La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2006/49/CE du Parlement européen et du Conseil du 14 juin 2006 sur l’adéquation des fonds propres des entreprises d’investissement et des établissements de crédit ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-I -4° ;
Vu les règlements du Comité de la réglementation bancaire et financière (CRBF) n°90-02 du 23 février 1990 modifié relatif aux fonds propres et n°97-02 du 21 février 1997 modifié relatif au contrôle interne des établissements de crédit et des entreprises d’investissement ;
Vu l’arrêté du ministère de l’économie, des finances et de l’industrie du 20 février 2007 relatif aux exigences de fonds propres applicables aux établissements de crédit et aux entreprises d’investissement ;
Vu le dossier de demande d’autorisation présenté par la société FINANCO ;
Après avoir entendu M. Jean Paul Amoudry, commissaire, en son rapport, et Mme Elisabeth Rolin commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La société FINANCO, filiale du groupe Crédit Mutuel ARKEA, a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation d’un traitement de données à caractère personnel visant à évaluer le risque de crédit présenté par ses clients selon l’approche « notation interne » afin de définir son niveau de fonds propres réglementaires conformément aux dispositions de l’arrêté du 20 février 2007 susvisé.
Sur la procédure suivie auprès de la Commission
Chaque client ayant souscrit un crédit auprès de la société FINANCO fait l’objet d’une note dite « cotation Bâle II ». Cette cotation est susceptible d’être prise en compte en tant qu’élément permettant d’apprécier la solvabilité de l’emprunteur notamment en cas de nouvelle demande de crédit ou d’autorisation de découvert. L’existence d’une cotation défavorable peut, dans certain cas, conduire à une décision de refus d’octroi de crédit.
Dès lors ces traitements automatisés relèvent du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doivent, à ce titre, être autorisés par la CNIL.
Sur les  finalités du traitement
Le traitement automatisé mis en œuvre par la société FINANCO a, en premier lieu, pour finalité la définition du niveau de fonds propres réglementaires correspondant à son niveau d’exposition et dans ce but, il permet :
d’évaluer pour chaque client, personne physique ou morale, le risque de crédit qu’il présente sous la forme d’une note et d’affecter chaque exposition ou chaque client ou exposition à un lot et
d’élaborer, de vérifier périodiquement et d’actualiser les modèles statistiques utilisés pour mesurer le risque de crédit des personnes physiques ou morales dans le cadre de l’application à leur clientèle de détail et de professionnels du dispositif de notation interne des risques de crédit.
Il prévoit, en second lieu, l’utilisation des notations internes, probabilités de défaut à un an (PD) et estimations de perte en cas de défaut (LGD) à l’occasion de certaines opérations de gestion des dossiers individuels des clients particuliers ou professionnels.
Les personnes concernées par le traitement sont exclusivement des emprunteurs, clients de la société FINANCO qui représentent un risque de crédit désigné ci-après sous le terme « débiteurs ».
Le système de notation interne des risques de crédit repose sur une évaluation statistique de la probabilité de défaut des débiteurs dans les douze mois à venir et du montant des pertes en résultant. Il doit tenir compte des caractéristiques pertinentes du risque attachées à l’emprunteur et à la transaction, dont l’établissement a connaissance.
Les notes d’évaluation du risque, les PD et les LGD sont mises à jour mensuellement et exclusivement utilisés pour :
le calcul des fonds propres réglementaires (proposition automatique de provisions),
l’aide à la décision en matière d’octroi de crédit (détermination du niveau de délégation requis pour la décision, acceptation des demandes, détermination de la tarification applicable et des garanties à demander), et
l’aide à la gestion du risque opérationnel (détermination d’un niveau de découvert non contractuel, prise de décision sur les dépassements d’autorisation, gestion des impayés, détermination des opérations de recouvrement amiable ou contentieux).
La Commission prend acte que conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, une décision défavorable en matière d’octroi de crédit ne peut être prise après consultation du résultat du score sans que le débiteur ait été informé de son droit à présenter des observations sur sa situation bancaire et financière.
