(Demande d’autorisation n°1635171)
La Commission nationale de l’informatique et des libertés ;
Saisie par la Caisse d’épargne Lorraine Champagne Ardenne d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L561-5 et R561-5;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La Caisse d’épargne Lorraine Champagne Ardenne, ci-dessous dénommée la CELCA.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise à détecter les documents d’identité présentant des anomalies susceptibles de révéler une fraude à l’identité (faux documents ou documents falsifiés) provenant, d’une part des personnes souhaitant entrer en relation avec la CELCA, et d’autre part, des personnes déjà clientes, au cours de la relation d’affaires.
La Commission observe que cette finalité est déterminée, explicite et légitime.
Lorsque le contrôle automatique de l’outil « IdenTTT » est négatif et que le contrôle manuel réalisé par le service lutte anti fraudes confirme cette analyse, le CELCA refuse l’entrée en relation du client avec la banque.
Ce traitement peut ainsi, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée en 2004 et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Sur les données traitées
Les catégories de données traitées sont relatives :
- à l’identification des personnes : nom, prénom, adresse, photographie, date et lieu de naissance,
- aux documents d’identité :
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Pour la carte nationale d’identité : nom de famille (nom de jeune fille), prénom(s), sexe, date de naissance, ligne MRZ, et numéro du document ;
Pour le passeport et le titre de séjour : sexe, numéro du document, date de naissance, date d’établissement et date d’expiration.
Sur les destinataires
Seuls les conseillers clientèles de la CELCA en charge du suivi de la relation commerciale (les chargés d’affaires ou de comptes) et recevant les personnes souhaitant entrer en relation avec la CELCA ou les clients actuels, auront accès à ce traitement.
Dans le cadre des missions de contrôles de second niveau, le service lutte anti-fraude, peut également avoir accès à ces informations.
En cas d’anomalie, seuls les collaborateurs du service de lutte anti fraude auront également accès à ces informations.
La Commission estime que ces destinataires ont un intérêt légitime à avoir communication de ces données.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la CELCA sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention d’information qui figure dans la convention de compte transmise lors de la signature du contrat.
En outre, un affichage au sein des agences bancaires indique les droits d’accès et de rectification qui s’exercent auprès du Service Relations Clientèles de la CELCA, 2, rue royale, BP 70784-57012 Metz Cedex.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Seules les personnes habilitées par la Direction de la conformité, peuvent utiliser l’outil. Il s’agit des commerciaux et des collaborateurs du service de la lutte anti fraude.
Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique basé sur un identifiant unique par collaborateur et un mot de passe. Celui-ci contient au moins 8 caractères comportant au moins 3 des 4 types de caractères (minuscules, majuscules, chiffres, caractères spéciaux), il doit être renouvelé  tous les 90 jours et ne peut être identique aux précédents 24 mots de passe utilisés par le collaborateur.
Lorsque la pièce d’identité contrôlée est conforme, le résultat du contrôle n’est pas conservé. La pièce d’identité sera intégrée au dossier du client. Toutefois, pour l’agence à distance « Mon banquier en ligne » les résultats des contrôles sont conservés conformément aux dispositions légales en vigueur (articles R.563-1 et L.561-10 du code monétaire et financier relatifs à la « connaissance client »).
Sur le processus de vérification, les informations permettant l'évaluation de la validité de la pièce d'identité sont directement saisies sur le serveur du prestataire via une connexion sécurisée par SSL. Le prestataire s'est engagé à ce qu'aucune donnée ne soit conservée.
Les consultations ou modifications de données dans le système d’information de gestion de la clientèle font l’objet d’une traçabilité. Les connexions à l’outil sont tracées par des logs de connexion conservés pendant un an.
Les mesures de sécurité mises en place n’appellent pas d’autre observation.
Sur les autres caractéristiques du traitement
Le client qui souhaite entrer en relation avec la banque, présente ses documents d’identité au collaborateur en charge du suivi de la relation commerciale. Un contrôle automatique est réalisé par l’outil « IdenTT ». Si le contrôle est positif (pièce d’identité valide) l’entrée en relation avec le client est réalisée et le collaborateur crée une fiche client dans l’application de gestion des clients. Dans le cas d’un contrôle négatif (pièce d’identité non valide) une alerte est adressée instantanément au service lutte anti fraude qui  procédera à un contrôle de second niveau. Si ce contrôle confirme que la pièce d’identité n’est pas valide l’entrée en relation n’aura pas lieu.
Ainsi, et conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
Pour toute entrée en relation le justificatif d’identité du client est numérisé et intégré systématiquement dans le dossier numérique du client. Le fichier pdf résultant du contrôle négatif est enregistré dans le dossier numérique uniquement pour l’agence « Mon banquier en ligne ».
Les données collectées sont conservées pendant la durée nécessaire à la vérification des documents d’identité. Une fois le contrôle effectué, les données et les documents relatifs à l’identité des clients sont conservées pendant une durée de 5 années à compter de la clôture du compte ou de la cessation de la relation.
Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.
Autorise, conformément à la présente délibération, la Caisse d’épargne Lorraine Champagne Ardenne, à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN