cas de refus d'octroi d'un crédit par le prêteur.
Les droits d’accès et de rectification s’exercent auprès du Service relations clientèle, à l’adresse suivante : BNP Paribas, APAC TDC Val de Marne, TSA 30233, 94729 Fontenay-sous-Bois cedex. 
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Des mesures sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracés.Les mesures de sécurité envisagées n’appellent pas d’observations particulières ; la Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur les autres caractéristiques du traitement
La cotation est conservée de manière non nominative dans le cadre du calcul réglementaire des fonds propres. Les cotations successives sont conservées tant qu’un dossier de crédit est actif.Lorsque le client ne présente plus de risque de crédit, soit parce qu’il ne détient plus que de crédits actifs, soit parce que la relation bancaire est  terminée, la cotation est supprimée de l’outil et archivée pendant 24 mois.La Commission observe qu’il n’existe pas de calcul consolidé ni de mutualisation des données au niveau du groupe.Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, BNP Paribas Paris à mettre en œuvre le traitement susmentionné.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS