Délibération n°2009-231 du 7 mai 2009 autorisant la mise en œuvre par l’Association pour le droit à l’initiative économique (ADIE) d’un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la décision d’octroi de microcrédit en ligne
Nature: Autre autorisation

(Demande d’autorisation n°1336995)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu l’article L. 511-6 du code monétaire et financier ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu le dossier déposé par l’Association pour le droit à l’initiative économique (ADIE) relatif à un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la décision d’octroi de microcrédit ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et  Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations, 
Formule les observations suivantes :
Le dossier transmis à la CNIL porte sur la mise en œuvre d’un traitement automatisé d’analyse des demandes de crédit qui sont adressées en ligne à l’association pour le droit à l’initiative économique (ADIE) par des personnes ayant des difficultés à obtenir un crédit auprès d’établissements bancaires. 
Le traitement d’aide à la décision d’octroi de crédit a pour finalité de générer une analyse de la demande en ligne qui conduit à un accord de principe sur l’octroi d’un prêt lorsque les conditions d’éligibilité sont remplies. 
Il a ainsi pour objectif de qualifier les demandes de crédit correspondant à certains critères d’attribution automatique. Toute demande inéligible au service d’octroi de crédit en ligne n’est pas refusée mais réorientée vers le réseau physique de l’association, où des conseillers font une étude plus approfondie de la demande. Les conseillers procèdent à l’évaluation, pour chaque personne qui présente une demande de crédit ou qui souhaite disposer d’un moyen de paiement adossé à un contrat de crédit, du risque statistique de défaillance qui lui est attaché. Suite à cette évaluation, ils procèdent à la sélection des demandes qui correspondent à un niveau de risque de défaillance jugé satisfaisant et qui peuvent donner lieu à une réponse favorable.
Le traitement est, par voie de conséquence, susceptible de conduire à l’exclusion, au moins de façon temporaire, d’une personne du bénéfice d’un contrat là où aucun texte législatif ou réglementaire ne prévoit une telle exclusion.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée qui prévoit que doivent être autorisés par la CNIL les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un contrat, en l’absence de toute disposition législative ou réglementaire.
Par sa délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique AU-005, la Commission a autorisé les traitements mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique AU-005.
Le traitement n’entre pas dans le champ de la décision d’autorisation unique n° AU-005 dès lors que l’organisme qui met en œuvre le traitement est une association reconnue d’utilité publique et non un établissement de crédit.
Les catégories de données prises en compte pour le calcul du score attaché à chaque demande de crédit sont celles prévues par l’autorisation unique 005 mais également :
L’éligibilité aux services de l’ADIE reposent sur les critères suivants : 
elle ne finance que des personnes n’ayant pas accès au crédit dans le cadre de leur projet professionnel ;
elle est tenue de respecter les obligations légales au regard de son activité notamment le montant maximum de 10 000 € du crédit et interdiction d’octroyer un crédit de plus de cinq ans.
Au titre du premier critère cité, tout demandeur de crédit d’indiquer sa situation par rapport à l’accès au prêt bancaire notamment s’il a un prêt professionnel en cours, s’il a la possibilité d’obtenir un prêt bancaire, s’il a déjà eu un refus de prêt bancaire et s’il est dans l’impossibilité d’obtenir un tel prêt.
Le demandeur doit également indiquer l’existence et les coordonnées d’un témoin de moralité qui serait un garant social du client, la demande de microcrédit n’exigeant pas l’existence de garants du prêt.
Les données relatives au projet professionnel suivantes sont enregistrées afin de permettre l’instruction de la demande de prêt :
les caractéristiques de l’opération objet du financement : nature du projet et secteur d’activité ;
nature de l’activité professionnelle indépendante dans le cadre de laquelle s’intègre le projet : expérience professionnelle du client, organisation du travail, lieu de travail et statut dans l’entreprise.
La Commission estime que la prise en compte de ces données est adéquate, pertinente et non excessive au regard de la finalité poursuivie. 
Les seules personnes habilitées à prendre connaissance des données relatives à une demande de crédit sont les conseillers crédit du réseau physique de l’association.
Les demandeurs de crédit bénéficient de l’information prévue à l’article 32 de la loi du 6 janvier 1978 préalablement au recueil des données personnelles.
Autorise, dans les conditions prévues par le dossier du demandeur et la présente délibération, l’Association pour le développement de l’initiative économique à mettre en œuvre le traitement automatisé d’aide à la décision d’octroi de microcrédit.
Le Président
Alex TURK