(Demande d’autorisation n° 1661688)
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit Mutuel Arkéa d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection en temps réel de la fraude à la carte de paiement;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Mutuel Arkéa appartient au groupe de bancassurance coopératif Crédit Mutuel Arkéa.
Sur la finalité
Le traitement vise à émettre des alertes en temps réel sur la base d’une analyse des transactions effectuées par les titulaires de cartes de paiement Mastercard et Visa émises par le Crédit mutuel ARKEA. Celui-ci permet de détecter d’éventuelles opérations frauduleuses et d’en limiter les conséquences dommageables pour le porteur.
La Commission observe que le traitement a pour objet d’identifier des opérations réalisées par cartes bancaires susceptibles de révéler une fraude. Dès lors, ce traitement peut avoir pour effet d’empêcher ou de restreindre, même temporairement, le porteur de faire usage de son moyen de paiement.
Il en résulte que le traitement mis en œuvre peut avoir pour effet d’exclure des personnes du bénéfice d’une prestation, l’utilisation d’une carte bancaire, en l’absence de toute disposition législative ou réglementaire le prévoyant. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.
La Commission observe que les fraudes recherchées correspondent à des utilisations illégitimes d’une carte de paiement ou des données qui y sont attachées, lorsque ces utilisations risquent d’avoir des conséquences préjudiciables pour le titulaire de la carte ou son établissement bancaire. Les utilisations d’une carte par son porteur légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alerte.
Le traitement permet d’établir un modèle des risques d’utilisation frauduleuse élaboré sur la base d’un traitement statistique de l’historique des transactions réalisées par carte bancaire. L’ensemble des transactions réalisées à l’aide d’une carte bancaire émise par le Crédit Mutuel ARKEA est analysé en temps réel afin de détecter des fraudes.
En cas de transaction identifiée comme susceptible de constituer une fraude, celle-ci fait l’objet d’une alerte transmise pour analyse au personnel du Back office fraude Monétique du Crédit Mutuel ARKEA.
La Commission constate que ce traitement n’a pas pour objet d’identifier des commerçants ou des terminaux de paiements auxquels correspondent un taux significatif d’utilisations frauduleuses ou de tentatives d’utilisations frauduleuses.
La Commission observe que le traitement de détection des alertes ne permet pas d’établir une liste noire recensant les alertes générées pour une même carte bancaire ou un même compte.
La Commission remarque qu’en cas d’alerte, le personnel du Back office fraude Monétique du Crédit Mutuel ARKEA procède à une analyse manuelle des données collectées afin de confirmer le caractère suspect de la transaction. En cas de confirmation de l’alerte, il la transmet à l’agence du titulaire qui tente d’entrer en contact téléphonique avec ce dernier pour vérifier si celui-ci est à l’origine de la transaction ayant fait l’objet d’une alerte via un outil développé par MasterCard. Lorsque le titulaire confirme qu’il n’est pas à l’origine de la transaction, la carte est annulée et une nouvelle carte lui sera délivrée gratuitement.
La Commission constate que le personnel du Back office fraude Monétique du Crédit Mutuel ARKEA n’est pas habilité à procéder de sa propre initiative, au blocage du moyen de paiement. En cas d’indices de fraude jugée élevée ou en présence de plusieurs alertes, le chargé de clientèle du porteur peut décider d’appliquer à la carte bancaire une restriction temporaire de fonctionnement pendant le temps nécessaire à la prise de contact avec le porteur.
La Commission observe que ce traitement ne peut donner lieu au blocage de la transaction ou à la mise en opposition de la carte bancaire sans avoir au préalable obtenu le consentement du porteur.
La Commission prend acte du fait que la restriction temporaire de fonctionnement appliquée à la carte bancaire en cas d’indices de fraude jugée élevée ou en présence de plusieurs alertes ne peut être mise en place que pendant le temps nécessaire à la prise de contact avec le porteur.
La Commission insiste par ailleurs sur la nécessité de paramétrer le traitement automatisé en fonction d’un niveau de risque jugé acceptable par le responsable de traitement afin de ne pas multiplier inutilement le nombre de fausses alertes susceptibles de provoquer une gêne excessive pour les porteurs légitimes de cartes.
Sur les données traitées
Les critères pris en compte pour la production des alertes sont :
Les alertes sont conservées pendant une durée de 30 jours.
Le type de transaction (paiement de proximité, paiement internet, retrait, etc.)
Le montant de la transaction
Le code réponse (accord ou refus)
Le code MCC (« Merchant Category Code » branche d’activité du commerçant acquéreur)
La date et l’heure de la transaction
Lieu de réalisation de la transaction
Le numéro du commerçant
Numéro de carte de paiement ( crypté en stockage interne et tronqué en flux sortant)
Le mode de sécurisation de la transaction (pour les paiements internet et en vente à distance « VAD »)
Le code pays
Le score Mastercard
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Seuls ont accès au traitement de gestion des alertes :
Les chargés de clientèle et les directeurs d’agence peuvent également avoir connaissance des alertes pour les seules transactions intéressant leurs clients et présentant un risque de fraude jugé élevé.
le personnel habilité de l’unité Back office fraude Monétique du Crédit Mutuel ARKEA,
les responsables de la Direction du Crédit Mutuel Arkéa (3 personnes) ainsi que le responsable du service litiges fraude monétique.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de la mise en œuvre de ce traitement dans les conditions générales du compte.
Elles peuvent exercer leur droit d’accès conformément aux dispositions de l’article 39 de la loi susvisée.
Sur les mesures de sécurité
Les actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Autorise, conformément à la présente délibération, le Crédit Mutuel Arkéa à mettre en œuvre le traitement susmentionné.
La délibération n°2012-046 du 9 février 2012 autorisant la mise en œuvre par le Crédit Mutuel ARKEA d’un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à la carte bancaire, est abrogée.
La Présidente
Isabelle FALQUE-PIERROTIN