(Demande d’autorisation n°1624837)
La Commission nationale de l’informatique et des libertés ;
Saisie par la Banque BCP d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La Banque BCP, banque portugaise « Banco Comercial Português ».
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité.
Il vise à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) dans trois hypothèses : au moment de l’entrée en relation du client auprès de la banque BCP, en cas de modifications de données du compte existant, ou lors de l’étude d’un dossier de crédit pour un compte déjà ouvert dans cet établissement.
La Commission observe que cette finalité est déterminée, explicite et légitime.
Lorsque l’analyse de l’outil conclut à la non-conformité du document, la demande d’ouverture de compte ou la demande de crédit est refusée. Dans la situation inverse, si l’authenticité des documents est confirmée, il est fait droit à la demande du client. Dès lors, ce traitement peut ainsi, du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion.
Le présent traitement est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les catégories de données traitées sont relatives :
- à l’identité des personnes concernées : le nom, le(s) prénom(s), le sexe, l’adresse, la date et lieu de naissance,
- aux documents d’identité : le numéro de document, le numéro de la pièce d’identité, la date d’établissement, la date d’expiration,  les 6 derniers caractères de la bande MRZ de la pièce d’identité et la bande MRZ figurant en bas des documents d’identité.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement et habilitées à avoir accès aux informations sont :
- le réseau commercial,
- le pôle lutte contre la fraude,
- le pôle lutte contre le blanchiment,
- le service contrôle permanent,
- le service contentieux,
- le service informatique.
Les informations sont transmises sur un serveur hébergé par la société CTMS (Contrôle des échanges et Traitement physique des Monnaies-Sécurité), prestataire de service de la banque BCP.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention sur internet ainsi que dans la convention de compte du client. La commission prend acte que cette mention d’information sera complétée avec la référence à la finalité du traitement visant la lutte contre la fraude documentaire.
Cette mention rappelle en outre que les droits d’accès et de rectification s’exercent auprès du Service relation Clientèle à l’adresse suivante : 14 av. Franklin D. Roosevelt, 75008 Paris.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
S’il n’existe pas de journalisation détaillée des activités sur l’application, un journal d’accès global des collaborateurs BCP aux serveurs CTMS est cependant mis en œuvre.
Seules les personnes habilitées ont accès à l’application CMTS. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique.
Ce mécanisme est actuellement basé sur un identifiant et un mot de passe de 8 caractères comprenant au moins trois des quatre types (minuscules, majuscules, chiffres, caractères spéciaux). Ce dernier doit être renouvelé tous les 41 jours. Courant 2013, le système d’authentification par mot de passe sera remplacé par un mécanisme d’authentification forte composé d’un certificat sur clé USB verrouillé par un code PIN d’au moins 4 chiffres.
Dans le cas d’une réponse positive, c’est-à-dire, si le document d’identité n’est pas validé, son impression est numérisée et intégrée au dossier réglementaire du client.
BCP s’est engagé à ce que cet élément bénéficie du même niveau de protection que les copies des pièces d’identité actuellement conservées conformément aux dispositions de l’article L561.12 du code monétaire et financier.
En cas de réponse négative, c’est-à-dire si le document d’identité est validé, aucun fichier n’est créé.
Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Les données collectées ne sont utilisées que le temps de la vérification de l’authenticité des documents. En cas de non-conformité des pièces, les documents sont restitués à la personne à l’origine de la demande. Dans l’hypothèse inverse et si la demande est validée, une copie des documents est conservée, conformément à la législation bancaire.
Il existe un premier contrôle visuel réalisé par le chargé de clientèle qui reçoit la personne souhaitant entrer en relation avec la banque. Un deuxième contrôle est réalisé via l’outil IDENTT qui permet  de détecter des documents présumés frauduleux automatiquement par la lecture de la bande MRZ. Un troisième contrôle automatique est opéré par une machine infrarouge. Enfin, si l’anomalie persiste, un dernier contrôle manuel avec une analyse est réalisé par les personnes habilitées du pôle lutte contre la fraude.
L’analyse de l’authenticité des pièces se fait en temps réel par l’outil, ce qui permet au  chargé de clientèle d’accepter ou de refuser l’ouverture du compte ou la demande de crédit du client immédiatement.
Le traitement mis en œuvre n’est qu’un outil d’aide à l’analyse des documents d’identité présentés par la personne concernée lors de l’entrée en relation avec la banque BCP. La Commission prend acte qu’en cas de détection d’anomalie, une analyse complémentaire sera effectuée par les personnels habilités du pôle lutte contre la fraude afin, le cas échéant, de confirmer la tentative de fraude.
Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.
Des statistiques sur des données anonymisées sont réalisées à partir des résultats de l’outil et permettent de chiffrer le nombre de pièces consultées par zone géographique.
Dans l’hypothèse où la demande concerne l’octroi de crédit et si l’outil détecte une fraude documentaire présumée, la banque BCP peut décider de clôturer le compte du client.
Les autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la Banque BCP, à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN