Délibération n° 2018-008 du 18 janvier 2018 autorisant la Caisse d’épargne et de prévoyance île de France à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité le suivi et la gestion du pré contentieux et des contentieux civils, commerciaux et pénaux(Demande d’autorisation n° 1996204)
Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse d’épargne île de France  d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi et la gestion du pré contentieux et des contentieux civils, commerciaux et pénaux ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-3°et 25-I-3°; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Caisse d’épargne île de France, ci-dessous dénommée CEIDF, membre du Groupe BPCE.  
Sur la finalité
Le traitement mis en œuvre vise la gestion du pré-contentieux et des contentieux civils, commerciaux et pénaux dans le cadre des relations de la banque avec ses clients d’une part et ses salariés d’autre part. 
Lorsque les clients se retrouvent en situation de contentieux et n’ont pas remboursé les sommes dues aux échéances prévues, une procédure de recouvrement est engagée. Par ailleurs, certains contentieux de l’agence portent sur des infractions pénales.
La Commission relève que ce traitement concerne plus précisément les sous finalités suivantes :
- la gestion des créances dans le cadre des procédures de recouvrement et de surendettement ;
- la gestion des déchéances de prêts et de comptes qui interviennent dans le cadre de la gestion des prêts voire du recouvrement ;
- la gestion des statuts et des états comptables pour le suivi et la gestion des procédures de recouvrement ;
La qualification et créations d’incidents bâlois ;
- l’état, le pilotage, le reporting et le suivi des procédures ;
- la gestion des risques, des plans d’apurement et de règlement.
La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes. 
Elle considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les catégories de données traitées sont relatives : 
à l’identité des personnes concernées : nom, prénom, adresse, date et lieu de naissance ;
à la vie personnelle : habitude de vie, situation familiale, situation maritale ;
à la situation professionnelle ;
aux informations d’ordre économique et financier : revenus et situation financière taux d’endettement), le  montant exigible, le montant à l’origine, le montant actualisé, le montant de la provision, le numéro de compte, le solde du compte et montant de la garantie ;
aux infractions, condamnations et mesures de sûretés ;
à l’état et au suivi de la procédure ;
aux données de connexion : identifiants des terminaux, identifiant de connexions, information d’horodatage.
Dans sa décision du 29 juillet 2004, le Conseil constitutionnel a déclaré non conforme à la Constitution l’article 9-3° qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement. Pour autant, le Conseil constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ». 
Cette réserve d’interprétation était indispensable pour ne pas priver de base légale les traitements légitimement mis en œuvre pour assurer le suivi des dossiers contentieux relatifs à des infractions. Elle permet à toute personne de constituer, pour les besoins de l’exercice de son droit au recours, des fichiers de pré- contentieux.
La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement sont :
- la direction adjointe recouvrement et contentieux ;
- le département risques ;
- l’organe central de BPCE,
- le RSSI pour les données de connexion ;
- les auxiliaires de justice ; 
- les assureurs (pour les dossiers sur lesquels elles interviennent) ;
- les organismes de caution ;
- les sous-traitants.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention d’information qui figure dans les documents contractuels.
Les droits d’accès et de rectification s’exercent auprès du service relation client à l’adresse suivante : 26/28 rue neuve Tolbiac – CS 91344-75633 PARIS CEDEX 13.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Les actions effectuées par la Direction juridique sont tracées afin de permettre de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés.
Seules ces personnes ont accès au logiciel de suivi et de gestion du pré-contentieux et du contentieux. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la durée de la prescription légale.
La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, Caisse d’épargne île de France  à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS