(Demande d’autorisation n° 1669462)
La Commission nationale de l'informatique et des libertés,
Saisie par AGORASTORE SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre les impayés dès la première enchère publique en ligne ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Bernard PEYRAT, commissaire et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société par actions simplifiée AGORASTORE, ci-dessous dénommée, AGORASTORE.
Sur la finalité
Agorastore est un site internet créé en 2005 en partenariat avec la ville de Lyon. Le site permet aux organismes publics et aux entreprises d’organiser leurs ventes aux enchères en ligne.
Le site comporte une grande variété de biens de tous types (véhicules, informatique, meubles, matériel espace vert, voirie, cuisine …) proposés dans le cadre des ventes ouvertes aux « enchères citoyennes » afin de permettre à toute personne d’acquérir et de profiter des biens actuellement non-utilisés ou destinés à être détruits pour leur donner une seconde vie.
Ainsi, toute personne peut placer une enchère sur des biens mis en vente sur le site.
Le processus de fonctionnement est le suivant :
Au moment de l’inscription de l’internaute sur le site Agorastore, ce dernier est rappelé pour s’assurer de l’exactitude de son identité et éviter tout risque d’homonymie pour assurer le bon déroulement de l’enchère.
A ce stade, les personnes sont d’ores et déjà informées de l'existence d’une liste noire des impayés et des droits dont elles disposent (droit d'accès, droit de rectification et droit d'opposition).
La Commission observe que le traitement a pour objet d’identifier les enchérisseurs présentant un risque d’impayé en cas de non paiement du bien pour lequel l’enchère a été remportée ou en cas de non retrait de la marchandise. Dès lors, il peut avoir pour effet d’exclure la personne concernée du bénéfice des enchères publiques. En conséquence, il relève des dispositions du 4° de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la CNIL.
La Commission estime que ces finalités sont déterminées, explicites et légitimes conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
La caractérisation de l’impayé est établie à l’issue des étapes suivantes :
Inscription de l’internaute sur le site Agorasotre.fr ;
Une fois inscrit, AGORASTORE appelle l’internaute pour vérifier son identité ;
L’internaute qui décide de proposer une enchère accepte les conditions d’utilisation du site et est informé qu’il pourra être inscrit en liste noire en cas d’impayé ;
Si l’enchère de l’internaute a abouti, celui-ci  dispose d’un délai de 15 jours pour récupérer le bien. En l’absence de réponse il sera relancé par courriel puis par téléphone ;
Suite à cet appel téléphonique, deux situations sont envisageables :
- soit l’enchérisseur ne veut pas payer le bien et annule son enchère pour la première fois, il ne sera pas inscrit en liste noire ni qualifié de « non payeur »,
- soit l’enchérisseur a été identifié comme « mauvais payeur récurent » à la suite d’un deuxième incident de paiement. Dans ce cas, l’impayé est caractérisé et l’enchérisseur défaillant sera enregistré sur la liste des mauvais payeurs à l’issu d’un délai de 15 jours.
A ce stade, l’enchérisseur défaillant est prévenu de son inscription en liste noire et est invité à régulariser sa situation dans le délai contractuel de 15 jours (délai mentionné dans les  conditions générales de ventes acceptées par l’enchérisseur lors de sa première enchère).
La Commission observe que dès lors que l’enchérisseur  procède à la régularisation de sa situation il sera immédiatement désinscrit. En l’absence de régularisation, la transaction est annulée. Enfin, en cas de contestation de l’impayé et dans l’attente du traitement de celle-ci, l’inscription en liste noire est suspendue.
Sur les données traitées
Les catégories de données traitées sont relatives :
- à l’identification des personnes : nom(s)  prénom(s), lieu de naissance, adresse électronique et numéro(s) de téléphone(s) ;
- à l’historique de l’enchère : date de la vente, nom du produit et caractéristiques, nom de l’entité publique qui a mis en vente le bien.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
La responsable du service client est la seule personne responsable de la collecte des données d’identification de l’internaute.
Seul le responsable technique du site AGORASTORE a accès à la liste noire sur autorisation expresse de la direction générale.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les internautes sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention légale sur le site internet d’AGORASTORE ainsi que dans un courrier personnalisé adressé à la personne dès lors qu’elle n’est pas en mesure d’honorer son enchère (paiement et retrait) dans le respect des conditions générales de vente.
Le droit d’accès s’exerce auprès du Service après vente de la Société AGORASTORE, 142 rue de Charonne – 75011 Paris / sav@agorastore.fr.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée
Sur les mesures de sécurité
Le traitement est mis en œuvre sur un serveur hébergé chez OVH qui n’est accessible que par les administrateurs du site.
Ce système est doté de pare-feu.
Les modalités d’accès à la liste requièrent de s’authentifier de la manière suivante :
- tout d’abord, l’accès se fait via un Login personnel et un mot de passe de 8 caractères comprenant au moins trois des quatre types (minuscules, majuscules, chiffres, caractères spéciaux),
- ensuite et une fois connecté sur le serveur administrateur, l’authentification se fait par login personnel et mot de passe.
La traçabilité prévue inclut la date et l’heure de connexion au serveur.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission observe que pendant toute la durée de la procédure qui précède l’inscription éventuelle de l’enchérisseur dans le fichier des impayés, ce dernier peut toujours régulariser son impayé auprès de la société AGORASTORE dans le délai contractuel de 15 jours. Dans cette hypothèse, il est immédiatement procédé à sa désinscription.
Toutefois, et en cas  d’absence de régularisation de l’impayé, les données seront supprimées à l’issue d’une période de 4 années à compter de l’enregistrement sur ce fichier.
Les autres caractéristiques du traitement n’appellent pas d’observation.
Inscription de l’internaute sur le site Agorasotre.fr ;
Une fois inscrit, AGORASTORE appelle l’internaute pour vérifier son identité ;
L’internaute qui décide de proposer une enchère accepte les conditions d’utilisation du site et est informé qu’il pourra être inscrit en liste noire en cas d’impayé ;
Si l’enchère de l’internaute a abouti, celui-ci  dispose d’un délai de 15 jours pour récupérer le bien. En l’absence de réponse il sera relancé par courriel puis par téléphone ;
Suite à cet appel téléphonique, deux situations sont envisageables :
Autorise, conformément à la présente délibération, AGORASTORE SAS, à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN