La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés modifiée, notamment son article 25-I-4° ;
Vu le code monétaire et financier ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la demande d'autorisation déposée par BOURSORAMA BANQUE;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et de Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations.
Formule les observations suivantes :
BOURSORAMA BANQUE, établissement de crédit proposant exclusivement des produits en ligne par internet, a saisi la Commission nationale de l'informatique et des libertés d'une demande d'autorisation d'un traitement automatisé de données à caractère personnel visant à détecter des suspicions de fraudes réalisées par chèques bancaires dénommés actes de cavalerie.
Sur la procédure suivie auprès de la Commission
La Commission observe que ce traitement a pour finalité d'identifier des opérations réalisées par chèque bancaire qui sont susceptibles d'être constitutives d'un acte de cavalerie . Il vise dès lors à lutter contre les impayés résultant de telles pratiques. Lorsqu'il révèle l'existence d'une suspicion forte d' acte de cavalerie , BOURSORAMA BANQUE, peut décider de rompre toutes relations contractuelles avec le titulaire du compte.
Il en résulte que le traitement mis en œuvre est susceptible d'exclure une personne du bénéfice d'un droit ou d'un contrat en l'absence de toutes dispositions législatives ou réglementaires le prévoyant. Dès lors, il relève du 4° de l'article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la CNIL.
Sur les finalités et les fonctions du traitement :
Le traitement vise à émettre des alertes le lendemain de la comptabilisation des opérations sur la base d'une analyse des transactions effectuées par chèques bancaires et, par virements, afin de détecter les éventuels actes de cavalerie et de limiter le risque d'impayés en résultant.
La Commission observe que les opérations recherchées dénommées actes de cavalerie correspondent au scénario suivant :
• un client titulaire d'un compte courant ou compte titre chez BOURSORAMA BANQUE remet un chèque à l'encaissement,
• il réalise, dans une période de 8 jours glissants, des virements vers des comptes détenus dans d'autres établissements financiers,
• le chèque revient ensuite en impayé pour défaut de provision.
Les critères pris en compte pour la production des alertes sont : le montant des chèques remis à l'encaissement et des virements effectués à partir des comptes des clients de BOURSORAMA BANQUE sur une période glissante de 8 jours ouvrés.
La Commission prend acte que les fonds déposés par chèque sont toujours mis à disposition.
La Commission observe que les alertes détectées donnent systématiquement lieu à une analyse manuelle par le service contrôle des opérations bancaires afin de déterminer le caractère pertinent de l'alerte. Dans le cas où l'alerte ne donne pas lieu à la suspicion d'un acte de cavalerie , elle est immédiatement clôturée.
Dans le cas où il résulte de l'alerte générée par le traitement une suspicion d'acte de cavalerie, le service gestion des incidents et recouvrements tente de prendre contact avec le client et la banque tirée afin de vérifier qu'il s'agit d'un acte de cavalerie. Le service contrôle permanent informé par le service gestion des incidents prend contact avec l'établissement destinataire du virement pour éviter que la somme ne soit créditée sur le compte du bénéficiaire.
A défaut de contact avec le client ou de provisionnement du compte, le dossier est transmis au service juridique afin de déterminer les suites à donner aux dossiers et éventuellement d'engager une procédure de recouvrement contentieuse. En outre, sur la base de ces éléments BOURSORAMA BANQUE est susceptible de procéder à un dépôt de plainte.
Conformément aux dispositions de l'article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n'est donc prise à l'égard des titulaires de compte au vu des seuls résultats du traitement.
La Commission observe que ce traitement ne permet pas d'établir une liste noire de titulaires de comptes bancaires identifiés comme ayant tenté de commettre une fraude.
Sur les données collectées et la durée de conservation :
Les données analysées afin de générer des alertes sont le montant des transactions effectuées par chèques et par virements sur les comptes ouverts par BOURSORAMA BANQUE.
Les noms et prénoms du bénéficiaire du chèque et du titulaire du compte figurent également dans le traitement au titre de l'identification des personnes concernées ; la Commission prend acte que ces données personnelles ne sont pas analysées afin de détecter d'éventuels actes de cavalerie .
Les données collectées sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.
Les alertes qui à l'issue du processus d'analyse non automatisé n'ont pas révélé d'actes de cavalerie sont immédiatement clôturées à l'issue d'un délai de trente jours glissants et archivées pour une durée de trois ans.
Dans le cas où un acte de cavalerie est détecté, les données sont conservées jusqu'à la résolution du contentieux c'est-à-dire au paiement des sommes dues. A défaut, elles sont conservées pendant une durée de cinq ans.
Sur les destinataires du traitement
Seuls sont autorisés à avoir communication des données précitées les personnels habilités du contrôle des opérations bancaires et du contrôle permanent.
Le service juridique peut également être amené à prendre connaissance des informations résultant de ce traitement au titre de la gestion du précontentieux et du contentieux.
Les actions effectuées par ces personnes sont tracées afin de permettre de détecter et d'analyser tous accès, modifications et suppressions de données non autorisés.
Sur les modalités d'information et d'exercice des droits des personnes
Conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, les titulaires de comptes bancaires ouverts auprès de BOURSORAMA BANQUE sont informés de la mise en place de ce dispositif d'alerte et de ses éventuelles conséquences à leur égard, au moment de la délivrance de leur chèque bancaire. En outre, la mise en œuvre de ce traitement est mentionnée dans les conditions générales de BOURSORAMA BANQUE disponible sur son site internet.
Dans ces conditions, la Commission autorise BOURSORAMA BANQUE à mettre en œuvre un traitement automatisé de données à caractère personnel d'aide à la détection de la fraude aux chèques bancaires.
La Présidente
Isabelle FALQUE-PIERROTIN