La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur le rapport de Monsieur Jean Paul AMOUDRY, commissaire, et les observations de Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
BONPRIX, société de vente à distance établie en France, a saisi la Commission nationale de l’informatique et des libertés d’un projet de traitement automatisé de données à caractère personnel dont la finalité est d’identifier parmi ses clients résidant aux Pays-Bas qui commandent pour la première fois, ceux présentant un risque d’impayé afin de ne leur proposer un paiement après réception que de manière limitée.
Sur la procédure suivie auprès de la Commission
La Commission observe que le traitement a pour objet d’identifier des clients présentant un risque d’impayé en cas d’utilisation du mode de paiement après réception. Dès lors, il peut avoir pour effet d’exclure la personne concernée du bénéfice de ce mode de paiement en cas de commande dont le montant serait supérieur à 30 euros. En conséquence, il relève des dispositions du 4° de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la CNIL.
Sur les finalités et les fonctions du traitement
Le traitement d’évaluation du risque d’impayé comporte trois vérifications successives.
Dans un premier temps, BONPRIX interroge la base d’impayés de sa maison mère située en Allemagne. En cas d’existence d’un impayé, le paiement après réception sera refusé si la commande porte sur un montant supérieur à 30 euros.
Dans le cas contraire, BONPRIX procède à un second contrôle. Il met en œuvre un traitement d’analyse statistique du risque de défaut de paiement attaché à la commande. Les critères pris en compte afin d’évaluer ce risque sont relatifs à la commande (type de produit, quantité et montant). Si le résultat de ce traitement indique que la commande présente un risque d’impayé, le paiement après réception est limité aux commandes d’un montant de 30 euros maximum.
Dans le cas où la commande n’est pas identifiée comme risquée, un troisième contrôle est opéré : les données relatives à l’identification du client et son adresse sont transmises aux Pays-Bas à la société EXPERIAN qui procède à de nouvelles vérifications. Si à l’issue de ces contrôles, la commande n’est pas identifiée comme présentant un risque d’impayé, la personne concernée peut utiliser le mode de paiement après réception quel que soit le montant de la commande.
La Commission observe que le mode de paiement après réception, disponible aux Pays Bas, génère un volume d’impayés important rendant légitime et proportionnée la mise en place de ce traitement.
La Commission prend acte que l’exclusion résultant de la mise en œuvre de ce traitement ne porte que sur la possibilité d’utiliser le paiement après réception pour des commandes d’un montant supérieur à trente euros. La personne concernée a toujours la possibilité de passer une commande auprès de BONPRIX en utilisant un autre moyen de paiement.
La Commission observe que seuls les nom, prénoms, date de naissance et adresse sont transmis à la société EXPERIAN.
La Commission prend acte que ces données ne sont pas conservées par la société EXPERIAN ni transmises à d’autres personnes susceptibles de recourir aux services proposés par ce sous-traitant ou utilisées pour analyser les commandes d’autres commerçants.
Enfin, la Commission prend acte que ce traitement n’a pas pour finalité la constitution d’une « liste noire » de clients identifiés comme présentant un risque d’impayé ou ayant généré un impayé et qu’il ne permet pas d’alimenter la base d’impayés de la maison mère située en Allemagne.
Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, les personnes exclues du bénéfice du paiement après réception sont mises en mesure de présenter leurs observations.
Sur les données traitées et la durée de conservation :
Les catégories de données collectées sont :
-  des données d’identification : civilité, nom, prénom, date et lieu de naissance  adresse, numéro de téléphone et adresse mail et
des informations relatives à la commande : le type de produit, la quantité et le montant.
La consultation de la base d’impayés de la maison mère en Allemagne permet à BONPRIX de collecter des informations relatives à l’existence d’un impayé.
Les résultats de l’analyse de risque effectuée par BONPRIX et du contrôle opéré par EXPERIAN sont conservés dans l’application pendant la durée nécessaire à l’analyse de la commande.
La Commission prend acte que les résultats de l’analyse de risques effectuée par BONPRIX et des vérifications opérées par EXPERIAN ne sont pas conservées au-delà du temps nécessaire à la réalisation de la transaction. Les autres données sont conservées pendant la durée de la relation commerciale augmentée de la durée de prescription c'est-à-dire de cinq ans.
Sur les destinataires du traitement
Seuls trois membres de la Direction financière sont habilités à prendre connaissance du résultat des vérifications. Les personnels habilités de la Direction clientèle peuvent également être destinataires de ces informations sous la forme d’un code « Client Prépaiement seulement » ou « Client tous paiements ».
Les données d’identification sont transmises à la société mère en Allemagne pour procéder à la consultation de la base d’impayés du groupe.
La Direction des systèmes d’information peut également recevoir communication de ces informations.
Les actions effectuées par ces personnes sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Sur les mesures de sécurité
L’accès à ce traitement se fait au moyen d’un mot de passe individuel relevant d’un niveau de sécurité suffisant et régulièrement renouvelé.
Sur les modalités d’information et d’exercice des droits des personnes physiques
Les personnes sont informées de la mise en œuvre de ce traitement conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une clause des conditions générales de vente figurant dans les catalogues et sur le site internet de BONPRIX.
Le droit d’accès s’exerce auprès de la société BONPRIX conformément aux dispositions de l’article 39 de la loi susvisée.
Dans ces conditions, la Commission autorise la société BONPRIX à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre les impayés à la première commande.
La Présidente