AgentPublic/cnil huggingface dataset:
S’agissant de l’empreinte numérique du terminal (« device fingerprinting »), la Commission rappelle que la collecte de cette donnée n’est possible qu’à condition de respecter les dispositions de l’article 32-II de la loi du 6 janvier 1978 modifié selon lesquelles « tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : 
de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
des moyens dont il dispose pour s'y opposer. »
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. Ce consentement est distinct de l’acceptation des conditions générales de vente.
A ce titre, une bannière de cookies figurant sur le site internet informera les clients de la mise en place de cookies et de la prise d’empreinte numérique. Le client est informé de la finalité de cette collecte et des moyens de s’y opposer. La société LOUIS VUITTON MALLETIER met en œuvre un mécanisme permettant d’une part aux clients de donner leur accord et d’autre part de pouvoir désactiver la prise d’empreinte numérique dans la page de son site Internet concernant les cookies dans les conditions prévues par la délibération n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978.
En cas d’opposition à la mise en œuvre du « device finger printing », des vérifications complémentaires pourront être effectuées et la société  LOUIS VUITTON MALLETIER pourra demander au client de recourir à un moyen de paiement alternatif tel que le virement bancaire.
Les droits d’accès et de rectification s’exercent auprès du service clients de la société des magasins Louis Vuitton France
au 2 RUE DU PONT NEUF, 75001, PARIS.
Sur les mesures de sécurité
L’ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.Dès lors qu'un client communique ses coordonnées de carte bancaire, celles-ci sont immédiatement chiffrées par le prestataire de services Cybersource.Les mesures de sécurité mises en place n’appellent pas d’observations.
Sur les transferts de données hors Union européenne
La société LOUIS VUITTON MALLETIER a recours à un prestataire de services situé aux Etats-Unis, la société Cybersource Corporation. Ce dernier assure l’hébergement de la solution permettant le traitement, la conservation des informations relatives à la transaction, le contrôle des transactions sur la base des informations fournies et l’évaluation d’un niveau de risque permettant à la LOUIS VUITTON MALLETIER de valider ou non la commande.Les données relatives au traitement de prévention de la fraude  transférées aux Etats-Unis dans le cadre des prestations offertes par Cybersource Corporation sont encadrées par la conclusion d’un contrat de transfert de données basé sur le modèle de clauses contractuelles de « responsable de traitement à sous-traitant » de la Commission européenne. Une autorisation en ce sens a été accordée par la Commission dans sa décision DF 2011-251.
Sur les autres caractéristiques du traitement
Les données traitées dans le cadre de l’outil de détection du risque de fraude sont conservées par Cybersource pendant une durée de 6 mois suivant la date de la transaction pour l’exploitation des données et la détermination du score permettant d’évaluer les risques présentés par la transaction. Ces données sont par la suite supprimées ou archivées selon les durées de prescription applicables (2 ans en l’espèce). Aucune liste recensant les cas de fraudes avérées n’est constituée.Lorsqu’elles sont collectées, les copies de la pièce d’identité et du justificatif de domicile sont détruites 24h après la réalisation des vérifications complémentaires.Ces autres caractéristiques n’appellent pas d’observation.
Autorise, conformément à la présente délibération, LOUIS VUITTON MALLETIER à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1753911)
La Commission nationale de l'informatique et des libertés,
Saisie par la société BOUYGUES TELECOM d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la détection et prévention des fraudes effectuées par carte de paiement lors des achats sur les canaux de  vente dématérialisée ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-358 du 14 novembre 2013 portant adoption d'une recommandation concernant le traitement des données relatives à la carte de paiement en matière de vente de biens ou de fourniture de services à distance.
Vu le dossier et ses compléments ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société BOUYGUES TELECOM.
Sur la finalité
La société BOUYGUES TELECOM a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité la prévention la détection et prévention des fraudes effectuées par carte de paiement lors des achats sur les canaux de vente dématérialisée.Afin de lutter contre les tentatives de fraude à la carte de paiement, elle souhaite notamment se doter dans le cadre des ventes dématérialisées d’un outil d’évaluation du risque. En effet, la commercialisation de certains produits et services fait régulièrement l’objet de fraudes. Les cas de fraudes et d’usurpation d’identité s’inscrivent souvent dans un processus de paiement dématérialisé ; le risque majeur réside dans l’utilisation par des tiers de numéros de cartes de paiement usurpés pour la recharge de lignes prépayées, les achats en ligne, etc.La société BOUYGUES TELECOM a recours à un outil d’évaluation des risques présentés par les paiements effectués de manière dématérialisée.La Commission considère que ce traitement peut avoir pour effet d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant en leur ôtant la possibilité de passer une commande sur le site Internet de la société BOUYGUES TELECOM. Les fraudes recherchées correspondent à des utilisations illégitimes de cartes ou des données qui y sont attachées lorsque ces utilisations risquent de générer un impayé pour la société
BOUYGUES TELECOM. Les utilisations d’une carte par son titulaire légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alerte.La société BOUYGUES TELECOM souhaite mettre en œuvre un outil d’évaluation des risques pour les canaux de vente où la technologie « 3DS » ne pourra être implémentée (par exemple, dans le cas des serveurs vocaux interactif ou de la télévente).Si l’outil d’évaluation établit un risque de fraude, la personne sera réorientée vers un canal de vente permettant l’authentification de son titulaire (canal sécurisé disposant de la technologie 3DS).Aucune liste recensant les personnes à risque n’est mise en œuvre. La Commission prend acte que, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, les résultats du traitement feront l’objet d’une instruction par le service chargé de la prévention de la fraude au cas par cas, et non automatisée. La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données traitées dans le cadre de l’outil de prévention de la fraude sont les suivantes : -Données d’identification : nom, prénom, numéro de téléphone-Données d’ordre économique et financière : date et heure de la transaction, montant de la transaction, type, numéro (chiffré), date d’expiration de la carte de paiement ;-Informations relatives à la commande : produits et services, adresse d’expédition.Les critères pris en compte pour l’analyse des risques présentés par la commande incluent les données mentionnées ci-dessus et sont basés sur des règles de fréquence et de récurrence déterminées par BOUYGUES TELECOM. La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
L’accès au traitement est restreint aux seuls collaborateurs habilités de la cellule de la prévention de la fraude de la société BOUYGUES TELECOM et du prestataire de services auquel elle a recours. Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant dans les conditions générales de vente de la société et dans les formulaires de collecte de la société BOUYGUES TELECOM.Lorsqu’un risque est identifié, le conseiller de vente ou le serveur vocal interactif en informe le client et le redirige vers un autre canal d’achat doté de la technologie 3DS.Les droits d’accès et de rectification s’exercent auprès du service Informatique et Libertés au 13/15 avenue du Maréchal Juin, 92360 Meudon-la-Forêt cedex.
Sur les mesures de sécurité
L’ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.Dès lors qu'un client communique ses coordonnées de carte bancaire, celles-ci sont immédiatement chiffrées par le prestataire de services certifié PCIDSS.Les mesures de sécurité mises en place n’appellent pas d’observations.
Sur les autres caractéristiques du traitement
Les données traitées dans le cadre de l’outil de détection du risque de fraude sont conservées par le prestataire pendant une durée de 90 jours suivant la date de la transaction afin de mesurer la fiabilité du modèle de score et de pouvoir faire évoluer la pertinence de celui-ci.Les données liés à la carte de paiement sont conservées auprès du prestataire de services pendant une durée maximale de 15 mois conformément à la recommandation du 14 novembre 2013 relative à la protection des données liées à la carte de paiement en matière de vente de biens ou de fourniture de services à distance. Ces données sont par la suite supprimées ou archivées selon les durées de prescription applicables (2 ans en l’espèce). La société la société BOUYGUES TELECOM a recours à un prestataire de services situé aux Etats-Unis qui a adhéré aux règles du « Safe Harbor ». Ce dernier assure la conservation des informations relatives à la transaction.
Autorise, conformément à la présente délibération, BOUYGUES TELECOM à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1773744)
La Commission nationale de l'informatique et des libertés,
Saisie par Le Crédit Lyonnais SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre à titre expérimental d’un système d’authentification des titulaires de carte de paiement par biométrie ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Lyonnais SA, ci-dessous désigné LCL.
Sur la finalité
Le Crédit Lyonnais souhaite mener une expérimentation d’un service dénommé « Talk To Pay » (ci-après T2P) basé sur un moyen d'authentification par biométrie vocale.
T2P est un mécanisme qui vise à renforcer la sécurité des transactions en ligne grâce à l'authentification biométrique du titulaire de la carte bancaire couplée à un appel sur son téléphone.
Ce service sera une alternative au système 3D-Secure. L’utilisateur aura le choix entre les deux formules et pourra changer de solution à sa demande. Les cartes continueront à être émises avec le cryptogramme visuel, même si celui-ci devient inopérant quand le service T2P est activé. T2P peut être utilisé auprès de tous les cybercommerçants. 
La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour assurer le contrôle de l’identité des personnes. Il relève, à ce titre, du 8° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par la CNIL.
LCL en partenariat avec PW Consultants, Telecom Sud Paris, et une chercheuse en biométrie, souhaite mener une expérimentation basée sur la reconnaissance vocale afin de permettre aux clients de s’authentifier lors de leurs paiements à distance. 
La population ciblée par l’expérimentation comprend des collaborateurs et des clients volontaires de la banque LCL, et des collaborateurs du pôle paiement du Groupe Crédit Agricole. Pour être statistiquement représentatif pour le fonctionnement de l’algorithme de biométrie vocale, 5000 personnes seront concernées.
La procédure de souscription et d’enrôlement est la suivante : un appel à candidature sera mené auprès des testeurs volontaires qui signeront les avenants au contrat carte. Dès lors, les comptes utilisateurs seront créés. 
Les différentes étapes du processus de souscription des participants au service T2P sont les suivantes :
Le participant télécharge le formulaire à partir du lien d’inscription reçu et renseigne son nom, prénom et adresse électronique. Le formulaire signé est envoyé à la Direction des paiements de LCL.
Un identifiant et un mot de passe individuels sont adressés par courriel avec les informations permettant au participant de contacter l’assistance (notamment pour se désenrôler).
Dans un second temps, une carte bancaire dédiée à l’expérimentation est envoyée par courrier ou remise en main propre au participant. Le système 3D-Secure est désactivé pour ces cartes. L’apposition du cryptogramme visuel est maintenue mais inopérant.
L’utilisateur s’inscrit via une interface personnelle et sécurisée sur un site Internet dédié au projet d’expérimentation en utilisant son identifiant et son mot de passe reçus par courrier électronique. Il renseigne les coordonnées de la carte et son numéro de téléphone portable puis à la possibilité d’installer l’application T2P sur son ordinateur ou son smartphone.
Le participant est ensuite appelé par le service pour procéder à son enrôlement sur son téléphone personnel. L’enrôlement consiste à répéter les consignes audio plusieurs fois pour générer son gabarit vocal.
Pour utiliser T2P, l’utilisateur peut soit de se connecter à son interface personnelle sécurisée afin de recueillir manuellement le code temporaire à usage unique généré par T2P, soit télécharger un module additionnel au navigateur Internet qui servira d’interface automatique au service.
l’utilisateur qui choisit un paiement par carte bancaire se connecte à son interface personnelle sécurisée T2P. 
ensuite, il demande au système de générer l’appel d’authentification. 
pour s’authentifier, il répond à cet appel en répétant la phrase qui lui est dictée par téléphone.
Après validation de son authentification, le système T2P génère un code temporaire à usage unique qui s’apparente au cryptogramme visuel à 3 chiffres. 
L’utilisateur s’identifie sur le site de commerce en ligne avec son identifiant et son mot de passe et remplit les informations relatives au paiement (type de carte, numéro, date d’expiration, et cryptogramme) avant de le confirmer.
si l’utilisateur choisit le paiement par carte bancaire alors, le formulaire de paiement s’affiche avec la fenêtre d’application « Talk to Pay ».
Dès lors, l’identifiant T2P de l’utilisateur est pré-rempli et celui-ci n’a plus qu’à le confirmer.
Il répond ensuite à l’appel d’authentification en répétant la phrase qui lui est dictée par téléphone.
Après validation de son authentification, le système T2P génère un code temporaire à usage unique qui s’apparente au cryptogramme visuel à 3 chiffres. 
L’utilisateur s’identifie sur le site de commerce en ligne avec son identifiant et son mot de passe. Si le formulaire de paiement n’est pas automatiquement complété, il remplit les informations relatives au paiement avant de le confirmer.
L’utilisateur a préalablement enregistré son identifiant et son mot de passe pour le site de commerce en ligne via l’application P2P.
Il clique sur l’icône du plugin T2P dans le navigateur et déclenche une authentification par biométrie vocale.
Il se connecte sur le site du e-commerçant et l’application T2P détecte qu’un identifiant et mot de passe sont connus pour ce site web. La fenêtre Talk to Pay s’affiche.
Le formulaire d’authentification d’accès au site de commerce est complété automatiquement avec l’identifiant et le mot de passe de l’utilisateur qui valide alors la connexion au site.
Il remplit son panier et choisit son mode de paiement (carte bancaire ou chèque).
S’il choisit le paiement par carte bancaire, la page du formulaire de paiement s’affiche et le formulaire est rempli automatiquement avec le code temporaire à usage unique sans nouvelle authentification de l’utilisateur. L’utilisateur peut alors confirmer le paiement.
De surcroît, le service T2P propose la conservation des identifiants et mots de passe de l’usager concernant les sites de commerce en ligne.
Lorsque le participant souhaite payer en ligne par carte bancaire en utilisant le système « Talk To Pay », il existe plusieurs parcours de paiement : 
- cas n°1 / l’application T2P n’est pas installée :
Le participant télécharge le formulaire à partir du lien d’inscription reçu et renseigne son nom, prénom et adresse électronique. Le formulaire signé est envoyé à la Direction des paiements de LCL.
Un identifiant et un mot de passe individuels sont adressés par courriel avec les informations permettant au participant de contacter l’assistance (notamment pour se désenrôler).
Dans un second temps, une carte bancaire dédiée à l’expérimentation est envoyée par courrier ou remise en main propre au participant. Le système 3D-Secure est désactivé pour ces cartes. L’apposition du cryptogramme visuel est maintenue mais inopérant.
L’utilisateur s’inscrit via une interface personnelle et sécurisée sur un site Internet dédié au projet d’expérimentation en utilisant son identifiant et son mot de passe reçus par courrier électronique. Il renseigne les coordonnées de la carte et son numéro de téléphone portable puis à la possibilité d’installer l’application T2P sur son ordinateur ou son smartphone.
Il répond ensuite à l’appel d’authentification en répétant la phrase qui lui est dictée par téléphone.
Après validation de son authentification, le système T2P génère un code temporaire à usage unique qui s’apparente au cryptogramme visuel à 3 chiffres. 
L’utilisateur s’identifie sur le site de commerce en ligne avec son identifiant et son mot de passe. Si le formulaire de paiement n’est pas automatiquement complété, il remplit les informations relatives au paiement avant de le confirmer.
L’utilisateur a préalablement enregistré son identifiant et son mot de passe pour le site de commerce en ligne via l’application P2P.
Il clique sur l’icône du plugin T2P dans le navigateur et déclenche une authentification par biométrie vocale.
Il se connecte sur le site du e-commerçant et l’application T2P détecte qu’un identifiant et mot de passe sont connus pour ce site web. La fenêtre Talk to Pay s’affiche.
Le formulaire d’authentification d’accès au site de commerce est complété automatiquement avec l’identifiant et le mot de passe de l’utilisateur qui valide alors la connexion au site.
Il remplit son panier et choisit son mode de paiement (carte bancaire ou chèque).
S’il choisit le paiement par carte bancaire, la page du formulaire de paiement s’affiche et le formulaire est rempli automatiquement avec le code temporaire à usage unique sans nouvelle authentification de l’utilisateur. L’utilisateur peut alors confirmer le paiement.
- cas n°2 / l’application T2P est déjà installée :
Le participant télécharge le formulaire à partir du lien d’inscription reçu et renseigne son nom, prénom et adresse électronique. Le formulaire signé est envoyé à la Direction des paiements de LCL.
Un identifiant et un mot de passe individuels sont adressés par courriel avec les informations permettant au participant de contacter l’assistance (notamment pour se désenrôler).
Dans un second temps, une carte bancaire dédiée à l’expérimentation est envoyée par courrier ou remise en main propre au participant. Le système 3D-Secure est désactivé pour ces cartes. L’apposition du cryptogramme visuel est maintenue mais inopérant.
L’utilisateur s’inscrit via une interface personnelle et sécurisée sur un site Internet dédié au projet d’expérimentation en utilisant son identifiant et son mot de passe reçus par courrier électronique. Il renseigne les coordonnées de la carte et son numéro de téléphone portable puis à la possibilité d’installer l’application T2P sur son ordinateur ou son smartphone.
Le participant est ensuite appelé par le service pour procéder à son enrôlement sur son téléphone personnel. L’enrôlement consiste à répéter les consignes audio plusieurs fois pour générer son gabarit vocal.
Pour utiliser T2P, l’utilisateur peut soit de se connecter à son interface personnelle sécurisée afin de recueillir manuellement le code temporaire à usage unique généré par T2P, soit télécharger un module additionnel au navigateur Internet qui servira d’interface automatique au service.