Évaluation de la solvabilité et octroi de crédit : intégrer les exigences RGPD

Lecture rapide

La CNIL adopte une recommandation sur l’évaluation de la solvabilité dans le cadre de l’octroi de crédit afin d’aider les professionnels à se conformer au RGPD. Elle abroge l’ancienne autorisation unique AU-005, encadre les pratiques courantes et vise à concilier protection des libertés individuelles et gestion du risque financier. La délibération no 2008-198 est abrogée et une nouvelle délibération annexée est adoptée.

Analyse juridique

1. Contexte de la recommandation de la CNIL sur l’évaluation de la solvabilité et l’octroi de crédit

1.1. La Commission nationale de l’informatique et des libertés (CNIL) a adopté la délibération n° 2026-047 du 2 avril 2026, publiée au Journal officiel de la République française du 7 mai 2026, relative à une nouvelle recommandation concernant l’évaluation de la solvabilité dans le cadre de l’octroi de crédit. Cette recommandation s’inscrit dans un contexte où l’octroi de crédit repose sur des traitements de données à caractère personnel de plus en plus complexes, destinés à analyser le risque de défaillance de l’emprunteur.

1.2. Le texte souligne que ce sujet concerne un grand nombre de Français et qu’il a un fort impact pour les personnes concernées. L’évaluation de la solvabilité conditionne l’accès au crédit, la capacité à financer des projets et, plus largement, la situation économique et sociale des individus. L’enjeu est donc de concilier la gestion du risque financier par les établissements de crédit avec la protection des données personnelles et le respect des libertés individuelles.

1.3. La recommandation s’appuie sur le règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données ou RGPD, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. Elle se fonde également sur la loi n° 78-17 du 6 janvier 1978 modifiée, relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I (2°) b, qui encadre certains traitements sensibles.

2. Objectifs de la recommandation : conformité RGPD et encadrement des pratiques

2.1. La CNIL indique que cette recommandation a pour objectif d’aider les professionnels du secteur du crédit dans la mise en conformité de leurs pratiques avec le RGPD. Il s’agit de clarifier les exigences juridiques applicables aux traitements de données mis en œuvre pour l’évaluation de la solvabilité et l’octroi de crédit, dans un environnement où les outils d’analyse et de scoring deviennent de plus en plus sophistiqués.

2.2. La recommandation vise à mieux encadrer certaines pratiques courantes afin de promouvoir des traitements respectueux des libertés individuelles. Elle prend en compte les impératifs économiques et de sécurité liés à la gestion du risque financier, tout en rappelant que ces impératifs ne peuvent justifier des traitements disproportionnés ou non conformes aux principes du RGPD (minimisation des données, limitation des finalités, transparence, sécurité, etc.).

2.3. La CNIL précise que cette recommandation n’est ni prescriptive ni exhaustive. Elle ne constitue pas un cadre normatif rigide, mais un ensemble de lignes directrices et de bonnes pratiques permettant aux établissements de crédit et aux autres acteurs de l’octroi de prêts aux particuliers de structurer leurs traitements de données dans le respect du droit applicable. Les responsables de traitement conservent la responsabilité d’apprécier, au cas par cas, la conformité de leurs dispositifs.

3. Abrogation de l’autorisation unique AU-005 et évolution du cadre juridique

3.1. L’un des apports majeurs de la délibération n° 2026-047 est l’abrogation de l’ancienne autorisation unique n° AU-005. L’article 1er de la délibération dispose que la délibération n° 2008-198 du 9 juillet 2008, qui modifiait l’autorisation unique AU-005 relative à certains traitements de données à caractère personnel mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit, est abrogée.

3.2. Cette abrogation marque le passage d’un régime d’autorisation unique, adapté à l’ancienne directive 95/46/CE, à un régime de responsabilisation (accountability) issu du RGPD. Les acteurs ne se réfèrent plus à un cadre d’autorisation préalable, mais à une recommandation qui explicite les attentes de la CNIL en matière de traitements de données à caractère personnel pour l’évaluation de la solvabilité.

3.3. L’article 2 de la délibération indique que la délibération figurant en annexe est adoptée. Cette annexe contient le corps détaillé de la recommandation, qui précise les modalités pratiques de mise en œuvre des traitements, les catégories de données pertinentes, les durées de conservation, les droits des personnes concernées et les garanties à prévoir pour limiter les risques d’atteinte aux libertés individuelles.

4. Processus d’élaboration : concertation et consultation publique

4.1. La CNIL souligne que la recommandation a été élaborée à la suite d’une concertation avec des représentants des professions concernées par l’octroi de prêts aux particuliers. Cette démarche de co-construction vise à intégrer les contraintes opérationnelles des établissements de crédit et des autres acteurs du financement, tout en assurant une interprétation rigoureuse des exigences du RGPD et de la loi Informatique et Libertés.

4.2. Le texte a également fait l’objet d’une consultation publique du 23 mai au 18 juillet 2025. Cette consultation a permis de recueillir les observations des parties prenantes (professionnels, associations, experts, citoyens) sur les orientations proposées par la CNIL en matière d’évaluation de la solvabilité et d’octroi de crédit. L’intégration de ces retours renforce la légitimité et la pertinence de la recommandation.

4.3. La délibération mentionne que la Commission a délibéré après avoir entendu le rapport de M. Philippe-Pierre Cabourdin, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement. Cette procédure interne illustre le caractère collégial de la décision et l’articulation entre la CNIL et les autorités gouvernementales dans la définition du cadre applicable aux traitements de données à caractère personnel dans le secteur du crédit.

5. Enjeux de l’évaluation de la solvabilité au regard du RGPD

5.1. L’évaluation de la solvabilité repose sur la collecte et l’analyse de nombreuses données à caractère personnel relatives à la situation financière, professionnelle et parfois personnelle des emprunteurs. La complexification des outils d’analyse (scoring, algorithmes, croisement de sources) accroît le risque de traitements intrusifs ou discriminatoires, ce qui justifie un encadrement renforcé au regard du RGPD.

5.2. Le RGPD impose des principes structurants : licéité du traitement, transparence vis-à-vis des personnes concernées, minimisation des données (limitation aux données strictement nécessaires à l’octroi de crédit et à l’évaluation du risque de défaillance), exactitude des informations, limitation de la durée de conservation, intégrité et confidentialité des données. La recommandation de la CNIL a pour fonction de traduire ces principes généraux dans le contexte spécifique de la gestion du risque financier.

5.3. L’enjeu est également de garantir l’effectivité des droits des personnes concernées (droit d’accès, de rectification, d’opposition, limitation, etc.) dans un environnement où les décisions d’octroi de crédit peuvent être fortement automatisées. La recommandation, en remplaçant l’autorisation unique AU-005, fournit un cadre d’analyse actualisé, adapté à l’ère du RGPD et aux pratiques contemporaines des établissements de crédit.

6. Publication et portée de la délibération

6.1. L’article 3 de la délibération prévoit que la décision sera publiée au Journal officiel de la République française. Cette publication confère à la recommandation une visibilité officielle et permet à l’ensemble des acteurs concernés de prendre connaissance des orientations de la CNIL en matière d’évaluation de la solvabilité et d’octroi de crédit.

6.2. La délibération est signée par la présidente de la CNIL, M.-L. Denis, ce qui atteste de son adoption formelle par l’autorité de contrôle française compétente en matière de protection des données à caractère personnel. Même si la recommandation n’a pas de caractère prescriptif au sens strict, elle constitue une référence essentielle pour apprécier la conformité des pratiques des professionnels du secteur au RGPD et à la loi Informatique et Libertés.

7. Pour en savoir plus

7.1. L’intégralité du texte de la recommandation sur l’évaluation de la solvabilité et l’octroi de crédit peut être consultée sur le site de la CNIL : Recommandation concernant l’évaluation de la solvabilité dans le cadre de l’octroi de crédit.

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.