AgentPublic/cnil huggingface dataset:
La Commission constate par ailleurs que la spécificité du paiement par carte bancaire dans la vente à distance fait peser le risque financier sur le commerçant en cas d'utilisation auduleuse du numéro de carte.   La Commission considère en conséquence que l'utilisation du numéro de carte bancaire par un professionnel de la vente à distance dans un fichier ayant pour finalité de lutter contre la fraude au paiement en conservant la trace d'agissements lui ayant porté préjudice, est légitime, sous la réserve que ce fichier ait fait l'objet d'une déclaration spécifique à la Commission et soit conforme aux lois et règlements en vigueur, en particulier aux dispositions relatives à l'informatique et aux libertés, et que cette utilisation du numéro de carte bancaire soit subordonnée à une information claire des personnes fichées ainsi qu'à la possibilité pour ces personnes de s'opposer, pour des motifs légitimes, à un tel traitement.   La CNIL rappelle qu'en application de l'article 2 de la loi du 6 janvier 1978, aucune décision privée impliquant une appréciation sur un comportement humain ne peut avoir pour seul fondement un traitement automatisé d'informations donnant une définition du profil ou de la personnalité de l'intéressé.   De plus, l'utilisation du numéro de carte bancaire à des fins de lutte contre la fraude au paiement ne saurait aboutir à une discrimination ou un refus de vente, même si elle peut conduire légitimement le commerçant à refuser ce mode de paiement.
S'agissant de l'information des personnes, la CNIL rappelle aussi que :   En application de l'article 27 de la loi du 6 janvier 1978 les personnes auprès desquelles sont recueillies des informations nominatives doivent être informées du caractère obligatoire ou facultatif des réponses ; des conséquences à leur égard d'un défaut de réponse ; des personnes physiques ou morales destinataires des informations ; de l'existence d'un droit d'accès et de rectification. Lorsque de telles informations sont recueillies par voie de questionnaires, ceux-ci doivent porter mention de ces prescriptions ;   Il résulte en outre de l'article 10 de la directive 95-46 du 24 octobre 1995 que les personnes fichées doivent également être informées de l'identité du responsable du traitement ainsi que les finalités du traitement auquel les données sont destinées ;   Il résulte de l'article 26 de la loi du 6 janvier 1978 que toute personne physique a le droit de s'opposer, pour des raisons légitimes, à ce que des informations nominatives la concernant fassent l'objet d'un traitement. Ce droit d'opposition, en particulier sur internet, devrait pouvoir s'exercer facilement, par exemple au moyen d'une case à cocher ;   L'article 25 de la loi du 6 janvier 1978 dispose que la collecte de données opérée par tout moyen frauduleux, déloyal ou illicite est interdite.   La Commission souligne en conséquence que toute utilisation du numéro de carte bancaire, quelle qu'en soit la finalité, doit faire l'objet
d'une information complète et claire auprès de la personne fichée.
Sur la sécurité des traitements   La Commission observe que les pratiques liées à la collecte du numéro de carte bancaire entraînent la multiplication de bases de données pouvant faire l'objet d'une réutilisation frauduleuse, en particulier lorsque ces bases de données sont accessibles sur internet.   La Commission considère en conséquence que les commerçants devraient s'efforcer d'élaborer et d'adopter des pratiques exemplaires et de promouvoir des comportements qui tiennent compte des impératifs de sécurité et respectent les intérêts légitimes des individus.
A cet égard, la Commission rappelle que :   - en application de l'article 17 de la directive du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, le responsable du traitement doit mettre en oeuvre les mesures techniques et d'organisation appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisés, notamment lorsque le traitement comporte des transmissions de données dans un réseau, ainsi que contre toute autre forme de traitement illicite ;   - ces mesures doivent assurer, compte tenu de l'état de l'art et des coûts liés à leur mise en oeuvre, un niveau de sécurité approprié au regard des risques présentés par le traitement et de la nature des données à protéger. Le non-respect de l'obligation de sécurité est sanctionné par l'article 226-17 du Code pénal ;   - s'agissant de l'appel à des prestataires de services, le responsable du traitement doit choisir un sous-traitant qui apporte des garanties suffisantes au regard des mesures de sécurité technique et d'organisation relatives aux traitements à effectuer et doit veiller au respect de ces mesures. La réalisation de traitements en sous-traitance doit être régie par un contrat ou un acte juridique qui lie le sous-traitant au responsable du traitement et qui prévoit notamment que le
sous-traitant n'agit que sur la seule instruction du responsable du traitement et que les obligations en matière de sécurité, telles que définies par la législation de l'Etat membre dans lequel le sous-traitant est établi, incombent également à celui-ci.   La Commission considère en conséquence que les responsables de traitements devraient prendre les mesures organisationnelles et techniques appropriées afin de préserver la sécurité, l'intégrité et la confidentialité des numéros de cartes bancaires contre tout accès, utilisation, détournement, communication ou modification non autorisés.   La Commission relève par ailleurs que le développement de solutions de paiement sécurisées par carte à puce permettrait de garantir un niveau de sécurité optimal tout en limitant la constitution de bases de données de numéros de cartes bancaires, en particulier à des fins de contrôle.
Ceci étant rappelé, elle recommande que :   - les responsables de traitements utilisent uniquement des systèmes de paiement en ligne sécurisés conformes à l'état de l'art et à la réglementation applicable ;   - les responsables de traitements ne mémorisent pas les informations relatives au cryptogramme visuel (CVV2) de la carte bancaire de leurs clients ;   - s'agissant des mesures organisationnelles propres aux responsables de traitement, ces derniers adoptent une politique de gestion stricte des habilitations de leur personnel ne donnant accès au numéro de carte bancaire des clients que lorsque cela est rigoureusement nécessaire et aux seules personnes exerçant des fonctions liées à la finalité déclarée. Les responsables devraient s'assurer que les numéros de cartes bancaires apparaissent toujours de façon tronquée sur l'écran des salariés habilités (seuls les 5 derniers chiffres restent apparents). Le personnel devrait être sensibilisé aux risques de fraudes existant en la matière ;   - dès lors que le numéro de carte bancaire est enregistré dans une base de donnée, les commerçants aient recours à des procédés techniques permettant de crypter de manière irréversible le numéro de la carte bancaire dès que la transaction a été réalisée ;   - les responsables de traitements portent une attention particulière aux risques qu'il y aurait à mémoriser le numéro de carte bancaire dans l'ordinateur personnel du client, en particulier par l'intermédiaire de cookies ou fichiers
log. Dans une telle situation, et conformément aux dispositions prévues par la directive du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, les individus doivent être informés de la mise en oeuvre de dispositifs techniques sur leur ordinateur et doivent disposer de la possibilité de s'opposer à la mise en oeuvre de tels dispositifs. L'exercice du droit d'opposition devrait pouvoir couvrir les utilisations futures qui pourraient être faites de ces dispositifs durant des connexions ultérieures ;   - s'agissant de la mise en place de système d'authentification en ligne, permettant d'accéder directement à un profil client et à des coordonnées bancaires ("portefeuille électronique"), les commerçants informent clairement leurs clients sur les risques induits par certains gestionnaires de mots de passe intégrés à des navigateurs internet et leur préciser la méthode permettant de désactiver ces systèmes.
Sur la durée de conservation   La Commission rappelle que :   - la conservation du numéro de carte bancaire dans un traitement automatisé d'informations nominatives doit s'effectuer dans le respect des dispositions posées par l'article 5-e de la convention n° 108 du Conseil de l'Europe, c'est à dire pour une durée n'excédant pas celle nécessaire aux finalités pour lesquelles l'information est exigée. Cette durée doit faire l'objet d'une déclaration à la Commission. Le fait de conserver cette information au delà de la durée prévue dans la déclaration est constitutif d'une infraction pénale (article 226-20 du Code pénal) ;   - toute conservation du numéro de carte bancaire d'un client suppose que des mises à jour régulières soient effectuées afin de supprimer les numéros de cartes bancaires périmés.   La Commission relève qu'aucun texte de portée générale relatif à la conservation de documents comptables à des fins probatoires ne fait obligation aux responsables de traitements de conserver le numéro de carte bancaire de leurs clients.   La Commission considère en conséquence que la durée de conservation d'un numéro de carte bancaire ne saurait excéder le délai nécessaire à la réalisation de la transaction ou à la finalité de lutte contre la fraude au paiement du traitement mis en oeuvre conformément aux lois et règlement en vigueur.   Sur ce point, la Commission souligne que chaque déclaration fait l'objet d'un examen spécifique et que le projet de loi modifiant la loi du 6
janvier 1978 (transposition de la directive du 24 octobre 1995) prévoit, en l'état de son examen par le Parlement, que seront soumis à l'autorisation de la CNIL "les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure les personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire les y habilitant".
Sur le choix du mode de paiement électronique   La Commission relève que l'utilisation de traitements automatisés de données dans le secteur des moyens de paiement peut entraîner des risques pour la vie privée des individus, s'agissant en particulier de certains modes de paiement électronique, au regard de la quantité de données à caractère personnel qu'ils peuvent révéler du fait de leur utilisation.   La Commission estime en conséquence que les responsables de traitements devraient promouvoir, pour le commerce électronique, l'utilisation de moyens de paiement électronique sécurisés alternatifs garantissant l'anonymat des paiements réalisés par leurs clients.   Le Président, Michel GENTOT
La Commission nationale de l'informatique et des libertés,   Vu la convention du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés pris ensemble le décret d'application n° 78-774 du 17 juillet 1978 ;   Vu le code électoral ;   Après avoir entendu Monsieur Maurice BENASSAYAG, commissaire, en son rapport et Madame Charlotte-Marie PITRAT, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :   La Commission constate le développement de systèmes de vote électronique sur place ou à distance tendant à faciliter l'expression du vote et les opérations matérielles de dépouillement.   Le recours à de tels systèmes qui nécessitent la mise en oeuvre de traitements automatisés d'informations nominatives, au sens de l'article 5 de la loi du 6 janvier 1978, pour le fichier informatique des électeurs, le traitement automatisé des résultats (pour les données nominatives relatives aux candidats) ou la constitution de la liste d'émargement doit s'inscrire dans le respect des principes fondamentaux qui commandent les opérations électorales : le secret du scrutin sauf pour les scrutins publics, le caractère personnel, libre et anonyme du vote, la sincérité des opérations électorales, la surveillance effective du vote et le contrôle a posteriori par le juge de l'élection. Ces systèmes de vote électronique doivent également respecter les prescriptions des textes constitutionnels, législatifs et réglementaires en vigueur.   La présente recommandation porte sur les conditions techniques propres à garantir les principes fondamentaux préalablement énumérés et à assurer la sécurité des systèmes de vote électronique. Il appartient au législateur de définir les conditions juridiques de la mise en oeuvre du vote électronique.   Elle a pour champ d'application les dispositifs de vote électronique sur place et à distance, en particulier par internet.
Elle ne concerne pas les dispositifs de vote par codes-barres et les dispositifs de vote par téléphone fixe ou mobile sur lesquels la Commission sera amenée à se prononcer.   La recommandation prend appui essentiellement sur les dossiers qui ont été soumis à Commission dans le cadre des formalités préalables prévues par la loi du 6 janvier 1978. Elle constitue une première approche de systèmes qui sont encore en pleine évolution. Elle est destinée à orienter cette évolution dans le sens du respect des principes de protection des données personnelles et à éclairer les responsables des scrutins pour le choix des dispositifs de vote électronique.
Compte tenu de ces observations préalables, la Commission émet la recommandation suivante :   I) Sur les exigences préalables à la mise en oeuvre des systèmes de vote électronique   1) L'expertise du système de vote électronique   Tout système de vote électronique devrait faire l'objet :   - d'une procédure d'agrément par le ministère de l'intérieur pour les machines à voter définies par le code électoral ;   - d'une expertise indépendante pour les autres systèmes.   Le rapport d'expertise devra être joint aux formalités préalables à accomplir auprès de la CNIL.   La Commission estime que dans le cas d'une élection organisée par une collectivité publique, le code source des logiciels utilisés par le système de vote électronique devrait être accessible sans restriction, afin de permettre la réalisation de toutes les expertises jugées nécessaires.   Dans l'hypothèse de l'utilisation d'un logiciel libre, quelle que soit la personne mettant en oeuvre le traitement, ce logiciel doit être expertisé.   Afin de garantir un contrôle effectif des opérations électorales, le prestataire technique doit mettre à disposition des représentants de l'organisme responsable du traitement, des experts, des membres du bureau de vote, des délégués des candidats et des scrutateurs tous documents utiles et assurer une formation de ces personnes au fonctionnement du dispositif de vote électronique.
2. La séparation des données nominatives des électeurs et des votes   Le secret du vote doit être garanti par la mise en oeuvre de procédés rendant impossible l'établissement d'un lien entre le nom de l'électeur et l'expression de son vote. Il en résulte que la gestion du fichier des votes et celle de la liste d'émargement doivent être faites sur des systèmes informatiques distincts, dédiés et isolés. Ces fichiers doivent faire l'objet de mesures de chiffrement selon un algorithme public réputé "fort".   3. Les sécurités informatiques   Il convient que toutes les mesures physiques (contrôle d'accès, détermination précise des personnes habilitées à intervenir ...) et logiques (firewall, protection d'accès aux applicatifs ...) soient prises tant au niveau des serveurs du dispositif que sur les postes accessibles au public afin de garantir la sécurité et la confidentialité des données personnelles en particulier contre les intrusions venant de l'extérieur. Les algorithmes de chiffrement, de signature électronique et les fonctions de hachage doivent être des algorithmes publics réputés "forts".   4. Le scellement du dispositif de vote électronique   Les systèmes de vote électronique expertisés et utilisés doivent faire l'objet d'un scellement c'est à dire d'un procédé permettant de déceler toute modification de ce système. Le procédé de scellement doit lui-même être agréé. La vérification du scellement devrait pouvoir se faire à tout moment, y compris durant le déroulement du
scrutin et par tout électeur.   5. L'existence d'une solution de secours   Tout système de vote électronique devrait comporter un dispositif de secours susceptible de prendre le relais en cas de panne du système principal et offrant les mêmes garanties et les mêmes caractéristiques.
6. La surveillance effective du scrutin   La mise en oeuvre du système de vote électronique doit être opérée sous le contrôle effectif, tant au niveau des moyens informatiques centraux que de ceux, éventuellement, déployés sur place, de représentants de l'organisme mettant en place le vote ou d'experts désignés par lui. Dès lors, il importe que toutes les mesures soient prises pour leur permettre de vérifier l'effectivité des dispositifs de sécurité prévus pour assurer le secret du vote et, en particulier, les mesures prises respectivement pour :   - garantir la confidentialité du fichier des électeurs comportant les éléments d'authentification,   - procéder au chiffrement des bulletins de vote et à leur conservation dans un traitement distinct de celui mis en oeuvre pour assurer la tenue du fichier des électeurs,   - assurer la conservation des différents supports d'information pendant et après le déroulement du scrutin.   Toutes les facilités devraient être accordées aux membres du bureau de vote et aux délégués des candidats, s'ils le souhaitent, pour pouvoir assurer une surveillance effective de l'ensemble des opérations électorales et, en particulier, de la préparation du scrutin, du vote, de l'émargement et du dépouillement.   7. La localisation du système informatique central   Il paraît hautement souhaitable que les serveurs et les autres moyens informatiques centraux du système de vote électronique soient localisés sur le territoire, national afin de permettre un
contrôle effectif de ces opérations par les membres du bureau de vote et les délégués ainsi que l'intervention, le cas échéant, des autorités nationales compétentes.
II) Sur le scrutin   A) Sur les opérations précédant l'ouverture du scrutin   1. La confidentialité des données   Les fichiers nominatifs des électeurs constitués aux fins d'établir la liste électorale, d'adresser le matériel de vote et de réaliser les émargements ne peuvent être utilisés qu'aux fins précitées et ne peuvent être divulgués sous peine des sanctions pénales encourues au titre des articles 226-17 et 226-21 du code pénal.   La confidentialité des données est également opposable aux techniciens en charge de la gestion ou de la maintenance du système informatique.   Les fichiers comportant les éléments d'authentification des électeurs, les clés de chiffrement/déchiffrement et le contenu de l'urne ne doivent pas être accessibles, de même que la liste d'émargement, sauf aux fins de contrôle de l'effectivité de l'émargement des électeurs.   En cas de recours à un prestataire extérieur, celui-ci doit s'engager contractuellement à respecter ces dispositions par la signature d'une clause de confidentialité et de sécurité et à fournir le descriptif détaillé du dispositif technique mis en oeuvre pour assurer cette confidentialité. Le prestataire doit également s'engager à restituer les fichiers restant en sa possession à l'issue des opérations électorales et à détruire toutes les copies totales ou partielles qu'il aurait été amené à effectuer sur quelque support que ce soit.   Le recours à une télé-maintenance des matériels et logiciels ne devrait pas être possible
durant tout le scrutin et jusqu'à l'épuisement des délais légaux de recours contentieux.
2. Les procédés d'authentification de l'électeur   La Commission estime que dans le cas d'élections où un vote à distance a été prévu par la législateur, une authentification de l'électeur sur la base d'un certificat électronique constitue la solution la plus satisfaisante en l'état de la technique. Le tiers certificateur doit être un organisme indépendant professionnellement reconnu.   Dans l'état actuel des textes, le recours à l'enregistrement de données biométriques à des fins de constitution d'un fichier électoral pour s'assurer de l'identité de l'électeur et de l'unicité de son vote ne peut s'envisager que si la donnée biométrique figure dans la catégorie de celles ne laissant pas de traces ou que si cet enregistrement s'effectue sur un support individuel détenu par l'électeur et ne donne pas lieu à la constitution d'un fichier de données biométriques.   A défaut de recourir aux solutions précitées, dans le cas de la génération d'identifiants et de mots de passe à partir de la liste électorale, le fichier ainsi créé doit faire l'objet d'un chiffrement. Les modalités de génération et d'envoi des codes personnels doivent être conçues de façon à garantir leur confidentialité et en particulier que les divers prestataires éventuels ne puissent en prendre connaissance.   Dans le cas où le vote s'opérerait par l'enregistrement d'un identifiant permanent apposé sur une carte ou tout autre document ainsi qu'un mot de passe envoyé à chaque vote, la génération de ces
identifiants et mots de passe devrait se faire dans les mêmes conditions de sécurité que celles énumérées ci-dessus. Il en va de même de l'envoi du mot de passe.   L'authentification de l'électeur peut être renforcée par un dispositif de type défi/réponse, c'est à dire l'envoi par le serveur d'authentification d'une question dont l'électeur devrait connaître la réponse.   3. L'information des électeurs   Il convient de fournir aux électeurs en temps utile une note explicative détaillant clairement les opérations de vote ainsi que le fonctionnement général du système de vote électronique.   4. Le test du système avant l'ouverture du scrutin    Un test du système de vote électronique doit être organisé avant l'ouverture du scrutin et en présence des scrutateurs afin de constater la présence du scellement, le bon fonctionnement des machines, la remise à zéro du compteur des voix et que l'urne électronique destinée à recevoir les votes est bien vide et scellée.
5. Les clés de dépouillement de vote   La génération des clés destinées à permettre le dépouillement des votes à l'issue du scrutin doit être publique et se dérouler le jour du dépouillement. Cette procédure devrait être conçue de manière à prouver de façon irréfutable que seuls le président du bureau et ses assesseurs prennent connaissance de ces clés, à l'exclusion de toute autre personne y compris les personnels techniques chargés du déploiement du système de vote. La Commission estime que le nombre de clés de chiffrement doit être au minimum de trois, la présence de deux titulaires de ces clés étant indispensable pour autoriser le dépouillement. Elle considère que les clés doivent ensuite être conservées sous pli scellé sous la responsabilité du président du bureau de vote qui les remet, lors de la clôture du scrutin, aux membres du bureau désignés, contre accusé de réception.   Le système de vote doit garantir que des résultats partiels (hormis le nombre de votants) ne seront pas accessibles durant le déroulement du vote.