(Demande d’autorisation n° 1784327)
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit Lyonnais SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel visant à évaluer  le risque de crédit au moyen d’un système de notation interne pour définir le niveau de fonds propres réglementaires et les opérations de gestion auprès des emprunteurs ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2013/36/UE du Parlement européen et du Conseil du 26 juin 2013 concernant l'accès à l'activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d'investissement, modifiant la directive 2002/87/CE et abrogeant les directives 2006/48/CE et 2006/49/CE ;
Vu les règlements du Comité de la réglementation bancaire et financière (CRBF) n° 90-02 du 23 février 1990 modifié relatif aux fonds propres et n° 97-02 du 21 février 1997 modifié relatif au contrôle interne des établissements de crédit et des entreprises d’investissement et notamment ses articles 18, 19 et 24 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu l’ordonnance n°2013-544 du 27 juin 2013 relative aux établissements de crédit et aux sociétés de financement ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du ministre de l’économie, des finances et de l’industrie du 20 février 2007 relatif aux exigences de fonds propres applicables aux établissements de crédit et aux entreprises d’investissement ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Lyonnais SA, ci-après désigné LCL, a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation d’un traitement de données à caractère personnel visant à évaluer le risque de crédit au moyen d’un système de notation interne pour définir le niveau de fonds propres réglementaires et les opérations de gestion auprès des emprunteurs.
Sur la finalité
Le traitement automatisé mis en œuvre par LCL a, en premier lieu, pour finalité la définition du niveau de fonds propres réglementaires correspondant au niveau d’exposition. Il permet ainsi :
Il permet en second lieu, de calculer un indicateur utilisé pour les opérations de gestion des dossiers de prêts, et intervient pour des décisions d’octroi des dossiers de prêts en fonction du niveau de risque de défaillance associé au client.
d’évaluer pour chaque client (personne physique) le risque de crédit qu’il présente sous la forme d’une note et d’affecter chaque exposition ou chaque client ou exposition à une classe de risque homogène ;
d’élaborer, de vérifier périodiquement et d’actualiser les modèles statistiques utilisés pour mesurer le risque de crédit des personnes physiques dans le cadre de l’application, à la clientèle de détail et de professionnels, du dispositif de notation interne des risques de crédit.
le calcul des fonds propres réglementaires pour LCL,
l’aide à la décision en matière d’octroi de crédit et d’augmentation de découvert,
le renouvellement des facilités de caisse ou les pré-attributions de crédits aux professionnels,
régler les sommes dues lorsque la provision du compte est insuffisante.
Les personnes concernées par le traitement sont exclusivement des emprunteurs, clients de LCL, qui représentent un risque de crédit désigné ci-après sous le terme « débiteurs ».
Le système de notation interne des risques de crédit repose sur une évaluation statistique de la probabilité de défaut des débiteurs et du montant des pertes en résultant. Il doit tenir compte des caractéristiques pertinentes du risque attachées à l’emprunteur et à la transaction, dont l’établissement a connaissance.
Les notes d’évaluation du risque sont mises à jour mensuellement, les probabilités de défaut (PD), le taux de défaut et les pertes en cas de défaut (LGD) sont mises à jour annuellement et exclusivement utilisés pour :
La Commission prend acte que, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, une décision défavorable en matière d’octroi de crédit ne peut être prise après consultation du résultat du score sans que le débiteur ait été informé de son droit à présenter des observations sur sa situation bancaire et financière.
d’évaluer pour chaque client (personne physique) le risque de crédit qu’il présente sous la forme d’une note et d’affecter chaque exposition ou chaque client ou exposition à une classe de risque homogène ;
d’élaborer, de vérifier périodiquement et d’actualiser les modèles statistiques utilisés pour mesurer le risque de crédit des personnes physiques dans le cadre de l’application, à la clientèle de détail et de professionnels, du dispositif de notation interne des risques de crédit.
le calcul des fonds propres réglementaires pour LCL,
l’aide à la décision en matière d’octroi de crédit et d’augmentation de découvert,
le renouvellement des facilités de caisse ou les pré-attributions de crédits aux professionnels,
régler les sommes dues lorsque la provision du compte est insuffisante.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Chaque client ayant souscrit un crédit auprès de LCL fait l’objet d’une note dite « cotation Bâle III ». Cette cotation est susceptible d’être prise en compte en tant qu’élément permettant d’apprécier la probabilité statistique de défaut.
L’existence d’une cotation défavorable peut, dans certains cas, conduire à une décision de refus d’octroi de crédit.
Ce traitement peut néanmoins, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition législative ou réglementaire prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Sur les données traitées
Les catégories de données prises en compte pour l’élaboration des notes d’évaluation du risque concernent :
- la situation personnelle du débiteur : âge, nom, prénom, date et lieu de naissance, numéro de compte.
- la situation professionnelle : la catégorie socioprofessionnelle pour les particuliers, le secteur d’activité et l’ancienneté dans l’entreprise pour les professionnels.
- la situation économique et financière : ratios financiers, encours, ancienneté de la relation bancaire, impayés, détention de crédits d’équipement chez LCL pour les professionnels.
La Commission relève que les données relatives au nom, prénom, date et lieu de naissance, et numéro de compte ne sont pas utilisées pour le calcul de la cotation mais pour identifier au sein de la base client la personne physique à qui est attribuée la note.
La Commission relève que pour les particuliers l’inscription au fichier central des chèques, au moment du calcul de la cotation, est prise en compte dans le calcul conformément aux dispositions de l’article L 131-85 dernier alinéa du code monétaire et financier qui autorise les établissements de crédit à utiliser cette information comme un élément d'appréciation avant d'accorder un financement, une ouverture de crédit ou de délivrer un moyen de paiement.
Certaines variables font l’objet de croisements. Le poids de chaque variable dans la notation est le même pour l’ensemble des clients en tenant compte de la distinction entre les clients particuliers d’une part et les clients professionnels d’autre part.
La Commission observe qu’aucune variable ne reçoit une pondération telle qu’elle puisse à elle seule avoir un effet d’exclusion absolue ou disqualifiant.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les notes sont réévaluées mensuellement.
Les destinataires sont la filiale Interfimo (financement des professionnels libéraux) et les sociétés du groupe Crédit agricole Leasing et factoring et CA Consumer Finance.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, chaque client est informé lors de la collecte des données, notamment au moment de l’entrée en relation contractuelle puis régulièrement sur le site internet de la banque.
Les clients sont informés :
Les droits d’accès et de rectification s’exercent auprès du Service relations clientèle, à l’adresse suivante : BC 302.02, 10 place Oscar Niemeyer - 94811 Villejuif cedex, ou par courriel à l’adresse électronique : relationsclientele@lcl.fr
de la mise en place d’un système de notation interne des risques de crédit,
des droits qui lui sont reconnus par la loi susvisée, notamment le droit d’obtenir une copie des informations enregistrées dans les fichiers, ainsi que leur origine.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
La Commission observe que chaque utilisateur dispose d'un identifiant qui lui est propre.
Le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères et qu’ils soient composés de différents types de caractères.
Il existe des profils d'habilitation afin de gérer les accès aux données.
Les postes de travail disposent d'un système de détection d’intrusion et d'un logiciel antivirus mis à jour régulièrement.
Des sauvegardes régulières quotidiennes sont réalisées et sont stockées dans un endroit garantissant leur sécurité et leur disponibilité.
Les interventions de maintenance font l'objet d'une traçabilité. Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement sécurisé.
Il existe une journalisation des opérations de consultation, création et modification du traitement.
Les services web sont sécurisés au moyen du protocole TLS.
La Commission relève que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La cotation est conservée de manière non nominative dans le cadre du calcul réglementaire des fonds propres. Les cotations successives sont conservées tant que le client détient un dépôt à vue sur son compte épargne.
Lorsque le client ne présente plus de risque de crédit : soit parce qu’il ne détient plus que des comptes d’épargne, soit parce que la relation bancaire est  terminée, la cotation est supprimée de l’outil.
Le besoin de conservation d’un historique à 5 ans est conforme à la règlementation bancaire.
La Commission observe qu’il n’existe pas de calcul consolidé ni de mutualisation des données au niveau du groupe.
Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, Le Crédit Lyonnais SA, à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
