Score de solvabilité: tous fichés

Vous est-il déjà arrivé de vous voir refuser la possibilité de payer sur facture lors d’achats en ligne? C’est probablement à cause de votre score de solvabilité jugé insuffisant. Cette note, chaque personne vivant dans le pays en a une. Elle raconte la capacité de paiement et le risque financier qu’elle représente. Pour l’établir, des sociétés privées, spécialisées dans les renseignements financiers, compilent des quantités de données sur les comportements de paiement de tout un chacun. Ces informations sont ensuite transmises à leurs clients: commerces, banques, assurances. Lesquels s’en servent pour décider si et à quelles conditions ils s’engagent contractuellement. Ces sociétés de credit scoring n’ont jamais eu de lien direct avec les personnes dont elles détiennent les données. Et pourtant, les fiches sont suffisamment fournies pour déterminer si un consommateur est assez «fiable» pour obtenir un crédit, un leasing ou une carte de crédit, par exemple. Le citoyen, lui, ignore tout cela.

La Loi sur la protection des données (LPD) ne prémunit-elle pas contre le traitement des données à l’insu de la personne concernée? Ce n’est pas si simple. En fait, la loi l’autorise s’il y a consentement, ou si une base légale le prévoit, mais aussi en cas d’intérêt privé ou public jugé prépondérant. Les sociétés de renseignements sur la solvabilité utilisent généralement cette dernière option. Elles invoquent aussi parfois la Loi sur le crédit à la consommation, qui impose certaines vérifications sur la capacité financière d’une personne qui sollicite un crédit afin d’éviter le surendettement. Tout cela est donc légal.

La FRC s’est intéressée à ces sociétés et aux informations exactes qu’elles détiennent. Est-il possible de savoir comment le score est calculé? D’où proviennent les informations et comment sont-elles collectées et mises à jour? Invoquer la Loi sur la protection des données semble le meilleur moyen pour agir: chacun peut obtenir des renseignements sur les données détenues à son propos par des tiers.

Saisie d’une telle demande d’accès, une entreprise doit communiquer des informations sur les données qu’elle traite. Notamment l’identité et les coordonnées du responsable du traitement, le(s) but(s) du traitement, la conservation des données et les personnes à qui elles sont transférées le cas échéant. Le degré de détails des informations à fournir dépend du type de données personnelles traitées ainsi que de la nature et de l’ampleur du traitement. Dans le cas des sociétés de renseignements sur la solvabilité, le Préposé fédéral à la protection des données (PFPDT) rappelle qu’aucune donnée sensible – santé, origine raciale ou ethnique, opinions religieuses ou politiques, par exemple – ne doit être utilisée; en outre, l’évaluation du score de solvabilité ne doit pas concerner des mineurs, et les données ne doivent pas dater de plus de dix ans (art. 31 al. 2 let. c LPD).

La FRC a donc confié la mission à son réseau d’enquêteurs de terrain de découvrir ce que les sociétés de credit scoring détenaient exactement comme informations les concernant. Chacun des 27 enquêteurs a écrit à deux entreprises différentes. Au total, six entités ont été retenues pour cette enquête, à savoir les deux faîtières de la branche, ZEK (Centrale d’information de crédit) et IKO (Association pour la gestion d’un centre de renseignements sur le crédit à la consommation), ainsi que les quatre plus grandes entreprises actives dans le domaine: Dun & Bradstreet, Creditreform, CRIF et Intrum.

Les enquêteurs devaient les contacter, enregistrer la date de la réponse et relancer quand les réponses n’étaient pas assez complètes ou justifiaient des explications. La FRC a analysé ces courriers, puis a interpellé le PFPDT, le contrôle des habitants de certaines communes ainsi que les faîtières identifiées dans l’enquête.
 

Données très datées

Premier constat: la longueur et la compréhensibilité des informations transmises sur les données traitées varient grandement d’une société de renseignements à l’autre. Creditreform fournit à peine deux pages d’informations (parfois énigmatiques) présentées sous forme de tableau et se réfère à sa déclaration de protection des données; à l’inverse, Dun & Bradstreet envoie un dossier d’une quinzaine de pages, comprenant même un rappel des droits des personnes concernées et un glossaire.

La loi prévoit trente jours pour répondre à une demande d’accès aux données, délai qui a été respecté dans la plupart des cas. Néanmoins, la patience de quelques enquêteurs a été mise à rude épreuve. L’une d’eux a attendu trente-sept jours pour obtenir (après relance) une réponse partielle de CRIF. La société a prétexté avoir dû soumettre la demande à son service juridique pour «clarifications»; les questions complémentaires posées par la suite ont fait l’objet d’une réponse encore plus partielle… un mois et demi plus tard!

La question de la durée de conservation des données s’est avérée critique. Intrum dit les conserver «aussi longtemps que nécessaire pour atteindre l’objectif visé». Voilà qui est tout sauf clair. Les autres sociétés se réfèrent généralement à un délai de dix ans (délai de prescription «standard» selon le droit suisse), mais… plusieurs enquêteurs ont découvert dans leurs extraits des données bien plus anciennes, notamment des adresses ou numéros de téléphone, datant de plus de quinze ou vingt ans! L’un d’eux a immédiatement demandé l’effacement d’une très ancienne adresse. Ce qui a été fait rapidement, mais il a souligné – à juste titre – son agacement à procéder à pareille rectification pour une donnée sans aucune actualité ni intérêt pour personne.

Origine mystérieuse

Nos enquêteurs ont eu de mauvaises surprises en découvrant les destinataires auxquels leurs informations sont transmises. En effet, toutes les sociétés de renseignements se réfèrent à des listes de catégories très générales. Ainsi, CRIF explique compter parmi ses clients «des institutions financières, des entreprises de télécommunications, des sociétés de vente par correspondance, des fournisseurs de cartes de crédit et d’autres sociétés qui fournissent des biens ou des services contre facture ou qui octroient des crédits». Un tel flou est légalement admis, il est donc illusoire de vouloir suivre la trace des données et vérifier si elles sont traitées conformément à la loi par la suite.

Autre mauvaise surprise pour les enquêteurs qui ont demandé un extrait de leurs données à Dun & Bradstreet: cette société ayant son siège mondial aux États-Unis, des données y sont transférées «à des fins d’information»! Maigre consolation: Dun & Bradstreet précise que les données ne sont transférées que vers des pays offrant un «niveau de protection adéquat» et qu’il est considéré qu’un tel niveau est fourni aux États-Unis grâce au Swiss-US Privacy Shield. Un accord effectivement jugé suffisant par le Préposé fédéral depuis 2024… mais la pratique met mal à l’aise dans le contexte géopolitique actuel.

Cela se gâte encore concernant l’origine des données. Intrum se contente d’indiquer que ses informations proviennent d’organismes qui gèrent des changements d’adresses (La Poste) ou de «procédures de contrôle de solvabilité» pour leurs clients. Creditreform renvoie à sa déclaration relative à la protection des données. On y apprend que «lorsque des données ne sont pas directement réclamées auprès de la personne concernée, elles proviennent principalement de sources publiques: registre public de droit privé, internet, presse et autres médias, ainsi que prestataires de services dans le domaine du marketing direct. Nous traitons aussi les expériences de paiement de tiers.» Que de mystères! Dun & Bradstreet est la société qui fournit les listes les plus détaillées sur l’origine des données. Cela nous a permis de confirmer nos soupçons sur un point: les sociétés de renseignements se renseignent aussi entre elles… En outre, cette liste confirme que la plupart des sources sont des répertoires d’adresses et registres publics. On est loin de ce que la FRC présupposait en début d’enquête, c’est-à-dire une liste d’entreprises auxquelles s’adresser pour vérifier si le traitement de données initial était justifié et si la transmission des données à des sociétés de renseignements était annoncée. Et cette liste de sources pose une question fondamentale: est-il normal d’utiliser les informations données par les registres publics – qui ont un but premier tout autre – pour alimenter des bases de données de credit scoring?!

Score parfait impossible

Mais le comble, c’est le score! Sa présentation graphique, d’abord, n’a en commun que les couleurs (rouge/orange ou jaune/vert): simple échelle rectangulaire découpée horizontalement (de A à F) chez Creditreform, ou verticalement en combinant des lettres (de A à E) et des chiffres (de –6 à +6) chez Intrum, «compteur de vitesse» allant de 0 à 100 chez Dun & Bradstreet, courbe au-dessus d’une échelle de 250 à 600 chez Crif. Une seule constante: plus le score est haut, plus la personne est solvable, donc attractive pour des commerciaux. Dans notre enquête, personne n’atteint la meilleure note (très peu même la meilleure catégorie), alors qu’une large majorité de nos enquêteurs n’a ni poursuite, ni expérience «négative» de paiement. Un constat qui a évidemment interpellé nos clients mystères!

Le mystère s’épaissit encore avec le calcul complémentaire d’un «score statistique» lors duquel un nombre de 0 à 1000 vient s’ajouter à une lettre entre A et E (Intrum), avec des échelles supplémentaires à cinq cases sans graduation claire représentant, par exemple, les «expériences de paiement» (Creditreform), l’attribution d’une «catégorie de pouvoir d’achat» (Dun & Bradstreet) ou encore une «décision» (sans autre précision) sous forme de feux de circulation (CRIF).

Tenter de comprendre la méthode de calcul, c’est plonger dans un festival de tournures sibyllines. «L’évaluation de la solvabilité a lieu sur la base des faits connus et de leurs conséquences constatées dans le passé», écrit Creditreform. Intrum explique que «les événements positifs donnent des points en plus, les événements négatifs donnent des points en moins». Sur l’extrait fourni par Crif, on lit que «le Credit-Score Consumer est une valeur statistique qui prédit la probabilité d’un défaut de paiement dans les douze prochains mois. (…) S’il n’y a pas d’expériences de paiement négatives, le score est calculé principalement sur la base des registres officiels et des publications publiques (registre du commerce, extraits de poursuites, feuilles officielles cantonales, annuaire téléphonique), de facteurs sociodémographiques (comme l’âge ou la profession) et d’expériences de paiement positives. Un âge plus élevé, une notoriété plus longue au sein de l’agence de renseignements et davantage d’informations positives conduisent à un score encore plus élevé.» Voilà qui est intrigant! Mais on n’en saura pas plus, le score étant protégé par le sacro-saint secret commercial.

Quelques enquêteurs très motivés ont quand même ont tenté. Mais il leur a été impossible de savoir sur combien de renseignements le score est basé et si une seule expérience de paiement peut suffire pour établir un score. Les sociétés de renseignements n’ont pas indiqué non plus le nombre de demandes reçues à leur propos dans les douze ou vingt-quatre derniers mois par des organismes tiers. Pourtant, il est difficile de voir en quoi cela violerait le secret commercial.

Conséquences d’une demande

Une enquêtrice qui a demandé ses données à Creditreform a obtenu la note de C, ce dont elle s’étonne fortement, n’ayant jamais fait l’objet de poursuites ou de retards dans les paiements. Selon elle, il est fort possible que l’appréciation se base sur d’autres éléments qui ne sont pas mentionnés dans les documents reçus: «Je suis étonnée de la note C. Le dossier ne fait pas mention de poursuite, d’avis de recouvrement ou d’avis officiel, analyse la Neuchâteloise. Est-ce que c’est parce que je suis une femme, que je n’ai jamais travaillé à plus de 80% et que je travaille dans le social, donc avec un petit salaire? Ils ont certainement ces informations.» La Neuchâteloise relève d’autres informations qui pourraient, selon elle, influencer négativement son score: «Mon mari est indépendant du bâtiment, avec un petit salaire aussi, et lui a déjà eu des poursuites. Il ne doit pas forcément avoir une bonne note. Je me demande si ça peut influencer ma propre note…» L’information a été impossible à confirmer du côté de l’entreprise.

Autre expérience vécue par une enquêtrice ayant participé à l’enquête: les données reçues mentionnaient des retards de paiements auprès de deux sociétés datant de quelques années. Or très peu de temps après avoir fait sa demande de renseignement, voilà que ces sociétés se réveillent afin de demander le paiement de factures clôturées depuis longtemps. Une simple coïncidence? Là aussi, impossible de faire le lien de manière formelle.

Intérêt d’un bon score

Pourtant, un score de solvabilité moyen ou mauvais peut avoir des conséquences fâcheuses. Un enquêteur l’a d’ailleurs expérimenté, puisque, au cours de l’enquête, il s’est vu refuser par Cembra l’octroi d’une carte de crédit (couplée à la carte fidélité d’un grand magasin suisse) – et ce alors même que son score était jugé «bon». Cela ne l’a pas affecté outre mesure, mais un tel refus peut avoir des conséquences plus importantes, en particulier si la personne concernée est considérée à tort comme mauvaise payeuse. Souvent, un mauvais score de solvabilité empêche l’accès à des prestations pourtant vitales dans certains cas (bail, crédit, assurances). Notre enquêteur, lui, n’a jamais su concrètement la raison du refus, malgré plusieurs courriers.

On a gardé le pire pour la fin: saviez-vous que ces sociétés de solvabilité faisaient aussi office de maisons de recouvrement?