(Demande d’autorisation n° 1627297)
La Commission nationale de l’informatique et des libertés,
Saisie par la société RueduCommerce SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection des transactions présentant un risque de fraude ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu M. Bernard PEYRAT, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Sur le responsable du traitement
La société RueduCommerce SA est une société de distribution de produits informatiques et électroniques grand public exclusivement sur Internet (« pure player »).
Dans le cadre de son activité de vente en ligne, de 2006 à 2011, la société RueduCommerce SA, ci-dessous  dénommée RdC, a constaté que les clients ayant déjà tenté de commettre une fraude avaient, dans de nombreux cas, renouvelé de telles tentatives de fraudes.
La société RdC a indiqué à la CNIL que le montant de ces tentatives équivaudrait à son résultat net de 2010 et 2011.
Sur la finalité
La société RdC a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité la détection des transactions présentant un risque de fraude et susceptibles de générer un impayé.
Afin de lutter contre les tentatives de fraude à la carte bancaire effectuées lors d’achats à distance, la société RdC souhaite mettre en œuvre un traitement comportant deux modules :
le premier module permettra d’évaluer si les transactions de clients dits « à risque » (tels que les personnes résidant à l’étranger ou déclarant une adresse de livraison distincte de leur adresse de résidence) présentent ou non de réels risques de fraude, notamment via l’étude de documents justificatifs de leur identité et de leur domicile ;
le second module permettra d’enregistrer les données relatives aux clients suspectés de fraude et qui sont effectivement à l’origine d’un impayé, afin d’identifier, lors d’une prochaine commande, que leur dossier présente un risque particulier de fraude.
La Commission considère qu’un tel traitement peut avoir pour effet d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant, en leur ôtant la possibilité de recourir librement à ce mode de paiement à distance. En conséquence, au titre de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée, ce traitement  doit faire l’objet d’une autorisation de la Commission.
Les fraudes recherchées correspondent uniquement à des utilisations illégitimes de cartes bancaires ou des données qui y sont attachées, lorsque ces utilisations risquent d’avoir des conséquences préjudiciables pour la société RdC. Les utilisations d’une carte par son porteur légitime rendues irrégulières du seul fait d’un défaut de provision ne font en revanche pas partie des risques de fraude visés.
Compte tenu de l’ensemble de ces éléments, la Commission considère que la finalité assignée au traitement est déterminée, explicite et légitime.
Sur les données traitées
Pour répondre à l’objectif de détection des fraudes, la société recourt à un outil d’évaluation des risques.
Dans ce cadre, les catégories de données traitées concernent :
l’identification des personnes concernées : nom, prénom, adresse postale de facturation, numéros de téléphone et adresse de courrier électronique, historique des achats ;
les données de connexion : adresse IP ;
les informations d’ordre économique et financier : type et numéro de la carte bancaire, date de validité ;
les informations relatives à la commande : montant et, le cas échéant, montant cumulé sur une période déterminée, références et désignation du ou des produits achetés, prix unitaires, quantité, mode de livraison et données relatives à la livraison (identité du destinataire, adresse électronique, adresses postales, numéros de téléphone).
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Ces données sont conservées dans le traitement déclaré pendant une durée de 36 mois pour permettre de procéder à une analyse manuelle et approfondie des commandes effectuées pendant cette période, notamment lorsque celles-ci présentent une ou plusieurs caractéristiques communes.
En outre, les noms, prénoms et adresses des clients suspectés de fraude et à l’origine d’impayés seront enregistrés dans un traitement spécifique, conservé 36 mois, en vue de détecter de nouvelles transactions présentant un risque de fraude.
La Commission rappelle que, si les données enregistrées à la suite d'un impayé ne résultent finalement pas d’une tentative de fraude, celles-ci doivent être supprimées dès que le montant total des impayés enregistrés a été réglé.
En effet, le traitement mis en œuvre par la société RdC vise uniquement à identifier les clients susceptibles de commettre une nouvelle fraude, à l’exclusion des clients ayant rencontré des difficultés de paiement.
Sur les destinataires
Seul le personnel expressément habilité du service interne d’administration des ventes de la société RdC est susceptible d’accéder à ce traitement. Ceci n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, au moyen d’un courrier adressé par RdC dans le cadre de la demande de justificatifs.
Lorsqu’une commande a donné lieu à une fraude et à un impayé, les données mentionnées sont conservées dans un traitement spécifique.
La personne concernée est alors informée de cette conservation au moyen d’un courrier personnalisé des conséquences potentielles de cet enregistrement et de ses droits.
Les droits d’accès et de rectification s’exercent auprès du Service Correspondant CNIL, Rue du Commerce SA, 44 avenue du Capitaine Glarner, 93 400 SAINT OUEN.
Sur les mesures de sécurité
L’authentification des utilisateurs respecte les recommandations de la Commission en la matière et l’ensemble des connexions des agents habilités au traitement de la société RdC sont tracées.
Par ailleurs, la société RdC reçoit les pièces justificatives susmentionnées par courriel.
Or, l’article 34 de la loi du 6 janvier 1978 modifiée dispose que « le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès ».
Conformément à ces dispositions, la société RdC s’est engagée à assurer une transmission sécurisée des pièces justificatives en mettant à la disposition de ses clients, sur la page de leur compte individuel en ligne, un formulaire spécifique permettant le téléchargement de ces pièces.
Les autres mesures de sécurité, tant physique que logique, n’appellent pas d’observation de la Commission.
Sur les autres caractéristiques du traitement
Les critères pris en compte pour identifier des risques présentés par la commande sont analysés au regard de règles de fréquence et de récurrence sur une période donnée.
L’ensemble des commandes passées sur le site de RdC font l’objet de cette analyse.
En cas de transaction identifiée comme présentant un risque de fraude, le service d’administration des ventes de la société RdC procèdera à une analyse empirique et à une instruction ciblée afin de confirmer ou non le caractère frauduleux de la transaction.
Si les vérifications complémentaires permettent d’écarter tout risque de qualification en fraude, la commande se poursuit normalement. Dans le cas contraire, elle est annulée. Le client en est informé et mis en mesure de présenter ses observations dans le cadre de la demande d’éléments complémentaires.
La Commission prend acte que, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, les résultats du traitement feront l’objet d’une instruction au cas par cas, et non automatisée.
Autorise, conformément à la présente délibération, la société RueduCommerce SA à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN