Délibération n° 2017-278 du 26 octobre 2017 autorisant la banque MARZE à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la détection des clients en situation de fragilité financière afin de leur proposer des mesures d'accompagnement adaptées(Demande d’autorisation n° 2008731)
Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
Saisie par la banque MARZE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection des clients en situation de fragilité financière afin de leur proposer des mesures d'accompagnement adaptées ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier et notamment son article L.312-1-1 A, créé par la loi n°2013-672 du 26 juillet 2013 de séparation et de régulation des activités bancaires ;
 Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 5 novembre 2014 portant homologation de la charte d'inclusion bancaire et de prévention du surendettement ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La banque MARZE, établissement du Groupe BPCE.
Sur la finalité
La banque MARZE souhaite mettre en place un mécanisme de détection précoce de ses clients en situation de fragilité financière en combinant les dispositifs d’alertes internes et de connaissance client. 
Le dispositif envisagé permet d’identifier les difficultés financières des clients au regard de l’utilisation des produits et des services qu’ils ont souscrits et sur la base des critères tenant compte des profils des clients et de leur comportement financier.
La détection des clients potentiellement concernés nécessite de mettre en place un ciblage préalable destiné à l’envoi d’une prise de contact. Les critères sont les suivants :
- profil de clientèle : l’ensemble des clients, à l’exception des relations bancaires gestion patrimoniale ou « clients patrimoniaux », qui sont titulaires ou co titulaires d’un compte de dépôt et d’un prêt personnel, qui ne se trouvent pas en situation de surendettement connue et déclarée à la date de traitement.
Sur les variables liées à l’utilisation des produits et des services et au comportement financier des clients :
- la détention d’un découvert autorisé ;
- l’existence du nombre d’incidents de paiement sur le trimestre ;
- l’utilisation d’un crédit renouvelable ;
- l’existence d’impayés sur crédit sur 2 mois consécutifs.
A partir de ces critères, les clients qui seront identifiés comme susceptibles d’être en situation de fragilité financière, recevront un courrier leur proposant de rencontrer leur conseiller afin de faire le point sur leur situation financière. 
Il s’agit d’un entretien facultatif à la demande du client qui consiste d’une part, à identifier les éventuelles difficultés financières et leurs causes et d’autre part, à vérifier si l’équipement est adapté à la situation du client afin de lui proposer des solutions de paiement, de gestion du compte ou du crédit adaptés.
En outre, et si sa situation l’exige, le client peut être orienté avec son consentement vers les acteurs du secteur social que sont les organismes gestionnaires de prestations sociales : les collectivités locales, les institutions ayant une mission de service public ou des associations caritatives jouant le rôle de médiation sociale. 
Il s’agit ainsi de favoriser l’accès d’une part, aux droits et prestations auxquels les personnes peuvent prétendre, et d’autre part, aux  acteurs du milieu associatif spécialisés dans l’accompagnement des personnes en difficultés afin de proposer aux clients des solutions ou des offres adaptées.
Ces différents acteurs prennent en charge le client selon leur processus interne de traitement de situation de « mal endettement » ou de surendettement. Tous les échanges ultérieurs entre le client et les partenaires relèvent de leur seule responsabilité et ne sont pas communiqués à la banque MARZE. Ainsi, le service proposé par la banque ne se substitue en aucun cas à l’accompagnement des acteurs sociaux mais intervient en amont et en complément d’un accompagnement social. 
La Commission observe que les clients détectés, mais qui ne se manifesteraient pas suite à la réception de la proposition de prise de contact, ne font l’objet d’aucune autre action,  ni limitation dans l’usage des produits et services précédemment souscrits, ou dans ceux qu’ils envisageraient de souscrire ultérieurement. 
La Commission estime que les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Le dispositif vise en conséquence uniquement à détecter, prévenir et accompagner les clients potentiellement en difficultés.
Par conséquent, le traitement envisagé est susceptible de comporter des appréciations sur les difficultés sociales des personnes concernées. Dès lors, il relève des dispositions du 7° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et sa mise en œuvre doit, à ce titre, être autorisée par la CNIL.
Sur les données traitées
Les catégories de données à caractère personnel collectées sont relatives :
- à l’identification du client ;
- à ses coordonnées ;
- à son logement (propriétaire, locataire, hébergé à titre gratuit) ;
- à sa situation familiale ;
- à sa situation professionnelle ;
- à ses revenus et situation financière (découvert autorisé, frais de rejet, utilisation crédit renouvelable, surface financière) ;
- les charges et revenus actuels et le cas échéant les prévisions d’évolution future.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au sens de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Les données sont conservées pendant une durée maximale de 5 ans et sont ensuite supprimées. Cette durée correspond notamment à celle prévue en matière d’incidents de remboursement des crédits aux particuliers (article L 333-4 et suivants du code de la consommation).
Dès lors, la Commission considère qu’elle est conforme aux dispositions de l’article 6-4° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des informations sont, dans la limite de leurs attributions, les conseillers clientèle de la banque MARZE, les personnes habilitées de la direction des systèmes d’information, le service « douteux » au sein de la direction des engagements, les agences ainsi que l’association en charge de l’accompagnement des personnes en fragilité financière.
Les acteurs du milieu associatif seront également destinataires des données relatives à l’identification des clients, à la vie personnelle et professionnelle dès lors que le client aura donné son consentement.
La Commission relève que les informations d’ordre économique et financier ne seront en aucun cas transmises à un tiers externe à la banque.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition dans les conditions contractuelles de la convention de compte.
La mention d’information qui y figure rappelle notamment que les droits d’accès et de rectification s’exercent auprès de la banque MARZE à l’adresse suivante 8 avenue Roqua BP 76-07200 AUBENAS.
Les clients orientés vers les acteurs du milieu associatif devront préalablement donner leur consentement exprès pour la transmission de leurs coordonnées, afin d’être mis en contact. 
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
La continuité d’activité est assurée grâce à des sauvegardes effectuées quotidiennement. Une autre sauvegarde hebdomadaire est effectuée. Les étapes de développement et de maintenance font l’objet de mesures de sécurité visant à garantir la confidentialité des données. La sécurité physique des postes prenant part au traitement ainsi que du système d’archivage est correctement assurée.
Concernant l’authentification des utilisateurs du système, la Commission prend acte que le responsable de traitement s’engage à mettre en place une politique de mots de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, comprenant au moins trois des quatre types (minuscules, majuscules, chiffres, caractères spéciaux).
Les opérations de consultation font l’objet d’une journalisation afin d’en assurer la traçabilité et l’identifiant de l’opérateur ayant traité un dossier est associé à ce dernier.
La Commission constate que la sécurité logique des postes prenant part au traitement est assurée au moyen d’antivirus et d’un système de détection d’intrusion. 
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission relève que les informations pouvant être recueillies lors de l’entretien ne pourront porter que sur des éléments objectifs liés aux difficultés financières du client (revenus, charges actuelles ou futures…).
La Commission rappelle que les informations concernant les clients et relatives à la vie personnelle et professionnelle, communiquées par la banque MARZE aux autres organismes nécessite au préalable la levée du secret bancaire, avec le recueil du consentement de la personne.
Autorise, conformément à la présente délibération, la banque MARZE à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS