(demande d’autorisation n° 1974966)
La Commission nationale de l'informatique et des libertés,
Saisie par Groupement d’Intérêt Economique d’opérateurs de téléphonie mobile (GIE PREVENTEL) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection et la gestion de la fraude documentaire ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n° 04-072 du 21 septembre 2004, modifiée par la délibération n° 2009-147 du 26 février 2009, autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel relative à la prévention des impayés ;
Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie par le Groupement d’Intérêt Economique d’opérateurs de téléphonie mobile (GIE PREVENTEL) d’une demande d’autorisation concernant un traitement ayant pour finalité la détection et la gestion de la fraude documentaire.
Sur la finalité du traitement :
Le traitement vise à identifier et à gérer les risques de fraude documentaire lors d’une demande de souscription à un abonnement téléphonique.
En premier lieu, les informations fournies par le demandeur d’un abonnement de téléphonie mobile (en boutique, en ligne ou dans les points de vente des distributeurs) font l’objet d’une consultation dans le système d’information, lequel signale le nombre de récurrences de ces informations sur une période de quelques jours. Si des informations et documents identitaires ont été présentés plusieurs fois auprès de plusieurs opérateurs lors de la demande de souscription à un abonnement, le système d’information le signale à l’opérateur téléphonique. Le nombre de récurrences pouvant déclencher une alerte varie selon la politique de gestion des risques de fraude propre à chaque membre du GIE destinataire des informations.
En second lieu, l’adresse postale fournie par la personne concernée est comparée avec le système d’information du GIE PREVENTEL. Si cette adresse est identifiée comme attachée à une fraude avérée ayant été commise dans les derniers mois, par un certain nombre de personnes, une alerte sera enclenchée.
Si l’alerte est considérée par le membre du GIE PREVENTEL concerné comme une source sérieuse de risque de fraude, une intervention humaine a lieu : un contrôle et/ou des vérifications complémentaires peuvent être effectués (telles que la demande d’une pièce d’identité supplémentaire ou d'un second justificatif de domicile), ou des garanties peuvent être demandées (dépôt de garantie ou avance sur consommation). Ces vérifications et demandes de garantie ne sont pas systématiques en cas de détection d’un risque de fraude : le membre du GIE PREVENTEL peut décider d’autoriser la personne concernée à souscrire à un abonnement sans vérification ni demande de garantie complémentaire. A défaut de présentation des informations ou des garanties sollicitées de manière suffisante, le membre du GIE PREVENTEL peut refuser la demande de souscription d’abonnement de la personne concernée.
Ce traitement peut ainsi, du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale prévoyant une telle exclusion. Il est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
Toutefois, la Commission note que le traitement tend uniquement à détecter les demandes de souscription présentant un risque de fraude, sans tenir ni alimenter une liste d’exclusion. En d’autres termes, ni les personnes auxquelles des vérifications et/ou des garanties sont demandées ni les personnes dont la demande de souscription d’abonnement a été refusée ne sont inscrites sur une liste d’exclusion.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur la nature des données traitées :
Les données collectées sont celles qui sont transmises lors de la demande de souscription du contrat, à savoir :
• identité (civilité, sexe, nom, prénom, adresse, ses adresses courriel personnelles ou professionnelles, date et département de naissance) ;
• informations financières (RIB ou IBAN) ;
• justificatifs d’identité et de domicile, notamment collectés dans le cadre des demandes d’informations complémentaires.
Par ailleurs, lors de l’envoi des données au GIE, les opérateurs précisent les adresses postales qu’ils ont identifiées comme rattachées à une fraude avérée.
La Commission observe que des mesures sont prises pour éviter que l’alerte ne soit déclenchée sur la seule base d’une adresse postale préalablement identifiée comme rattachée à une fraude par un opérateur membre du GIE PREVENTEL. Ainsi, seule la récurrence d’une adresse postale attachée à une fraude déclenche l’alerte. Les noms et prénoms ne sont utiles que pour établir que cette adresse a été effectivement présentée par des personnes différentes. Aucune association n’est faite entre les données d’identité des demandeurs de souscription à un abonnement et l’auteur d’une fraude avérée.
Sur la durée de conservation des données :
Les données doivent être conservées pour la durée indiquée dans le dossier de demande d’autorisation, et en tout état de cause ne peuvent être conservées pour une durée excédant 180 jours. Il n’existe aucune conservation de données en base intermédiaire ni en archivage.
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie par le responsable de traitement.
Sur les destinataires des données :
Seules peuvent accéder aux données collectées les personnes suivantes :
• le personnel habilité du GIE PREVENTEL ;
• dans la limite des alertes transmises, les personnels des opérateurs.
Sur l'information des personnes :
Les personnes concernées, demandeurs à la souscription d’abonnement, sont informées des mentions prévues à l’article 32 de la loi Informatique et Libertés modifiée, par le biais de :
une mention d’information sur le site internet du GIE PREVENTEL ;
une mention d’information sur le site internet de l’opérateur ;
une mention dans les conditions générales de vente de l’opérateur ;
une affichette en boutique de l’opérateur ;
une information orale délivrée par l'opérateur lors de la demande de souscription.
Ces mentions doivent indiquer que le GIE PREVENTEL est responsable de traitement et préciser les modalités d’exercice des droits Informatique et Libertés .
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les personnes concernées peuvent exercer leurs droits d’accès, de communication, de rectification et d’opposition pour motifs légitimes auprès du GIE PREVENTEL.
Elles peuvent également faire parvenir au membre du GIE PREVENTEL concerné des observations qui seront prises en compte et analysées pour, le cas échéant, lever la demande de garantie ou débloquer le refus à la demande de souscription d’abonnement.
Ces personnes doivent justifier de manière non équivoque de leur identité (en fournissant par exemple la copie d’un document d’identité qui soit lisible et clair) par un courrier postal ou électronique.
Sur la sécurité des données et la traçabilité des actions :
La Commission prend note de la mise en œuvre de précautions utiles pour préserver la sécurité des données traitées, notamment pour empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.
Une gestion des habilitations permet de limiter l’accès aux données aux seules personnes dument habilitées et autorisées à en connaitre, en fonction de leur profil.
Des mesures de traçabilité sont mises en œuvre et un chiffrement des accès est déployé afin de sécuriser les échanges avec les membres du GIE.
Ces mesures de sécurité n’appellent pas d’observation de la Commission au regard de l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle néanmoins que l’exigence de sécurité prévue à l’article 34 de la loi nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise Groupement d’Intérêt Economique d’opérateurs de téléphonie mobile (GIE PREVENTEL) à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la détection et la gestion de la fraude documentaire.
La Présidente
Isabelle FALQUE-PIERROTIN