Sur les catégories de données traitées
Les catégories de données prises en compte pour l’élaboration des notes d’évaluation du risque concernent :
la situation personnelle du débiteur : l’âge, la situation de famille, le type de logement (sous la forme locataire, propriétaire ou autre),
la situation professionnelle du débiteur : le code profession, l’ancienneté professionnelle, l’ancienneté de l’entreprise (cette donnée n’est prise en compte que pour la notation de la clientèle personne morale),
la situation économique et financière du débiteur: le montant des revenus, le montant des charges et des allocations,
les autres personnes composant le foyer : le revenu du foyer, le nombre d’enfants,
la situation bancaire des débiteurs :
pour les crédits revolving : l’ancienneté du contrat, l’ancienneté bancaire à la signature du contrat de crédit, les informations relatives à l’utilisation du crédit (taux d’utilisation maximum sur les douze derniers mois, taux d’utilisation instantané au mois de cotation, etc.)
pour les autres crédits : le nombre d’échéances impayées, le taux d’amortissement du crédit, la durée du crédit, le capital emprunté, le taux d’apport personnel, le rang de retard du crédit au jour de la cotation, le type de retard.
Ces données peuvent faire l’objet de croisements. Elles sont choisies et pondérées en fonction du lien de corrélation qu’elles présentent avec le risque de crédit attaché au client en général ou à chaque opération de crédit en particulier.
La Commission observe qu’aucune variable ne reçoit une pondération telle qu’elle puisse à elle seule avoir un effet d’exclusion absolue ou disqualifiant. Il en va de même pour tout ensemble de variables corrélées les unes ou autres.
La Commission note également que l’affectation d’une cotation à un débiteur peut conduire la société FINANCO à prendre en compte des informations relatives à d’autres clients personnes physiques (des informations relatives aux membres de la famille ou au conjoint). Toutefois, il s’agit d’informations déclarées par le client au moment de sa demande de prêt et non d’informations que FINANCO détiendrait déjà dans son système d’informations au titre de demandes de crédit effectuées antérieurement.
Dans ces conditions, la Commission estime que la prise en compte de ces données est adéquate, pertinente et non excessive au regard de la finalité du traitement.
Sur la durée de conservation et les destinataires des données
Les notes sont réévaluées une fois par mois. Seuls ont accès aux notes en cours, les chargés de clientèle de la société FINANCO. Les directeurs commerciaux peuvent également avoir accès à ces informations en cas de décision d’octroi de crédit faisant l’objet d’une délégation.
Les cotations successives et les données permettant de les élaborer sont conservées pendant une durée de 5 ans sous une forme indirectement nominative afin d’actualiser les modèles statistiques utilisés pour mesurer le risque de crédit. Seuls ont accès à ces informations, les personnels en charge de l’actualisation du modèle de notation.
Seuls les personnels en charge du contrôle interne ont la possibilité d’identifier les personnes concernées dans le cadre de l’exercice de leurs missions d’audit.
Les actions effectuées par ces personnes sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Afin de permettre un calcul consolidé au niveau du groupe Crédit Mutuel ARKEA, la société FINANCO transmet à celui-ci les cotations et des encours de crédits. Cette transmission est réalisée sous une forme indirectement nominative, les destinataires des informations au niveau du groupe Crédit Mutuel ARKEA n’étant pas en mesure d’identifier le client concerné.
La Commission observe qu’il n’y a pas de mutualisation de données à caractère personnel entre la société FINANCO et le Crédit Mutuel ARKEA.
Sur les droits des personnes
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, chaque client est informé lors de la collecte des données, notamment au moment de l’entrée en relation contractuelle, puis régulièrement sur :
la mise en place d’un système de notation interne des risques de crédit,
les droits qui lui sont reconnus par la loi susvisée, notamment le droit d’obtenir communication par écrit, sur sa demande, des notes d’évaluation du risque dont il fait l’objet, de leur signification et de leur modalité de calcul.
La Commission rappelle que conformément aux dispositions de l’article 30, II, de la loi du 6 janvier 1978 modifiée, la société FINANCO informe sans délai la Commission de tout changement affectant notamment l’identité et l’adresse du responsable de traitement, la ou les finalités du traitement, les données à caractère personnel traitées et la durée de conservation.
Autorise, dans les conditions prévues par la présente délibération, la société FINANCO à mettre en œuvre un traitement de données à caractère personnel visant à évaluer le risque de crédit selon l’approche « notation interne ».

