L’essentiel
La délibération abroge la délibération n° 2008-198 relative à l’autorisation unique AU-005. La nouvelle recommandation n’est ni prescriptive ni exhaustive : elle constitue un instrument d’accompagnement et de clarification des exigences du règlement (UE) 2016/679, sans se substituer aux obligations directement applicables issues de ce texte.
La compétence de la CNIL est exercée au visa de l’article 8-I-2°.b) de la loi n° 78-17 du 6 janvier 1978. La recommandation a été élaborée après concertation avec les professions concernées et consultation publique. Elle est publiée au Journal officiel.
En résumé
- Abrogation de l’autorisation unique AU-005 et de la délibération n° 2008-198
- Adoption d’une recommandation d’accompagnement conforme au RGPD
- Traitements de données centrés sur l’évaluation du risque de défaillance
- Recommandation non prescriptive et non exhaustive
- Concertation professionnelle et consultation publique préalables
Contexte de l’affaire
La recommandation vise à faciliter la mise en conformité de ces pratiques avec le RGPD, à clarifier les exigences applicables et à encadrer certaines pratiques, tout en tenant compte des impératifs économiques et de sécurité liés à la gestion du risque financier.
La Commission a procédé à une concertation avec les professions concernées et à une consultation publique. Elle a abrogé la délibération de 2008 relative à l’autorisation unique AU-005 et adopté la recommandation annexée.
Conditions / critères (ce que le juge vérifie)
- Fonder les traitements sur le cadre du règlement (UE) 2016/679
- Prendre en compte l’évaluation du risque de défaillance de l’emprunteur
- Concilier protection des libertés et gestion du risque financier
- Élaborer la recommandation après concertation avec les professionnels concernés
- Tenir compte des observations issues de la consultation publique
Preuves retenues (ce qui a fait pencher la décision)
- Le règlement (UE) 2016/679 visé par la délibération
- L’article 8-I-2°.b) de la loi n° 78-17 du 6 janvier 1978
- La concertation avec les professions de l’octroi de crédit
- La consultation publique menée du 23 mai au 18 juillet 2025
Conséquences pratiques
- Prendre connaissance de la recommandation annexée
- Réexaminer les traitements de données liés à la solvabilité
- Vérifier leur conformité au règlement (UE) 2016/679
- Ne plus se référer à l’autorisation unique AU-005
- Documenter la prise en compte des exigences de protection des libertés
Checklist pour Avocats
À faire
- Consulter la recommandation annexée à la délibération
- Recenser les traitements utilisés pour évaluer la solvabilité
- Vérifier leur conformité au règlement (UE) 2016/679
- Actualiser la documentation interne de conformité
- Identifier les pratiques concernées par l’abrogation de l’AU-005
À éviter
- Continuer à présenter l’AU-005 comme un cadre actuel
- Traiter la recommandation comme une norme prescriptive
- Ignorer les impératifs de protection des libertés
- Utiliser des traitements non réévalués au regard du RGPD
- Omettre de documenter les choix liés au risque financier
FAQ / Q-R juridiques
La recommandation de la CNIL sur l’évaluation de la solvabilité
La recommandation vise à aider les professionnels de l’octroi de crédit à mettre leurs traitements de données personnelles en conformité avec le règlement (UE) 2016/679. Elle cherche à clarifier les exigences applicables et à encadrer certaines pratiques, tout en conciliant protection des libertés, impératifs économiques et sécurité financière. Elle n’est ni prescriptive ni exhaustive.
L’abrogation de l’autorisation unique AU-005
L’article 1er abroge la délibération n° 2008-198 du 9 juillet 2008, qui modifiait l’autorisation unique AU-005 relative à certains traitements mis en œuvre par les établissements de crédit pour évaluer et sélectionner les risques liés à l’octroi de crédit. La recommandation adoptée remplace ce cadre d’accompagnement antérieur.
Textes cités
RGPD & protection des données
Approfondir ce sujet :