(Demande d’autorisation n° 1710724)
La Commission nationale de l'informatique et des libertés,
Saisie par le CREDIT MUTUEL ARKEA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de lutter contre la fraude à l’identité;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le CREDIT MUTUEL ARKEA agit en qualité de responsable de traitement pour les trois fédérations suivantes qui la composent : le Crédit Mutuel de Bretagne, le Crédit Mutuel du Massif central et le Crédit Mutuel du Sud-ouest.
Sur la finalité
La finalité du traitement est la lutte contre la fraude à l’identité.
Le traitement vise à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié). Il est mis en œuvre dans le cadre de l’entrée en relation et lors de contrôles menés postérieurement à l’ouverture du compte.
Le CREDIT MUTUEL ARKEA a recours à l’application « IdentTT » de la société CTMS qui permet une saisie en ligne des éléments de contrôle de la ligne MRZ et l’obtention d’un résultat en temps réel. L’application ne procède à aucune conservation de données ainsi renseignées en ligne.
Le CREDIT MUTUEL ARKEA contrôle la cohérence des données d’état civil, des données de délivrance et des données de la bande MRZ des pièces d’identité (cartes nationales d'identité, passeports, visa, titre de séjour).
Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées. Le traitement mis en œuvre est un outil d’aide à l’analyse des documents d’identité présentés par la personne concernée lors de l’entrée en relation avec le CREDIT MUTUEL ARKEA. La Commission prend acte qu’en cas de détection d’anomalie, une analyse complémentaire sera effectuée afin, le cas échéant, de confirmer la tentative de fraude. En effet, lorsque l’analyse de l’outil conclut à la non-conformité du document, le conseiller se rapproche du directeur de la caisse et du service de contrôle permanent qui validera ou non la poursuite de la relation client.
Si l’authenticité des documents est confirmée, il est fait droit à la demande du client. Dès lors, ce traitement peut ainsi, du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion.
Le présent traitement est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
La Commission observe que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données traitées sont relatives :
- à l’identité des personnes concernées : le nom, le(s) prénom(s), le sexe, l’adresse, la date et lieu de naissance,
- aux documents d’identité : le numéro de document, le numéro de la pièce d’identité, la date d’établissement, la date d’expiration, les 6 derniers caractères de la bande MRZ de la pièce d’identité et la bande MRZ figurant en bas des documents d’identité.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seuls ont accès aux données traitées les conseillers concernés de l’agence et le personnel du service risque et contrôle de la maison mère. Ils sont en nombre limité.
Ces destinataires n'appellent pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention sur internet ainsi que dans les conditions générales de compte du client.
Elles peuvent exercer leurs droits auprès du Service Relations Clientèle de chaque fédération.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe et un contrôle d’accès logique.
Chaque utilisateur dispose d'un identifiant qui lui est propre et d’un mot de passe composé de 8 caractères comprenant à la fois des lettres majuscules et minuscules, des chiffres et des caractères spéciaux. Ce dernier est renouvelé tous les 60 jours.
La Commission rappelle que les mots de passe doivent être changés par l’utilisateur à la première connexion et régulièrement.
Une journalisation des opérations de connexion à l’application, de vérification des pièces et du résultat de ces opérations est réalisée via un outil mis à disposition par RESOCOM. La Commission rappelle que les utilisateurs doivent être informés que leurs actions font l'objet d'une journalisation. L’accès à l’application est sécurisé au moyen du protocole HTTPS.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.
Dans le cas d’une réponse positive, c’est-à-dire, si le document d’identité n’est pas validé, son impression est numérisée et intégrée au dossier réglementaire du client. En cas de réponse négative, c’est-à-dire si le document d’identité est validé, aucun fichier n’est créé.
Les autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, le CREDIT MUTUEL ARKEA à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN