La Commission nationale de l'informatique et des libertés,
Saisie par BANQUE ACCORD d'une demande d'autorisation modificative concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l'octroi de crédit et à la carte bancaire ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I°4);
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le récépissé n°852674 ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l'informatique et des libertés a été saisie par BANQUE ACCORD d'une demande d'autorisation modificative relative à un traitement automatisé de données à caractère personnel déclaré auprès de la Commission en 2003. Les modifications projetées visent à renforcer le procédé de lutte contre la fraude de BANQUE ACCORD à l'aide de deux dispositifs visant respectivement à lutter contre les tentatives d'obtention frauduleuses de crédit et à prévenir les utilisations frauduleuses des cartes émises par la banque.
La Commission observe que la finalité des deux dispositifs est de détecter des tentatives de fraude ou des incohérences figurant dans les demandes de crédits réalisées par des particuliers par internet, téléphone ou en magasin et les opérations réalisées à l'aide d'une carte émise par Banque Accord qui sont susceptibles d'être constitutives d'une fraude et nécessitent de ce fait une confirmation du porteur. Dès lors, ces dispositifs peuvent avoir pour effet d'exclure une personne d'un contrat de crédit ou d'empêcher, même temporairement, le porteur de faire usage de son moyen de paiement en l'absence de dispositions législatives ou réglementaires le prévoyant.
Dès lors, ils relèvent du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doivent, à ce titre, faire l'objet d'une autorisation de la CNIL.
S'agissant du dispositif visant à lutter contre les tentatives d'obtention frauduleuse de crédit :
Sur la finalité et les modalités du traitement :
Le traitement vise à lutter contre la fraude à l'octroi de crédit. Il permet de détecter des incohérences entre les demandes de crédits effectuées par des particuliers et les informations fournies au titre de précédentes demandes enregistrées dans la base de données clients de BANQUE ACCORD.
Les pièces d'identité fournies à l'appui des demandes de crédit font l'objet d'un contrôle au moyen d'une solution logicielle fournie par un prestataire. Celui-ci vérifie la cohérence de la bande MRZ figurant sur les pièces d'identité. Il élabore et transmet un rapport à BANQUE ACCORD. Les autres pièces et documents justificatifs transmis à l'appui de la demande de crédit font l'objet d'une analyse manuelle effectuée par BANQUE ACCORD.
Les dossiers comportant une anomalie feront l'objet d'une analyse manuelle par un service centralisé, la Cellule fraude de BANQUE ACCORD. Les personnels de cette cellule procéderont alors à des vérifications approfondies afin de confirmer ou non la tentative de fraude. Après étude, la cellule conclura à l'acceptation ou au refus du dossier et retransmettra celui-ci au chargé de clientèle.
La Commission prend acte que les alertes générées par ce traitement donneront systématiquement lieu à une analyse manuelle.
Elle observe également qu'avant toute décision de refus, des vérifications complémentaires seront effectuées au vu des éléments déjà fournis par le demandeur et qu'il lui sera possible de faire valoir ses observations et de faire réexaminer sa situation.
Conformément aux dispositions de l'article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n'est donc prise à l'égard des personnes concernées.
Les données collectées pourront également être utilisées sous une forme indirectement nominative à des fins de vérification et d'actualisation des règles de détection.
La Commission prend acte que le prestataire procédant au contrôle des documents d'identité agit exclusivement au nom et pour le compte de Banque Accord et qu'il ne conserve aucune trace des vérifications qui ont été effectuées.
La Commission constate que la finalité du traitement est déterminée, explicite et légitime.
Sur la nature des données traitées :
Les catégories de données analysées lors de la recherche des incohérences sont relatives à :
- L'identification de l'acheteur emprunteur : noms, prénoms, date et lieu de naissance, code INSEE du lieu de naissance, code interne permettant l'identification du client, numéro et type de pièce d'identité présentée, la date de délivrance et d'expiration, le lieu et l'autorité de délivrance de la pièce d'identité ;
- les données de communication de l'emprunteur : adresse de résidence, numéros de téléphone fixe et mobile, numéro de fax, adresse email, adresse IP ;
- la souscription du crédit : date et heure de souscription du crédit, l'identifiant du site sur lequel est effectuée la souscription,
- aux informations d'ordre économique et financier : relevé d'identité bancaire, numéro de carte bancaire haché et BIN de la carte bancaire, date de fin de validité, libellé du porteur et le RIB.
- à la commande financée à crédit : référence, montant, nombre de produits achetés, typologie de produit, adresse de livraison, le cas échéant, nom et prénom de la personne en charge de la réception de l'achat.
La Commission observe que les données collectées sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.
Sur la durée de conservation des données :
En cas d'incohérence avérée, les informations collectées seront enregistrées sous la forme d'un code et conservées pendant une durée de cinq ans.
La Commission considère que cette durée de conservation des données est nécessaire à la finalité pour laquelle elles sont collectées.
Sur les destinataires des données :
Seuls ont accès à cette application les personnels habilités de la Cellule fraude de BANQUE ACCORD. Les actions effectuées par ceux-ci seront tracées afin de permettre de détecter et d'analyser tout accès, modification et suppression de données.
Ces destinataires n'appellent pas d'observations de la part de la Commission.
Sur l'information des personnes, l'exercice des droits d'accès, de rectification et d'opposition :
Conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, les demandeurs de produits bancaires sont informés de la mise en œuvre de ce traitement ainsi que des modalités d'exercice de leurs droits d'accès, de rectification et d'opposition au moyen des documents qui leur sont communiqués au moment de la demande de produit.
En outre, les personnes susceptibles d'être inscrites sur la liste noire feront systématiquement l'objet d'une information individuelle dans le cadre d'un courrier postal. Ce courrier précisera que sauf contestation de sa part sous 5 jours permettant le cas échéant de démontrer qu'il n'y a pas de fraude avérée, ses coordonnées seront inscrites dans le traitement de lutte contre la fraude.
La Commission observe que l'information individuelle est de nature à permettre à la personne concernée d'exercer ses droits notamment en cas d'usurpation d'identité.
Les droits d'accès, de rectification et d'opposition s'exercent conformément aux dispositions des 38 et suivants de la loi du 6 janvier 1978 modifiée auprès du Service consommateur de BANQUE ACCORD situé 4-6 rue Jeanne Maillote, 59 110 La Madeleine.
S'agissant du dispositif ayant pour finalité la lutte contre la fraude à la carte bancaire :
Sur la finalité et les modalités du traitement:
Le traitement vise à émettre des alertes en temps réel sur la base d'une analyse des transactions effectuées par carte bancaire, afin de détecter les éventuelles opérations frauduleuses et d'en limiter les conséquences dommageables en permettant l'adoption de mesures adaptées dans les meilleurs délais.
La Commission observe que les fraudes recherchées correspondent à des utilisations illégitimes d'une carte bancaire, d'une carte privative ou des données qui leur sont attachées, lorsque ces utilisations risquent d'avoir des conséquences préjudiciables pour le porteur de la carte ou son établissement bancaire. Les utilisations d'une carte par son porteur légitime qui sont rendues irrégulières du seul fait d'un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d'alertes.
Les critères pris en compte pour la production des alertes sont le volume et le nombre de transactions sur une période donnée et le comportement habituel du porteur établis à partir d'informations relatives aux canaux, aux horaires et aux pays d'utilisation de la carte bancaire, au montant et au nombre moyen de transactions par canal.
A chaque alerte, un niveau de risque global est calculé sur la base de ces critères.
Les alertes ainsi obtenues sont traitées selon les modalités suivantes :
En cas de détection de comportement inhabituel, une alerte est produite et le Service Fraude opérationnelle de BANQUE ACCORD effectue une analyse de la transaction. Dans le cas où la suspicion de fraude persiste, le service Fraude opérationnelle contacte le client afin de vérifier s'il est bien à l'origine d'une ou des transactions en cause.
Dans les cas où le porteur conteste avoir réalisé les transactions, la carte sera mise en opposition.
En cas d'indice de risque de fraude jugé élevé ou en présence de plusieurs alertes, le Service Fraude opérationnelle peut décider de bloquer le moyen de paiement ou d'appliquer à la carte bancaire une restriction temporaire de fonctionnement pendant le temps nécessaire à la prise de contact avec le porteur. En cas de blocage du moyen de paiement, BANQUE ACCORD informe le porteur dans les conditions prévues à l'article D133-1 du code monétaire et financier.
Le traitement automatisé sera paramétré en fonction d'un niveau de risque jugé acceptable par le responsable de traitement afin de ne pas multiplier le nombre de fausses alertes susceptibles de provoquer une gêne injustifiée pour les porteurs légitimes de cartes.
La Commission observe que ce traitement de détection des alertes ne permet pas d'établir une  liste noire  des porteurs présentant un risque mais seulement d'analyser les alertes émises sur des cartes délivrées par BANQUE ACCORD. La Commission prend également acte que ce traitement ne servira pas à identifier les commerçants ou les terminaux de paiements auxquels correspondent un taux significatif d'utilisations frauduleuses ou de tentatives d'utilisation frauduleuse.
Enfin, ce traitement permet d'établir une typologie des utilisations frauduleuses de cartes émises par BANQUE ACCORD, élaborée sur la base d'un traitement statistique de l'historique des transactions réalisées par carte et, le cas échéant, d'actualiser le modèle de détection.
La Commission observe que la finalité du traitement est adéquate, pertinente et non excessive.
Sur la nature des données traitées :
Les catégories de données collectées sont relatives :
- à l'identification du porteur : nom, prénom, date et lieu de naissance et numéro de client,
- aux données de communication du porteur : code postal de résidence, numéro de téléphone et adresse mail du porteur,
- aux informations d'ordre économique et financier : numéro de carte bancaire, nombre moyen de transactions et montant moyen des transactions réalisées par le porteur, canal habituel d'utilisation de la carte, horaires habituels d'utilisation, montant et nombre moyen de transactions par canal, pays habituel d'utilisation, données relatives aux transactions effectuées à l'aide des cartes émises par BANQUE ACCORD.
La Commission observe que les données relatives à l'identification du porteur et à sa vie personnelle permettent uniquement de vérifier l'adéquation ou l'inadéquation de l'utilisation de la carte ayant généré une alerte.
La Commission considère que des données sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.
Sur la durée de conservation des données :
Les données sont analysées sur une période maximum de trois jours. En outre, la période d'analyse des transactions effectuées à l'aide des cartes émises par BANQUE ACCORD afin de définir le comportement habituel du porteur s'étend sur une période de quatre mois.
Cette durée de conservation n'appelle pas d'observations de la part de la Commission compte tenu notamment de la fréquence d'utilisation des cartes émises par BANQUE ACCORD.
Sur les destinataires des données :
Seuls ont accès au traitement, les personnels habilités de la Cellule fraude de BANQUE ACCORD. Les actions effectuées par ceux-ci seront tracées afin de permettre de détecter et d'analyser tous accès, modifications et suppressions de données non autorisées.
Ces destinataires n'appellent pas d'observations de la part de la Commission.
Sur l'information des personnes, l'exercice des droits d'accès, de rectification et d'opposition :
Conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de la mise en œuvre et des conséquences de ce traitement lors de la signature du contrat porteur.
Les droits d'accès, de rectification et d'opposition s'exercent conformément aux dispositions des articles 38 et suivants de la loi du 6 janvier 1978 modifiée auprès du Service consommateur de BANQUE ACCORD situé 4-6 rue Jeanne Maillote, 59 110 La Madeleine.
Ces modalités d'information et d'exercice des droits n'appellent pas d'observations de la part de la Commission.
S'agissant des deux dispositifs :
Sur la sécurité des données et la traçabilité des actions :
Les modalités d'authentification des utilisateurs n'appellent pas d'observations de la part de la Commission. Les mots de passe sont d'une longueur de 8 caractères, et contiennent obligatoirement lettres majuscules et minuscules, chiffres et caractères spéciaux. Ils sont régulièrement renouvelés, et stockés hachés.
Des mesures de sécurité sont mises en place pour assurer la confidentialité des données, notamment le chiffrement des échanges externes au moyen du protocole HTTPS, et le hachage des numéros de carte bancaire pour ce qui est du traitement de lutte contre la fraude à l'octroi de crédit.
Des fonctionnalités de journalisation sont mises en œuvre pour les deux traitements. Celles-ci permettent de tracer l'ensemble des opérations effectuées dans l'application, afin de pouvoir détecter a posteriori d'éventuels accès frauduleux aux données. S'agissant du dispositif visant à lutter contre les tentatives d'obtention frauduleuse de crédit, les traces sont conservées pendant une durée de 3 mois en base active et sont ensuit archivées pendant une durée de 10 ans. S'agissant du dispositif de lutte contre la fraude à la carte bancaire, les traces sont conservées pendant 400 jours et ne sont accessibles qu'au service audit de BANQUE ACCORD.
Les autres mesures de sécurité n'appellent pas de remarque particulière de la Commission.
Dans ces conditions, la Commission autorise BANQUE ACCORD à modifier son traitement de données à caractère personnel ayant pour finalité la lutte contre la fraude à l'octroi de crédit et à la carte bancaire.
La Présidente
Isabelle FALQUE-PIERROTIN