La Commission nationale de l’informatique et des libertés,
Saisie par le GIE COMUTITRES d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention et la lutte contre la fraude et les impayés par carte bancaire dans le cadre du système communautaire de vente à distance ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le GIE COMUTITRES assure la gestion opérationnelle des titres de transports Navigo en région Ile De France, pour le compte des transporteurs RATP, SNCF et OPTILE. Le traitement envisagé s’inscrit dans le cadre du système communautaire de vente à distance, c’est-à-dire le système commun aux transporteurs d’IDF.
Sur la finalité
Le traitement a pour finalité la prévention et la lutte contre la fraude et les impayés par carte bancaire. L’outil envisagé sera doté d’un module de prévention de la fraude « payline ». Pour chaque achat effectué en ligne, le module analyse automatiquement la transaction au regard des règles de prévention contenues dans l’outil. Les règles permettant de bloquer le paiement figurent dans les conditions générales acceptées par le client et ont été définies de la manière suivante :
- blocage des paiements effectués avec des cartes bancaires émises par des établissements situés en dehors de l’Union Européenne,
- blocage des paiements qui atteignent un plafond de dépense hebdomadaire (semaine glissante) de 600€,
- blocage des paiements supérieurs à 120€,
Ainsi, dès lors qu’une transaction par carte bancaire répond à l’un de ces trois critères, elle est automatiquement bloquée et rejetée.
Ce traitement ne permet pas d’établir une « liste noire » des personnes pour lesquelles la transaction aurait été refusée. En effet, en cas de blocage du paiement, le client a la possibilité de réaliser une transaction avec une autre carte bancaire ou avec un autre moyen de paiement. En outre, le client peut recharger son « passe » en se rendant dans une agence ou en utilisant les bornes de rechargement dans les stations.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Ce traitement peut néanmoins, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale ou réglementaire prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Sur les données traitées
Les catégories de données traitées sont relatives à :
- l’identification du client : numéro de passe Navigo ;
- des informations d’ordre économique et financier : données de la carte bancaire (pays d’émission de la carte, numéro de carte masqué selon les règles PCI/DSS), données relatives à la commande (montant de la transaction, montant cumulé, date de la transaction, résultat de la transaction, numéro d’archivage de la transaction) ;
- des données de connexion : identifiants de connexion.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes ayant accès au traitement sont :
- l’administrateur du module fraude au sein du GIE Comutitres,
- le prestataire, la société Monext, qui développe le module.
Les collaborateurs du GIE Comutitres n’ont pas accès au module dans le cadre de leur fonction.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention d’information qui figure sur la notice du site internet, dans les conditions générales de vente à distance ainsi que sur le formulaire de paiement en ligne.
Les droits d’accès et de rectification s’exercent auprès du GIE COMUTITRES : GIE COMUTITRES, 14 rue Auber – 75009 Paris ou à l’adresse électronique suivante contact@comutitres.fr.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Dans le cadre de la mise en œuvre du traitement de gestion et de suivi des ventes à distance, des mesures sont mises en œuvre afin de garantir la sécurité des transmissions. Comutitres utilise le protocole SSL pour assurer l’authentification des serveurs et la confidentialité des communications.
Il existe une interconnexion du site avec la plateforme Payline qui assure les fonctionnalités suivantes :
- la mise en œuvre d’une solution de paiement sécurisé pour la vente à distance et l’e-commerce ;
- le suivi et la gestion des paiements.
Les autres mesures de sécurité, tant physique que logique, n’appellent pas d’observation de la Commission
Sur les autres caractéristiques du traitement
Les données sont conservées pendant une durée de treize mois à des fins probatoires en cas de contestation du client. A l’issue de cette période, les données seront définitivement supprimées.
Il existe un historique des transactions avec une indication éventuelle sur le blocage, qui n’est accessible que par l’administrateur.
Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la société COMUTITRES, à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN