AgentPublic/cnil huggingface dataset:
b) Les conséquences de la diffusion, sur la liste électorale consulaire, de l'adresse électronique et l'année de naissance de chaque électeurLa sécurité du système de vote électronique s'appuie notamment sur trois données personnelles de chaque électeur.- l'adresse postale qui est utilisée pour communiquer par courrier la carte à gratter portant l'identifiant ;- l'adresse électronique qui est utilisée pour communiquer par courriel le mot de passe (authentifiant), et s'il est nécessaire de le récupérer , pour communiquer un lien à usage unique ;- l'année de naissance qui est utilisée en réponse au défi/réponse permettant d'activer ce lien à usage unique et récupérer le mot de passe.Or, ces données personnelles, utilisées pour adresser et récupérer le matériel de vote (identifiant, mot de passe, défi/réponse ), font partie de la liste électorale consulaire qui est elle-même communicable.Il en résulte notamment deux risques identifiés : la récupération de l'identifiant en interceptant le courrier postal ou le SMS, d'une part, la récupération de l'authentifiant en piratant l'adresse électronique d'autre part.Le premier risque, inévitablement résiduel, est d'ailleurs assumé par le Ministère. En effet, rendre difficile la récupération de l'identifiant est limité par la communication de l'adresse postale sur la liste électorale, la sécurité des courriers postaux acheminés dans un pays étranger, et/ou par la confidentialité du SMS.En revanche, le second risque est maîtrisable car la
publicité donnée aux adresses électroniques des électeurs facilite les piratages éventuels de leur messagerie électronique. La Commission recommande donc :o d'utiliser une adresse électronique réservée aux échanges entre l'électeur et l'Administration,o et de modifier la réponse au défi/réponse par une donnée qui ne fasse pas partie de la liste consulaire et qui soit moins aisément accessible qu'une année de naissance.
c) Un dispositif d'alerte par un électeur des autorités et les mesures nécessaires en cas de soupçon de corruption du matériel de voteL'alinéa 4 de l'article 4 du projet d'arrêté prévoit une procédure en cas de pertepour récupérer son authentifiant, via un lien à usage unique, envoyé à cette même adresse électronique .La Commission observe que les hypothèses de vol ou de corruption du matériel de vote ou des vecteurs de communication (téléphone portable, adresses postale et électronique) ne sont pas prévues dans le texte.Or, dans ces circonstances, il paraît indispensable que l'électeur puisse facilement et rapidement alerter les autorités, par exemple dans l'hypothèse de courriel intercepté ou de carte à gratter dont l'identifiant était déjà découvert à réception du courrier postal. En réponse, les autorités doivent prendre les mesures de sécurité nécessaires pour remédier à cette faille, telles que révoquer le matériel de vote ; assurer, si les délais le permettent, l'accès à une procédure alternative ou générer un nouveau matériel de vote.La Commission demande au Ministère de définir la procédure permettant à un électeur d'alerter les autorités administratives et à ces dernières de prendre les mesures nécessaires, en cas de soupçon de corruption du matériel de vote (identifiant, authentifiant) ou des vecteurs de communication.La Commission prend acte que le Ministère s'est engagé à communiquer une adresse électronique par courrier postal, en même temps que son
identifiant. La Commission demande toutefois à ce que cette adresse soit largement diffusée.
d) La séparation des prestataires d'envoi des identifiants et des authentifiantsPour garantir un niveau de sécurité satisfaisant, il convient de recourir à deux prestataires distincts : l'un pour adresser aux électeurs leur identifiant, le second pour leur authentifiant.Le système expertisé par la société C [ALTI] confirme le recours à deux prestataires distincts : la société D [KOBA] et la société E [GEDICOM].Cependant, bien que le premier prestataire [KOBA] ne soit en charge que des travaux d'éditique (imprimer et mettre sous pli les identifiants adressés par courrier postal), le second prestataire [GEDICOM] est chargé d'envoyer non seulement les identifiants par SMS mais également les mots de passe (authentifiants) par courriel.Or, en disposant de l'identifiant et de l'authentifiant, il ne reste qu'à prendre communication de la liste électorale pour connaître la réponse au défi/réponse et donc voter. On rappellera que la réponse au défi/réponse est, à ce jour, l'année de naissance de l'électeur qui, en plus d'être une donnée aisément accessible, est communiquée avec la liste électorale.La Commission considère la séparation des prestations d'envois des identifiants et des authentifiants comme nécessaire. En conséquence, le dispositif doit être modifié.Ainsi, il conviendrait :- soit de mettre en place une procédure satisfaisante permettant d'assurer la traçabilité et la destruction des identifiants (suppression totale, absence de copie, ...) avant de livrer au prestataire
les authentifiants des électeurs ;- soit de changer de prestataire pour l'envoi des SMS (un 3ème prestataire) ou pour l'envoi des courriers (pour choisir un prestataire capable d'adresser les identifiants par SMS et courriers postaux).Des deux options proposées, le Ministère s'est engagé à mettre en place la première en offrant une procédure satisfaisante pour assurer la traçabilité et la destruction des identifiants avant de livrer les authentifiants.
De plus, l'article 3 du projet d'arrêté développe le cadre de la maîtrise d'œuvre confiée à un prestataire technique, en précisant notamment :A l'issue des opérations électorales, le prestataire leur restitue les fichiers restant en sa possession et détruit toutes les copies, totales ou partielles, qu'il a été amené à effectuer, sur quelque support que ce soit. Toutefois, le rapport d'audit, notamment en pages 28 et 30, met en évidence la nécessité de compléter l'expertise sur ce point avant le vote réel.Si l'article R.179-1 du code électoral prévoit qu'A l'expiration du délai de recours [...], il est procédé, sous le contrôle de la commission électorale, à la destruction de ces supports et données , incluant d'ailleurs les prestataires dans son champ d'application, la Commission prend acte que les procédures de destruction des données et de traçabilité mises en œuvre par les prestataires techniques ne sont pas précisées à ce jour.
e) Le principe du protocole HTTPS Le rapport d'audit se développe à partir du postulat que l'électeur se connecte au site de vote électronique avec le protocole sécurisé HTTPS . Le protocole HTTPS est donc le principe.Pourtant, certaines circonscriptions électorales consulaires se situent dans des pays étrangers ne permettant pas de garantir l'utilisation de ce protocole sécurisé tout au long d'une procédure de vote. En effet, certains gouvernements peuvent avoir mis en place un dispositif technique (exemple : un pare feu firewall ) refusant toute connexion entrant ou sortant de leur territoire avec le protocole HTTPS .La Commission prend acte que le Ministère s'engage à ce que le vote électronique ne soit pas possible sans utiliser le protocole HTTPS .Le Ministère indique également la mise en place, plusieurs mois avant le premier scrutin, d'un dispositif de vérification permettant notamment à l'électeur de s'assurer qu'il peut voter à partir d'un ordinateur donné ; complété d'une plateforme d'assistance en ligne guidant l'électeur pour procéder aux éventuelles mises à jour techniques nécessaires.De plus, une note d'information disponible sur le site de l'élection détaillera comment l'électeur peut détecter ou se prémunir des risques de fraude.
La Présidente
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, Saisie par BANQUE ACCORD d'une demande d'autorisation modificative concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l'octroi de crédit et à la carte bancaire ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I°4);Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le récépissé n°852674 ;Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,Formule les observations suivantes :La Commission nationale de l'informatique et des libertés a été saisie par BANQUE ACCORD d'une demande d'autorisation modificative relative à un traitement automatisé de données à caractère personnel déclaré auprès de la Commission en 2003. Les modifications projetées visent à renforcer le procédé de lutte contre la fraude
de BANQUE ACCORD à l'aide de deux dispositifs visant respectivement à lutter contre les tentatives d'obtention frauduleuses de crédit et à prévenir les utilisations frauduleuses des cartes émises par la banque.
La Commission observe que la finalité des deux dispositifs est de détecter des tentatives de fraude ou des incohérences figurant dans les demandes de crédits réalisées par des particuliers par internet, téléphone ou en magasin et les opérations réalisées à l'aide d'une carte émise par Banque Accord qui sont susceptibles d'être constitutives d'une fraude et nécessitent de ce fait une confirmation du porteur. Dès lors, ces dispositifs peuvent avoir pour effet d'exclure une personne d'un contrat de crédit ou d'empêcher, même temporairement, le porteur de faire usage de son moyen de paiement en l'absence de dispositions législatives ou réglementaires le prévoyant.
Dès lors, ils relèvent du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doivent, à ce titre, faire l'objet d'une autorisation de la CNIL.
S'agissant du dispositif visant à lutter contre les tentatives d'obtention frauduleuse de crédit :Sur la finalité et les modalités du traitement :Le traitement vise à lutter contre la fraude à l'octroi de crédit. Il permet de détecter des incohérences entre les demandes de crédits effectuées par des particuliers et les informations fournies au titre de précédentes demandes enregistrées dans la base de données clients de BANQUE ACCORD. Les pièces d'identité fournies à l'appui des demandes de crédit font l'objet d'un contrôle au moyen d'une solution logicielle fournie par un prestataire. Celui-ci vérifie la cohérence de la bande MRZ figurant sur les pièces d'identité. Il élabore et transmet un rapport à BANQUE ACCORD. Les autres pièces et documents justificatifs transmis à l'appui de la demande de crédit font l'objet d'une analyse manuelle effectuée par BANQUE ACCORD.Les dossiers comportant une anomalie feront l'objet d'une analyse manuelle par un service centralisé, la Cellule fraude de BANQUE ACCORD. Les personnels de cette cellule procéderont alors à des vérifications approfondies afin de confirmer ou non la tentative de fraude. Après étude, la cellule conclura à l'acceptation ou au refus du dossier et retransmettra celui-ci au chargé de clientèle. La Commission prend acte que les alertes générées par ce traitement donneront systématiquement lieu à une analyse manuelle.Elle observe également qu'avant toute décision de refus, des vérifications complémentaires seront
effectuées au vu des éléments déjà fournis par le demandeur et qu'il lui sera possible de faire valoir ses observations et de faire réexaminer sa situation. Conformément aux dispositions de l'article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n'est donc prise à l'égard des personnes concernées.
Les données collectées pourront également être utilisées sous une forme indirectement nominative à des fins de vérification et d'actualisation des règles de détection.
La Commission prend acte que le prestataire procédant au contrôle des documents d'identité agit exclusivement au nom et pour le compte de Banque Accord et qu'il ne conserve aucune trace des vérifications qui ont été effectuées.
La Commission constate que la finalité du traitement est déterminée, explicite et légitime.
Sur la nature des données traitées :Les catégories de données analysées lors de la recherche des incohérences sont relatives à : - L'identification de l'acheteur emprunteur : noms, prénoms, date et lieu de naissance, code INSEE du lieu de naissance, code interne permettant l'identification du client, numéro et type de pièce d'identité présentée, la date de délivrance et d'expiration, le lieu et l'autorité de délivrance de la pièce d'identité ; - les données de communication de l'emprunteur : adresse de résidence, numéros de téléphone fixe et mobile, numéro de fax, adresse email, adresse IP ; - la souscription du crédit : date et heure de souscription du crédit, l'identifiant du site sur lequel est effectuée la souscription, - aux informations d'ordre économique et financier : relevé d'identité bancaire, numéro de carte bancaire haché et BIN de la carte bancaire, date de fin de validité, libellé du porteur et le RIB. - à la commande financée à crédit : référence, montant, nombre de produits achetés, typologie de produit, adresse de livraison, le cas échéant, nom et prénom de la personne en charge de la réception de l'achat.La Commission observe que les données collectées sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.
Sur la durée de conservation des données :En cas d'incohérence avérée, les informations collectées seront enregistrées sous la forme d'un code et conservées pendant une durée de cinq ans.
La Commission considère que cette durée de conservation des données est nécessaire à la finalité pour laquelle elles sont collectées.
Sur les destinataires des données :Seuls ont accès à cette application les personnels habilités de la Cellule fraude de BANQUE ACCORD. Les actions effectuées par ceux-ci seront tracées afin de permettre de détecter et d'analyser tout accès, modification et suppression de données.
Ces destinataires n'appellent pas d'observations de la part de la Commission.
Sur l'information des personnes, l'exercice des droits d'accès, de rectification et d'opposition :Conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, les demandeurs de produits bancaires sont informés de la mise en œuvre de ce traitement ainsi que des modalités d'exercice de leurs droits d'accès, de rectification et d'opposition au moyen des documents qui leur sont communiqués au moment de la demande de produit.En outre, les personnes susceptibles d'être inscrites sur la liste noire feront systématiquement l'objet d'une information individuelle dans le cadre d'un courrier postal. Ce courrier précisera que sauf contestation de sa part sous 5 jours permettant le cas échéant de démontrer qu'il n'y a pas de fraude avérée, ses coordonnées seront inscrites dans le traitement de lutte contre la fraude.La Commission observe que l'information individuelle est de nature à permettre à la personne concernée d'exercer ses droits notamment en cas d'usurpation d'identité.
Les droits d'accès, de rectification et d'opposition s'exercent conformément aux dispositions des 38 et suivants de la loi du 6 janvier 1978 modifiée auprès du Service consommateur de BANQUE ACCORD situé 4-6 rue Jeanne Maillote, 59 110 La Madeleine.
S'agissant du dispositif ayant pour finalité la lutte contre la fraude à la carte bancaire :Sur la finalité et les modalités du traitement: Le traitement vise à émettre des alertes en temps réel sur la base d'une analyse des transactions effectuées par carte bancaire, afin de détecter les éventuelles opérations frauduleuses et d'en limiter les conséquences dommageables en permettant l'adoption de mesures adaptées dans les meilleurs délais. 
La Commission observe que les fraudes recherchées correspondent à des utilisations illégitimes d'une carte bancaire, d'une carte privative ou des données qui leur sont attachées, lorsque ces utilisations risquent d'avoir des conséquences préjudiciables pour le porteur de la carte ou son établissement bancaire. Les utilisations d'une carte par son porteur légitime qui sont rendues irrégulières du seul fait d'un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d'alertes.
Les critères pris en compte pour la production des alertes sont le volume et le nombre de transactions sur une période donnée et le comportement habituel du porteur établis à partir d'informations relatives aux canaux, aux horaires et aux pays d'utilisation de la carte bancaire, au montant et au nombre moyen de transactions par canal.A chaque alerte, un niveau de risque global est calculé sur la base de ces critères.
Les alertes ainsi obtenues sont traitées selon les modalités suivantes : En cas de détection de comportement inhabituel, une alerte est produite et le Service Fraude opérationnelle de BANQUE ACCORD effectue une analyse de la transaction. Dans le cas où la suspicion de fraude persiste, le service Fraude opérationnelle contacte le client afin de vérifier s'il est bien à l'origine d'une ou des transactions en cause.Dans les cas où le porteur conteste avoir réalisé les transactions, la carte sera mise en opposition. En cas d'indice de risque de fraude jugé élevé ou en présence de plusieurs alertes, le Service Fraude opérationnelle peut décider de bloquer le moyen de paiement ou d'appliquer à la carte bancaire une restriction temporaire de fonctionnement pendant le temps nécessaire à la prise de contact avec le porteur. En cas de blocage du moyen de paiement, BANQUE ACCORD informe le porteur dans les conditions prévues à l'article D133-1 du code monétaire et financier.Le traitement automatisé sera paramétré en fonction d'un niveau de risque jugé acceptable par le responsable de traitement afin de ne pas multiplier le nombre de fausses alertes susceptibles de provoquer une gêne injustifiée pour les porteurs légitimes de cartes.
La Commission observe que ce traitement de détection des alertes ne permet pas d'établir une  liste noire  des porteurs présentant un risque mais seulement d'analyser les alertes émises sur des cartes délivrées par BANQUE ACCORD. La Commission prend également acte que ce traitement ne servira pas à identifier les commerçants ou les terminaux de paiements auxquels correspondent un taux significatif d'utilisations frauduleuses ou de tentatives d'utilisation frauduleuse.
Enfin, ce traitement permet d'établir une typologie des utilisations frauduleuses de cartes émises par BANQUE ACCORD, élaborée sur la base d'un traitement statistique de l'historique des transactions réalisées par carte et, le cas échéant, d'actualiser le modèle de détection.
La Commission observe que la finalité du traitement est adéquate, pertinente et non excessive.
Sur la nature des données traitées :Les catégories de données collectées sont relatives :- à l'identification du porteur : nom, prénom, date et lieu de naissance et numéro de client,- aux données de communication du porteur : code postal de résidence, numéro de téléphone et adresse mail du porteur,- aux informations d'ordre économique et financier : numéro de carte bancaire, nombre moyen de transactions et montant moyen des transactions réalisées par le porteur, canal habituel d'utilisation de la carte, horaires habituels d'utilisation, montant et nombre moyen de transactions par canal, pays habituel d'utilisation, données relatives aux transactions effectuées à l'aide des cartes émises par BANQUE ACCORD.
La Commission observe que les données relatives à l'identification du porteur et à sa vie personnelle permettent uniquement de vérifier l'adéquation ou l'inadéquation de l'utilisation de la carte ayant généré une alerte. La Commission considère que des données sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.
Sur la durée de conservation des données :Les données sont analysées sur une période maximum de trois jours. En outre, la période d'analyse des transactions effectuées à l'aide des cartes émises par BANQUE ACCORD afin de définir le comportement habituel du porteur s'étend sur une période de quatre mois.Cette durée de conservation n'appelle pas d'observations de la part de la Commission compte tenu notamment de la fréquence d'utilisation des cartes émises par BANQUE ACCORD.
Sur les destinataires des données :Seuls ont accès au traitement, les personnels habilités de la Cellule fraude de BANQUE ACCORD. Les actions effectuées par ceux-ci seront tracées afin de permettre de détecter et d'analyser tous accès, modifications et suppressions de données non autorisées.
Ces destinataires n'appellent pas d'observations de la part de la Commission.
Sur l'information des personnes, l'exercice des droits d'accès, de rectification et d'opposition :Conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de la mise en œuvre et des conséquences de ce traitement lors de la signature du contrat porteur.
Les droits d'accès, de rectification et d'opposition s'exercent conformément aux dispositions des articles 38 et suivants de la loi du 6 janvier 1978 modifiée auprès du Service consommateur de BANQUE ACCORD situé 4-6 rue Jeanne Maillote, 59 110 La Madeleine.
Ces modalités d'information et d'exercice des droits n'appellent pas d'observations de la part de la Commission.
S'agissant des deux dispositifs : Sur la sécurité des données et la traçabilité des actions :
Les modalités d'authentification des utilisateurs n'appellent pas d'observations de la part de la Commission. Les mots de passe sont d'une longueur de 8 caractères, et contiennent obligatoirement lettres majuscules et minuscules, chiffres et caractères spéciaux. Ils sont régulièrement renouvelés, et stockés hachés.
Des mesures de sécurité sont mises en place pour assurer la confidentialité des données, notamment le chiffrement des échanges externes au moyen du protocole HTTPS, et le hachage des numéros de carte bancaire pour ce qui est du traitement de lutte contre la fraude à l'octroi de crédit.
Des fonctionnalités de journalisation sont mises en œuvre pour les deux traitements. Celles-ci permettent de tracer l'ensemble des opérations effectuées dans l'application, afin de pouvoir détecter a posteriori d'éventuels accès frauduleux aux données. S'agissant du dispositif visant à lutter contre les tentatives d'obtention frauduleuse de crédit, les traces sont conservées pendant une durée de 3 mois en base active et sont ensuit archivées pendant une durée de 10 ans. S'agissant du dispositif de lutte contre la fraude à la carte bancaire, les traces sont conservées pendant 400 jours et ne sont accessibles qu'au service audit de BANQUE ACCORD.
Les autres mesures de sécurité n'appellent pas de remarque particulière de la Commission.
Dans ces conditions, la Commission autorise BANQUE ACCORD à modifier son traitement de données à caractère personnel ayant pour finalité la lutte contre la fraude à l'octroi de crédit et à la carte bancaire. 
La Présidente
 
Isabelle FALQUE-PIERROTIN