(Demande d’autorisation n° 1751089)
La Commission nationale de l'informatique et des libertés,
Saisie par FIVORY SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5, R. 561-5, L.561-8 et R.561-16 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement FIVORY SA, est un établissement de monnaie électronique proposant aux consommateurs et aux commerçants un système de paiement avec son téléphone portable.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise, par l’utilisation d’un logiciel à détecter les documents d’identité présentant des anomalies susceptibles de révéler une fraude à l’identité (faux documents ou documents falsifiés) dans deux hypothèses.
Dans le premier cas, il s’agit de vérifier l’identité du commerçant qui souhaite entrer en relation avec la société FIVORY SA, ou l’identité du client qui demande à bénéficier d’un plafond plus élevé pour réaliser ses opérations financières (statut d’utilisateur certifié). Dans le second cas, il s’agit de vérifier l’identité du demandeur qui souhaite effectuer un  prélèvement.
La Commission estime que cette finalité est déterminée, explicite et légitime.
Lorsque l’outil conclut à la non-conformité du document, la demande d’ouverture de compte, la demande de prélèvement ou la demande de statut utilisateur certifié peut être refusée.
Dans la situation inverse, si l’authenticité des documents est confirmée, il est fait droit à la demande.
Dans l’hypothèse où, une fraude est détectée, deux situations sont envisageables :
Par ailleurs, le compte de monnaie électronique de l’utilisateur sera clôturé conformément aux dispositions de l’article L.561-8 du code monétaire et financier.
pour l’utilisateur, le statut de certifié lui sera refusé et il sera mis fin à sa relation avec FIVORY SA (compte clôturé) ;
pour le commerçant, la demande d’affiliation sera refusée.
d’une part, les utilisateurs « FIVORY » souhaitant utiliser le service pour des plafonds plus élevés ou utiliser le service prélèvement ;
d’autre part, les commerçants qui souhaitent s’affilier aux services « FIVORY ».
Ce traitement peut ainsi du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale prévoyant une telle exclusion. Il est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
La Commission observe que lors de la phase de recueil des documents deux situations sont à distinguer :
Dans le premier cas, FIVORY SA vérifie l’identité de l’utilisateur qui souhaite effectuer des opérations de paiement supérieures à 2500 euros ou plusieurs demandes de remboursement dépassant le seuil de 1000 euros par année civile. Dès lors, l’utilisateur communique depuis l’application mobile « FIVORY » une photographie de sa pièce d’identité.
pour l’utilisateur, le statut de certifié lui sera refusé et il sera mis fin à sa relation avec FIVORY SA (compte clôturé) ;
pour le commerçant, la demande d’affiliation sera refusée.
d’une part, les utilisateurs « FIVORY » souhaitant utiliser le service pour des plafonds plus élevés ou utiliser le service prélèvement ;
d’autre part, les commerçants qui souhaitent s’affilier aux services « FIVORY ».
La photographie de la carte d’identité est reçue sur les serveurs du responsable de traitement puis adressée au prestataire en charge de l’analyse de premier niveau.
Dans le second cas, les commerçants souhaitant s’affilier aux services « FIVORY » communiquent une copie des pièces d’identité des représentants de la société. Les documents sont scannés puis adressés au prestataire.
Dans les deux cas, le prestataire procède à une analyse des photographies ou des numérisations des pièces d’identité, grâce à un logiciel accessible via un service web sécurisé.
Il compare les informations figurant sur la bande MRZ avec celles du titre d’identité afin d’attribuer une note sur le niveau d’authenticité du document.
En fonction de la note obtenue, la demande de l’utilisateur ou du commerçant peut être automatiquement acceptée ou alors faire l’objet d’une analyse de second niveau par le personnel de FIVORY SA.
Cette analyse est alors effectuée par un gestionnaire habilité de la société FIVORY SA qui contrôle la pièce d’identité et vérifie la cohérence des écarts révélés par l’analyse du prestataire.
La Commission relève que conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
Le traitement mis en œuvre ne constitue dès lors qu’un outil d’aide à l’analyse des documents d’identité présentés par la personne concernée lors de l’entrée en relation ou lors d’une demande de prélèvement avec l’établissement de monnaie électronique. La Commission prend acte qu’en cas de détection d’anomalie, une analyse complémentaire sera effectuée par les personnels habilités afin, le cas échéant, de confirmer la tentative de fraude.
Sur les données traitées
Les catégories de données traitées sont relatives :
- à l’identité des personnes concernées : nom, prénom(s), sexe, adresse, date et lieu de naissance, nationalité,
- aux documents d’identité : type de document, numéro de document, date d’établissement du titre, date d’expiration du titre, date de validité, bande MRZ de la pièce d’identité,
- au résultat du contrôle : note sur le niveau d’authenticité du document fournie par la solution logicielle du prestataire,
- aux données de connexion : logs de connexions.
Sur les destinataires
Peuvent accéder à l’outil de contrôle des identités les personnes habilitées suivantes :
En l’absence de suspicion de fraude, le prestataire ne conserve aucune information. Dans le cas contraire, les données sont conservées chez le prestataire jusqu’à leur analyse de second niveau sans que cette durée ne puisse excéder cinq jours ouvrés. Passé ce délai, les données sont définitivement supprimées par le prestataire.
les opérationnels en charge de la gestion de la fraude ;
les opérationnels en charge de l’analyse manuelle de second niveau ;
les opérationnels en charge du développement de l’application et la direction des systèmes d’information.
La Commission observe qu’une copie des documents est conservée, conformément à la législation bancaire.
La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention qui figure dans les conditions générales d’utilisation du service ainsi que dans les différents formulaires adressés aux clients ou aux commerçants adhérents à la solution proposée par FIVORY SA.
Les droits d’accès et de rectification s’exercent sur le site internet de FIVORY SA ou directement depuis l’application en cliquant sur un lien dédié.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Il existe des profils d’habilitation pour accéder à l’application. L’authentification des utilisateurs est basée sur l’utilisation d’une carte à puce et d’un mot de passe associé (code PIN numérique).
La Commission observe que les échanges de données sont réalisés au moyen de protocoles réseaux sécurisés.
De plus, il existe une fonctionnalité de journalisation des opérations de consultation, de création, de mise à jour et de suppression des données.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.
Il existe un suivi de l’activité et un suivi statistique sur la base de données anonymisées.
Ces autres caractéristiques n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, FIVORY SA  à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN