(Demande d’autorisation n° 1526330)
La Commission nationale de l’informatique et des libertés,
Saisie par SEPHORA SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude et les impayés par carte bancaire ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25, I, 4° et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Bernard PEYRAT, commissaire et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
SEPHORA SA
Sur la finalité
La société SEPHORA SA, ci-dessous dénommée SEPHORA commercialise des produits cosmétiques par internet. Afin de lutter contre les tentatives de fraudes à la carte bancaire effectuées lors d’achat à distance, elle a recours à un outil d’évaluation des risques présentés par ce type de transaction, évaluation réalisée par un sous-traitant, établi aux Etats-Unis. Elle souhaite en outre inscrire sur une liste noire des données relatives aux commandes impayées.
La société SEPHORA a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité la lutte contre la fraude et les impayés par carte bancaire.
Ce traitement a pour objet d’identifier les paiements par carte bancaire effectués à distance auprès de la société SEPHORA et présentant un risque de fraude susceptible de générer un impayé. La Commission considère que ce traitement peut avoir pour effet d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant en leur ôtant la possibilité de recourir à ce mode de paiement à distance. Il relève donc du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la Commission.
Les fraudes recherchées correspondent à des utilisations illégitimes de cartes bancaires ou des données qui y sont attachées, lorsque ces utilisations risquent d’avoir des conséquences préjudiciables pour la société SEPHORA. Les utilisations d’une carte par son porteur légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alerte.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données traitées sont les suivantes :
Une copie de la pièce d’identité de la personne ayant passé commande peut également être collectée. Ce document est détruit une fois les vérifications complémentaires effectuées et dans un délai maximal de 24 heures.
identification : nom, prénom, adresse postale de facturation et de livraison, numéro de téléphone et adresse de courrier électronique, numéro de compte client et adhésion au programme de fidélité ;
données de connexion : adresse IP et Host name de l’ordinateur ayant servi à la commande,
informations d’ordre économique et financier : type et numéro de carte bancaire, date de validité et le nombre de tentative de validation infructueuse;
informations relatives à la commande : type (commande initiale ou modification de commande), date, montant, devise, type et quantité de produits, leurs références, le mode de livraison et l’utilisation d’une promotion.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Ces données sont conservées pendant une durée de six mois en base active et archivées pendant une durée de deux ans.
L’identité, l’adresse de facturation et de livraison, les données relatives à la carte bancaire, l’adresse électronique, le numéro de client et de téléphone lié à l’adresse de facturation d’une commande impayée sont inscrits sur la liste noire et sont conservés pendant une durée de trois ans.
Sur les destinataires
Seul le personnel habilité de la cellule Fraude de SEPHORA peut avoir accès à ce traitement.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur le transfert de données
La finalité du transfert est l’analyse des risques présentés par la transaction réalisée à distance par carte bancaire.
L’ensemble des catégories de données ci-dessus sont transmises au personnel habilité de la société Cybersource LTD, Etats-Unis.
Le transfert est encadré par un contrat de transfert de données hors Union Européenne de responsable de traitement à sous-traitant sur le modèle des clauses contractuelles types de la Commission européenne.
Sur l’information et le droit d’accès
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant dans les conditions générales de transport figurant sur le site internet de SEPHORA.
Lorsqu’une commande génère un impayé les données mentionnées supra sont conservées sur la liste noire, la personne concernée est informée de cette conservation, de ses conséquences potentielles et de ses droits par courrier.
Les droits d’accès et de rectification s’exercent auprès du Service client de SEPHORA, 65 avenue Edouard Vaillant, 92 100 Boulogne Billancourt.
Sur les mesures de sécurité
L’ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Sur les autres caractéristiques du traitement
Les critères pris en compte pour l’analyse des risques présentés par la commande sont :
- l’identité de la personne ayant passé la commande, son adresse électronique, l’adresse postale de livraison et de facturation, son numéro de téléphone
- le numéro de carte bancaire
- l’adresse IP de l’ordinateur ayant servi à passer la commande.
A chaque transaction un niveau de risque global sous la forme d’une note de score est calculé à partir de ces critères. La Commission prend acte que conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, les résultats communiqués par la société Cybersource LTD feront l’objet d’une analyse manuelle par le personnel habilité de la cellule fraude de SEPHORA. Seul ce dernier procède à la validation ou à l’annulation de la commande, le cas échéant, après avoir sollicité la transmission d’une copie de la pièce d’identité de la personne ayant passé la commande.
La Commission prend acte que les données transmises à la société Cybersource LTD ne sont pas communiquées à d’autres personnes susceptibles de recourir aux services proposés par ce sous-traitant.
Autorise, conformément à la présente délibération, SEPHORA SA à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN