(Demande d’autorisation n° 1880188)
La Commission nationale de l'informatique et des libertés,
Saisie par la Société VIDRESSING SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation des risques et la prévention de la fraude au paiement par carte bancaire et à la livraison lors des achats sur son site internet ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
VIDEDRESSING SAS est une société française de vente à distance sur Internet par intermédiation.
Sur la finalité
La société VIDEDRESSING SAS a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité la prévention de la fraude au paiement par carte bancaire et à la livraison lors des achats sur son site internet.
Le traitement mis en œuvre permet l’analyse des commandes en temps réel et l’attribution d’un score lié à la commande. Le système de score est établi avec le prestataire de service de paiement. Les critères pris en compte pour l’analyse sont le montant et la fréquence des transactions.
Les fraudes recherchées correspondent à des utilisations illégitimes de cartes de paiement ou des données qui y sont attachées lorsque ces utilisations risquent d’avoir des conséquences préjudiciables pour la société VIDEDRESSING SAS. Les utilisations d’un moyen de paiement par son titulaire légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alerte.
On distingue deux types de paiements : les paiements en une seule fois et les paiements en trois fois.
Dans le premier cas, il existe un contrôle systématique des commandes passées sur le site internet www.videdressing.com  payées par carte bancaire et éligibles au système 3D Secure. Il s’agit d’une analyse automatique par l’outil de détection de fraude du prestataire de paiement.
Dès lors, le prestataire renvoie à VIDEDRESSING SAS une proposition d'autorisation ou de refus de transaction. En cas de transaction identifiée comme présentant un risque de fraude, le service anti fraude de la société VIDEDRESSING SAS procède à une analyse manuelle et approfondie de la commande pour confirmer ou non le caractère frauduleux de la transaction.
La Commission relève que pour les cartes étrangères et certaines cartes bancaires d’entreprises non éligibles au système 3DS, des contrôles a posteriori sur la transaction sont effectués par la société VIDEDRESSING SAS.
Dans le second cas, pour les paiements en trois fois, la vérification 3D Secure est systématique. Elle est réalisée en amont de la transaction. Dès lors, le processus est identique à celui mis en œuvre pour les paiements réalisés en une fois pour les cartes éligibles au système 3D Secure.
La Commission observe que le contrôle est opéré de façon régulière dès la passation de la commande et au plus tard avant l’expédition du produit par le vendeur, en fonction des cas précédemment exposés. Passé ces délais, la transaction devient définitive, c’est-à-dire que l’article est  expédié par le vendeur à l’acheteur. Dès lors, la société VIDEDRESSING SAS ne peut plus interférer sur la vente.
La Commission relève qu’au stade du contrôle manuel, la transaction peut être qualifiée de « douteuse » à partir des critères cumulatifs d’analyse des risques présentés par la commande.
La transaction qualifiée de « douteuse » passe ensuite en statut « en cours de validation ». Ce statut génère un courrier électronique automatiquement envoyé à l’acheteur pour lui demander des documents complémentaires (une copie recto de la carte d’identité et un justificatif de domicile). En l’absence de réponse par l’acheteur sous un délai de 5 jours, la transaction est annulée.
Si les vérifications complémentaires permettent d’écarter tout risque de fraude, la commande se poursuit normalement, et le produit est expédié par le vendeur à l’acheteur.
Dès lors, la Commission considère que ce traitement peut avoir pour effet d’exclure des personnes, même temporairement, du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant, en leur ôtant la possibilité de passer une commande sur le site VIDEDRESSING SAS lorsqu’ils ne disposent pas des moyens de paiement alternatifs proposés.
Par ailleurs, la Commission considère que, dès lors qu’une présomption de fraude est confirmée à la suite de l’analyse complémentaire effectuée par la société VIDEDRESSING SAS, la personne doit être informée individuellement, par écrit, des raisons de l’annulation de sa commande ou de toute décision lui portant grief en lui donnant la possibilité de présenter ses observations.
La fraude avérée correspond à un cas de fraude caractérisée sur la base de critères objectifs tels que la falsification de pièces justificatives ou l’opposition auprès de la banque par le titulaire légitime.
La Commission prend acte que, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, les résultats du traitement feront l’objet d’une instruction par le service chargé de la prévention de la fraude au cas par cas, et non automatisée.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données traitées sont les suivantes :
identification : nom, prénom, adresse postale, photographie (recto de la carte d’identité) et justificatif de domicile, date et lieu de naissance,
informations relatives à la commande : numéro de commande, montant de la commande, type de carte bancaire et pays de livraison de la commande.
Les critères d’analyse des risques présentés par la commande prennent en compte les données suivantes :
date de création du profil de l’acheteur ;
historique de commandes de l’acheteur ;
adresse postale et de livraison de l’acheteur ;
montant de la commande concernée ;
pays de la carte bancaire utilisée ;
commentaires publics entre l’acheteur et le vendeur sur la fiche de l’article commandé sur le site internet.
Ces critères sont cumulatifs et établis à partir des règles de fréquence et de récurrence déterminées par la société VIDEDRESSING SAS.
Une copie recto de la pièce d’identité et un justificatif de domicile de la personne ayant passé commande peuvent également être collectés, dans des conditions permettant de garantir la transmission et la conservation de ces documents de manière sécurisée. Les pièces justificatives sont supprimées après vérification et conservées au maximum pendant 24h.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
- de la Direction Service client ;
L’accès au traitement est restreint, d’une part, au prestataire de services de paiement et, d’autre part, aux seuls collaborateurs habilités de la société VIDEDRESSING SAS :
- de la Directrice Juridique et trust ;
- du Service Finance et lutte anti-fraude.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention sur le site internet.
Lors de la survenance de l’incident susceptible de donner lieu à une inscription en liste noire, les personnes concernées sont informées préalablement, par courrier électronique, des conséquences potentielles de cet enregistrement, de leurs  droits et de la possibilité de présenter leurs observations ou de régulariser leur situation dans un délai de 15 jours.
Les droits d’accès et de rectification s’exercent par courrier auprès du service clients de VIDEDRESSING à l’adresse postale suivante : 11, avenue Parmentier 75011 PARIS, ou par courrier électronique : serviceclient@videdressing.com.
Sur les mesures de sécurité
L’ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Les mesures de sécurité mises en place n’appellent pas d’observations.
Sur les autres caractéristiques du traitement
Les données sur les éventuels fraudeurs (nom, prénom, numéro de commande, numéro de client interne et montant de la commande) sont conservées en base archive par le prestataire de paiement pendant une année.
La Commission relève que, dès lors qu'un fraudeur a été identifié par la société VIDEDRESSING SAS, son adresse électronique est inscrite dans la liste noire détenue par le prestataire de service de paiement. Seuls les collaborateurs du Service risque du prestataire ont accès à la liste noire.
En cas d’annulation de commande, le service comptabilité conserve pendant 6 mois, une trace papier de la commande et de l’échange avec l’émetteur de la carte de paiement VIDEDRESSING SAS n’a pas connaissance des identifiants du moyen de paiement. Les échanges se font sur la base d’un numéro d’autorisation ou d’un numéro de transaction.
Les données relatives à la carte de paiement sont traitées par  VIDEDRESSING SAS le temps de la transaction. Ces données sont ensuite archivées par le prestataire monétique pendant une durée maximale de 15 mois.
Il existe une liste des impayés en cours, également détenue par le prestataire. Cette liste permet de bloquer les commandes non réglées. Dans cette hypothèse, la société VIDEDRESSING SAS contacte le vendeur pour lui demander de régulariser sa situation. L’inscription sur cette liste prend fin au moment de la régularisation de l’impayé. En l’absence de régularisation, le vendeur est alors inscrit en liste noire.
Les données qui font l’objet d’une inscription en liste noire sont conservées pendant une durée de 3 ans.
Les autres caractéristiques du traitement n’appellent pas d’observations.
Autorise, conformément à la présente délibération, la société VIDEDRESSING SAS à mettre en œuvre le traitement susmentionné.
Pour La Présidente
La Vice-Présidente déléguée,
M.-F. MAZARS