(Demande d’autorisation n° 1908073)
La Commission nationale de l'informatique et des libertés,
Saisie par GUILLEMOT CORPORATION SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation des risques et la prévention de la fraude au paiement et à la livraison lors des achats sur les sites internet de vente en ligne de la société ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 10 et 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978 ;
Vu la délibération n° 2013-358 du 14 novembre 2013 portant adoption d'une recommandation concernant le traitement des données relatives à la carte de paiement en matière de vente de biens ou de fourniture de services à distance ;  ;
Vu le dossier et ses compléments ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
GUILLEMOT CORPORATION SA, société anonyme spécialisée dans le secteur d'activité du commerce interentreprises d'ordinateurs, d'équipements informatiques périphériques et de logiciels.
Sur la finalité
La société GUILLEMOT CORPORATION SA a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité l’évaluation des risques et la prévention de la fraude au paiement et à la livraison lors des achats sur les sites web de la société.
Le dispositif permet, le cas échéant, de procéder au retrait de la possibilité pour le prospect ou client de régler sa commande sous forme d’encaissement à la livraison et de l'orienter vers un des modes de paiement sécurisés proposés sur le site (carte bancaire ou Paypal).
En outre, quand une fraude est avérée suite à une utilisation illégitime d’une carte de paiement ou d’un chèque, ou des données qui y sont attachées, les données du compte (nom, prénom et adresse) sont inscrites dans un fichier de « liste noire ».
La Commission considère que ce traitement peut avoir pour effet d’exclure des personnes, même temporairement, du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant en leur ôtant la possibilité de passer une commande sur les sites web de la société GUILLEMOT CORPORATION SA lorsqu’ils ne disposent pas des moyens de paiement alternatifs proposés.
Les commandes passées sur les sites web de la société GUILLEMOT CORPORATION SA, sont validées dès lors qu’elles sont payées. Le dispositif automatique détecte le risque de fraude potentielle avant qu’un contrôle manuel des résultats soit effectué par les collaborateurs du service de validation des commandes en ligne. Un score est ensuite attribué à la commande. Si le score est supérieur à un certain seuil, le client est orienté vers un paiement sécurisé : carte bancaire ou Paypal.
Si un doute existe sur la validité de la commande, celle-ci est mise en rétention et un traitement est rélaisé manuellement par un collaborateur du service de validation des commandes en ligne.
Les fraudes recherchées correspondent à des utilisations illégitimes de cartes de paiement ou des données qui y sont attachées lorsque ces utilisations risquent d’avoir des conséquences préjudiciables pour la société GUILLEMOT CORPORATION SA. Les utilisations d’un moyen de paiement par son titulaire légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des évènements qui donnent lieu à la production d’alerte.
L’ensemble des commandes passées sur les sites web de la société GUILLEMOT CORPORATION SA fait l’objet d’une analyse par l’outil de détection de fraude de GUILLEMOT CORPORATION SA. En cas de transaction identifiée comme présentant un risque de fraude, le service validation des commandes en ligne procède à une analyse manuelle et approfondie de la commande afin de confirmer ou non le caractère frauduleux de la transaction.
En fonction du moyen de paiement utilisé, GUILLEMOT CORPORATION SA sera amenée à prendre contact avec l’émetteur de la carte pour s’assurer de l’identité du porteur (via le numéro de transaction ou d’autorisation) ou directement auprès du client afin de s’assurer de la validité de la commande et de l’identité de la personne et, le cas échéant, recueillir des pièces justificatives.
Si les vérifications complémentaires permettent d’écarter tout risque de fraude, la commande se poursuit normalement.
La Commission considère que, dès lorsqu’une présomption de fraude est confirmée à la suite de l’analyse complémentaire effectuée par GUILLEMOT CORPORATION SA, la personne doit être informée individuellement, par écrit, des raisons de l’annulation de sa commande ou de toute décision lui portant grief en lui donnant la possibilité de présenter ses observations.
La Commission prend acte que, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, les résultats du traitement feront l’objet d’une instruction par le service chargé de la prévention de la fraude au cas par cas, et non automatisée.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données traitées sont les suivantes :
identification : nom, prénom, adresse postale, adresse de livraison ou de facturation, département, numéros de téléphone et adresse électronique ;
données de connexion : adresse IP, information d’horodatage ;
informations d’ordre économique et financier : mode de paiement, statut du paiement et, le cas échéant, partenaire monétique ;
informations relatives à la commande.
Les critères d’analyse des risques présentés par la commande prennent en compte certaines données des catégories mentionnées ci-dessus et sont basés sur des règles de fréquence et de récurrence déterminées par GUILLEMOT CORPORATION SA.
Une copie de la pièce d’identité et un justificatif de domicile de la personne ayant passé commande peuvent également être collectés dans des conditions permettant de garantir la transmission et la conservation de ces documents de manière  sécurisée.
En cas de survenance de fraude avérée, les informations suivantes sont inscrites dans une liste noire : nom, prénom, adresse, date et motif d’opposition au paiement, numéro de dossier Paypal, numéro de la commande impayée, numéro de facture, montant de la commande, confirmation de la réception des produits et mode de paiement.
La fraude avérée correspond à l’hypothèse où les paiements auront fait l’objet d’opposition bancaire.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
L’accès au traitement est restreint aux seuls collaborateurs habilités du service de validation des commandes en ligne.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant dans disponible dans l’espace paiement du site.
Lors de la survenance de l’incident susceptible de donner lieu à une inscription dans la liste noire, les personnes concernées sont informées préalablement par courrier électronique, des conséquences potentielles de cet enregistrement, de leurs  droits et de la possibilité de présenter leurs observations ou de régulariser leur situation dans un délai de 15 jours.
Les droits d’accès et de rectification s’exercent auprès du service relation client de la société GUILLEMOT CORPORATION SA à l’adresse postale suivante : BP 2 - 56204LA GACILLY CEDEX et à l’adresse électronique suivante : legaldepartment@guillemot.fr
Sur les mesures de sécurité
L’ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Les mesures de sécurité mises en place n’appellent pas d’observations.
Sur les autres caractéristiques du traitement
En l’absence de régularisation, les données qui font l’objet d’une inscription sur les listes d’alertes sont conservées pendant une durée de 3 ans. L’accès est restreint aux seules personnes habilitées du service de validation des commandes en ligne.
Ces données sont ensuite versées en archivage pendant une durée de 2 ans, puis passé ce délai elles sont supprimées.
Les données relatives à la commande (données concernant le client et ses commandes) sont conservées pendant une durée de 3 années. Elles participent à l’élaboration d’un score en cas de nouvelle commande. En cas d’annulation de la commande, elles sont immédiatement supprimées.
GUILLEMOT CORPORATION SA n’a pas connaissance des identifiants du moyen de paiement (numéro de carte, identifiant Paypal, etc.), les échanges se font sur la base d’un numéro d’autorisation ou d’un numéro de transaction.
Les copies des pièces justificatives sont conservées pendant  une durée maximale de six mois.
Les autres caractéristiques du traitement n’appellent pas d’observations.
Autorise, conformément à la présente délibération, GUILLEMOT CORPORATION SA à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN