(Demande d’autorisation n° 1645445)
La Commission nationale de l'informatique et des libertés,
Saisie par la société ONEY TECH d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre les risques de fraude au paiement sur internet ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération BANQUE ACCORD n°2012-096 du 5 avril 2012 autorisant la modification par BANQUE ACCORD d’un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’octroi de crédit et à la carte bancaire ;
Vu le dossier et ses compléments ;
Après avoir entendu M. Jean-Paul AMOUDRY commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
ONEY TECH est la marque de crédit sur Internet de BANQUE ACCORD, filiale à 100% du Groupe AUCHAN. Cette société a pour objectif d’optimiser le savoir faire d’ONEY BANQUE ACCORD et de développer une solution de lutte contre la fraude sur Internet.
A cet effet, ONEY TECH présente un projet de traitement en vue de commercialiser une offre anti-fraude à destination des e-commerçants.
La Commission observe que la finalité du dispositif est double. Il s’agit d’une part, de détecter des tentatives de fraudes lors des transactions financières relatives aux  commandes réalisées sur internet, et d’autre part, d’inscrire sur un fichier des personnes à risques les clients qui auront commis une fraude avérée.
Dès lors, ce dispositif peut avoir pour effet d’exclure une personne d’un contrat ou d’empêcher, même temporairement, le porteur de faire usage de son moyen de paiement et relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée. Il doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
S’agissant du dispositif de détection et gestion des alertes permettant de lutter contre la fraude sur Internet :
Sur la finalité du traitement :
La société ONEY TECH souhaite commercialiser auprès des e-commerçants un outil d’aide à la décision dans la gestion de leurs commandes. La solution proposée vise à leur permettre de déterminer un niveau de confiance lié aux commandes réalisées sur internet.
Pour assurer un fonctionnement efficace de l’outil de détection des alertes, les informations collectées dans la base de données de la société ONEY TECH seront mutualisées. A cet effet, la Commission relève que la société met en œuvre les garanties suivantes :
le  cantonnement des informations collectées pour le secteur du e-commerce,
des paramètres déterminés et mis en œuvre dans des conditions visant à garantir l’absence de « faux positifs »,
une analyse au cas par cas et spécifique des commandes par un service spécialisé,
une durée de conservation des données limitée,
une information des personnes de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par le biais d’une mention figurant dans les conditions générales de vente du e-commerçant et dans ses formulaires de collecte d’informations, ainsi que sur le site de ONEY TECH.
L’outil de détection permettra de comparer les informations présentes dans les différentes commandes effectuées sur les sites des e-commerçants adhérents à l’offre ONEY TECH afin de repérer d’éventuelles incohérences, des comportements atypiques ou inhabituels des cyberconsommateurs.
Lorsque le niveau de confiance associé à une commande sera estimé trop « faible » pour que le e-commerçant puisse accepter la commande, des vérifications complémentaires pourront être engagées par ONEY TECH ou directement par le e-commerçant, sur la base desquelles le e-commerçant appréciera la suite à donner à une commande du client. A cet égard, il  pourra demander au client de recourir à un moyen de paiement alternatif à la carte bancaire ou accepter la commande. Ainsi, les e-commerçants qui adhéreront à ce dispositif seront les seuls décisionnaires de la commande du client.
La Commission observe que pour permettre au e-commerçant d’effectuer l’analyse manuelle de la commande du client, ONEY TECH l’informera sur les données incohérentes de la commande devant faire l’objet de vérifications. Dès lors, ONEY TECH communiquera uniquement l’information devant être vérifiée et non pas le détail des informations dont elle dispose sur la commande litigieuse.
La Commission prend acte que les alertes générées par ce traitement donneront systématiquement lieu à une analyse au cas par cas et spécifique. A cet égard,  elle observe également qu’avant toute décision de refus, des vérifications complémentaires seront effectuées au vu des éléments déjà fournis par le demandeur et qu’il sera possible à celui-ci de faire valoir ses observations et de faire réexaminer sa situation.
Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
La Commission estime que ces finalités sont déterminées, explicites et légitimes conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Les catégories de données traitées transmises systématiquement par les e-commerçants sont relatives :
- à l’identité des personnes concernées : nom, prénom, adresse postale et adresse électronique du client, identifiant du client chez le commerçant ;
- au lieu de livraison de l’achat : nom, prénom, adresse postale, adresse de courriel, mode de livraison, nom du transporteur, adresse du point-retrait ou autre lieu de livraison ;
- aux données de la transaction : identifiant du commerçant auprès duquel la transaction est effectuée, référence de la commande, montant et devise de la transaction, date et heure de la transaction, adresse IP de l’ordinateur utilisé, nombre de produits achetés, liste des produits, nombre par produit, prix unitaire du produit, mode de paiement.
Les catégories de données complémentaires pouvant être transmises par les e-commerçants sont relatives :
- à l’identification du client : qualité du client (entreprise ou particulier), civilité, numéros de téléphone (fixe, mobile, domicile, travail), numéro de fax ;
- à la transaction : nombre d’achats, montant des achats, montant cumulé des achats, date et heure de la première et de la dernière commande ;
- au lieu de livraison : titre donné par le client à l’adresse de livraison, numéros de téléphone (fixe, mobile), numéro de fax, nombre et montant des achats livrés à cette adresse, date de la première et de la dernière commande, signalement permettant de savoir que la commande étudiée ne concerne pas l’adresse habituelle (facturation ou livraison) ;
- aux données complémentaires aux adresses communiquées par le client pour la facturation et la livraison de la commande : présence d’un digicode à l’entrée du bâtiment, numéro de porte, numéro du bâtiment ;
La Commission observe que les données du relevé d’identité bancaire (RIB), peuvent être communiquées hachées par le e-commerçant à ONEY TECH lorsque le client règle sa commande par virement ou prélèvement.
Les données relatives à la pièce d’identité ne seront collectées  que dans le cadre des vérifications complémentaires réalisées, soit par ONEY TECH, soit par le e-commerçant, lorsque qu’il existe des suspicions de fraude identifiées par le système d’analyse des transactions.
La Commission relève que le contrôle opéré par ONEY TECH consiste alors en un contrôle de cohérence à partir de la bande MRZ figurant sur la pièce d’identité. Les documents justificatifs d’identité seront conservés pendant le délai de 15 mois à des fins probatoires (ex : contestation par le client de sa commande). Passé ce délai, ils seront détruits. S’agissant des autres pièces et documents justificatifs communiqués à l’appui de la demande, ONEY TECH procèdera à une analyse au cas par cas et spécifique.
La Commission observe que la société ONEY TECH souhaite prendre en compte  deux nouveaux paramètres relatifs d’une part, au formulaire d’authentification (lorsque le client dispose d’un compte) ou au formulaire alternatif renseigné par le client (en l’absence de compte client), et d’autre part, à la détermination de l’identifiant machine.
L’analyse du formulaire permet de collecter des informations sur le comportement de l’utilisateur lorsqu’il le complète au cours du processus d’achat.
Ainsi, les données collectées permettent de scénariser le comportement d’un internaute  pour générer un score sur la base d’indicateurs préalablement identifiés comme pertinents pour détecter la fraude.
Les quatre indicateurs retenus par ONEY TECH sont : le « swap », le « swap/coller », l’auto complétion, et la durée de saisie d’un champ du formulaire.
La Commission observe que le « swap » avant ou pendant la saisie d’un champ, consiste pour le client à changer d’onglet sur son navigateur internet ou à changer de logiciel avant d’y revenir. Le « swap/coller », est un swap suivi du collage d’une information qui a été préalablement copiée. L’auto complétion vise à sélectionner l’un des choix proposé par le navigateur lorsque le client commence à taper (l’utilisateur ayant préalablement renseigné cette donnée dans un formulaire).
Pour le calcul du risque de fraude, ONEY TECH précise que ces indicateurs seraient uniquement collectés sur les champs : nom, e-mail, téléphone, adresse de facturation, adresse de livraison lorsque le client crée un compte, ainsi que l’identifiant et le mot de passe lorsque le client dispose déjà d’un compte. De plus, ces éléments ne seront pas comparés avec les éléments collectés lors d’une éventuelle saisie postérieure par la même personne.
La Commission estime que pour le calcul du score, ces  indicateurs collectés par l’intermédiaire du formulaire, sont adéquats, pertinents et non excessifs au regard de la finalité du traitement.
L’identifiant machine correspond à un code généré à partir des données techniques de l’ordinateur et du navigateur de l’internaute.
Cet identifiant est obtenu à partir du décalage de l’horloge de l’ordinateur, du  type de navigateur et de sa version, de la liste des plugins installés et de leur version, de la liste des polices de caractères disponibles et de l’adresse IP.
Ainsi, lors de commandes successives, l’identifiant machine permettra de déterminer si elles ont été effectuées à partir du même poste informatique.
La Commission relève que parmi ces données, le décalage de l’horloge interne, la liste des plugins installés ainsi que la liste des polices de caractères, seront collectées directement sur l’ordinateur du client. Il convient donc de faire application des dispositions de l’article 32-II de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Les données enregistrées dans la base mutualisée seront conservées pendant une durée de 15 mois, à l’exception des données relatives  à la relation commerciale qui seront conservées 6 mois. A l’issue de ces délais, les données non inscrites dans le fichier des personnes à risques figureront dans une base statistique ne comprenant aucune donnée identifiante.
Les traces relatives aux opérations du personnel de la société ONEY TECH seront conservées pendant une durée de 6 mois afin de vérifier les possibles comportements anormaux dans le cadre du traitement de lutte contre la fraude, puis seront pseudonymisées. Elles seront ensuite conservées pour une durée de 11 mois à des fins d’amélioration de la qualité des services et de formation des enquêteurs.
Concernant le formulaire, les informations collectées via l’outil seront conservées au-delà de la durée de la commande. Dès lors, ces informations seront conservées sous une forme indirectement nominative dans les bases de données statistiques pendant une durée de 15 mois, puis seront supprimées. Elles permettront de vérifier la pertinence des règles de détection et de les actualiser si nécessaire.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Sur les destinataires des données :
Les personnes habilitées à accéder au traitement sont, dans la limite de leurs attributions :
le service informatique de la société ONEY TECH ;
les analystes fraude chargés de définir les règles de détection de fraudes sont    habilités en mode consultation ;
le service d’audit interne.
La liste des destinataires n’appelle pas d’observation particulière.
Sur l'information des personnes, les droits d'accès, de rectification et d'opposition :
Les personnes concernées sont informées de l’existence du traitement de lutte contre la fraude ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention figurant dans les conditions générales de vente ainsi que dans les formulaires de collecte de données du e-commerçant ainsi que sur le site de la société ONEY TECH.
La Commission prend acte qu’un contrat sera conclu entre le e-commerçant partenaire et la société ONEY TECH dans lequel une clause spécifique prévoira que le partenaire s’engage à introduire la mention d’information dans ses conditions générales de vente et dans ses formulaires de collecte.
Les droits d’accès, de rectification et d’opposition s’exercent directement auprès de la société ONEY TECH par courrier électronique à l’adresse suivante :  contact@sellsecure.com.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
S’agissant de l’identifiant machine, la Commission rappelle que la collecte qui se fait directement sur l’ordinateur du client, pour les données relatives au décalage de l’horloge interne, à la liste des plugins et à la liste des polices de caractères, n’est possible qu’à condition de respecter les dispositions de l’article 32-II de la loi du 6 janvier 1978 modifiée.
A cet égard, l’identifiant machine ne sera collecté qu’après avoir obtenu le consentement du client dûment informé de la finalité de cette collecte  et des moyens dont il dispose pour s’y opposer. Ce consentement est distinct de l’acceptation des conditions générales de ventes.
S’agissant du fichier des personnes à risques :
Sur la finalité du traitement :
Les informations relatives aux commandes pour lesquelles des fraudes avérées auront été détectées feront l’objet d’une inscription en liste noire. Il s’agit pour ONEY TECH de conserver une trace d’une précédente fraude. Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Seul le service en charge des enquêtes manuelles de la société ONEY TECH pourra enregistrer les données dans le fichier. Ces personnes saisiront les données à partir de leur poste de travail, sur lequel elles se seront préalablement authentifiées. Les commerçants partenaires de ONEY TECH n’auront pas accès au fichier.
Lorsqu’une alerte  sera générée par l’outil et dans l’hypothèse où le e-commerçant effectuera lui-même les vérifications de la commande, ONEY TECH lui communiquera uniquement la donnée devant faire l’objet de vérifications.
La Commission estime que ces finalités sont déterminées, explicites et légitimes conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Les données inscrites en liste noire sont relatives :
- à l’identité des personnes concernées : nom, prénom, adresse postale, numéros de téléphones (fixe, mobile), numéro de fax, adresse électronique, date et lieu de naissance, code INSEE du lieu de naissance, code interne permettant l’identification du client, informations relatives à la pièce d’identité (type de pièce, numéro, date de délivrance, date d’expiration, lieu et autorité de délivrance);
- aux informations d’ordre économique et financier : 4 premiers chiffres de la carte bancaire (BIN) et 4 derniers chiffres, libellé du porteur, RIB haché, montant et date de l’incident de paiement, identification du site internet « victime » de l’incident ;
- aux données de connexion : adresse IP de l’ordinateur,
- à la transaction en ligne : nom, prénom du client, lieu et adresse de livraison.
Par ailleurs, la Commission observe que lorsqu’une enquête révèle l’existence d’une  infraction, aucune information relative à celle-ci ne sera enregistrée.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Les données relatives aux transactions pour lesquelles des fraudes avérées ont été détectées font l’objet d’une inscription en liste noire pendant une durée de 3 ans.
La Commission considère, compte tenu de la finalité poursuivie, que la durée de conservation est pertinente, adéquate et non excessive au sens de l'article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
Les personnes destinataires du fichier de prévention des risques au sein de ONEY TECH, sont les services suivants :
le personnel habilité du service informatique de ONEY TECH ;
le service des enquêtes pour l’inscription des données en liste noire en cas de fraude avérée ;
les analystes fraude chargés de définir les règles de détection de fraudes sont habilités en mode consultation ;
le service d’audit interne.
La Commission observe que les e-commerçants n’ont en aucun cas accès aux données inscrites en liste noire.
La liste des destinataires n’appelle pas d’observation particulière.
Sur l'information des personnes :
Les personnes sont informées à deux stades :
au-delà de l’information prévue au titre du traitement de détection et gestion des alertes permettant de lutter contre la fraude, ONEY TECH informe le client que ses données sont susceptibles d’être inscrites en liste noire dans le cadre du traitement visant à évaluer les risques liés aux commandes,
par ailleurs, préalablement à l’enregistrement des données dans le fichier des personnes à risques, un courrier est adressé par ONEY TECH au client lui indiquant que, sauf contestation de sa part dans un délai de 15 jours, ses coordonnées seront inscrites dans ce fichier. L'inscription en liste noire se fait à l'expiration du délai de contestation ou de la phase de vérification du bien-fondé de la contestation.
S’agissant des deux dispositifs :
Sur la sécurité des données et la traçabilité des actions :
Lors de l’enregistrement des nouvelles données dans les bases de données statistiques, ces dernières sont pseudonymisées.
Il existe des profils d’habilitations qui définissent les fonctions ou les types d’informations accessibles par le personnel de ONEY TECH. Seules les personnes chargées de l’analyse manuelle sont habilitées à traiter les informations et à procéder aux analyses nécessaires.
Le personnel habilité de la société ONEY TECH accède aux données collectées grâce à un identifiant et mot de passe.
La complexité des mots de passe est d’une longueur minimale de huit caractères, comportant trois types de caractères distincts. Le mot de passe sera modifié par l’utilisateur dès sa première connexion, puis tous les soixante jours. Ils seront hachés en base de données à l’aide de l’algorithme HMAC-SHA1 à clé secrète.
Les e-commerçants disposeront également d’un identifiant et d’un mot de passe pour se connecter à l’application sur internet. Les mots de passe répondent à la même complexité que décrite précédemment. De plus, les commerçants doivent se connecter au site Internet depuis une adresse IP préalablement identifiée.
Les opérations effectuées sur l’application, ainsi que les accès aux fichiers de données à caractère personnel, sont tracés.
Les transferts de données entre le e-commerçant  et la société ONEY TECH ou par ONEY TECH vers le e-commerçant sont sécurisés par l’utilisation du protocole SSL. Il en va de même lorsque le e-commerçant accède aux données sur le site internet de ONEY TECH.
La Commission relève que s’agissant des données liées au comportement du client lors du renseignement des formulaires, les données seront préalablement chiffrées par le navigateur du client.
Toutes les données reçues et conservées par ONEY TECH sont sauvegardées quotidiennement et chiffrées avant tout processus de sauvegarde. Les données dont la durée de conservation est à échéance seront automatiquement supprimées toutes les nuits.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Dans ces conditions, la Commission autorise la société ONEY TECH à mettre en œuvre  le traitement précité.
La Présidente
Isabelle FALQUE-PIERROTIN