(Demande d’autorisation n° 1694392)
La Commission nationale de l'informatique et des libertés,
Saisie par OPS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à la carte bancaire ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société OPS est une filiale du groupe Outremer Telecom. Cet établissement propose des services de paiements (virements, prélèvements, opérations par carte bancaire) à une clientèle de particuliers et de professionnels pour les départements d’outremer (Martinique, Guyane, Guadeloupe, Mayotte et Réunion).
Sur la finalité
Le traitement vise à émettre des alertes a posteriori sur la base d’une analyse des transactions effectuées par les porteurs de cartes bancaires émises par OPS. Celui-ci permet de détecter d’éventuelles opérations frauduleuses et d’en limiter les conséquences dommageables pour le porteur.
La Commission observe que les utilisations d’une carte par son porteur légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alerte.
Les alertes sont générées en fonction des volumes et des montants des transactions. Les critères pris en compte pour la production des alertes sont le nombre de transactions, le montant global, l’horodatage et  la localisation des sites où les transactions ont été réalisées.
Le traitement permet d’établir un modèle des risques d’utilisations frauduleuses élaboré sur la base d’un traitement statistique de l’historique des transactions réalisées par carte bancaire.
Pour une transaction identifiée comme susceptible de constituer une fraude, celle-ci fait l’objet d’une alerte transmise au personnel du service lutte contre la fraude de la société OPS pour une analyse manuelle.
En cas de confirmation de l’alerte, le chargé de clientèle du porteur de la carte bancaire prend contact avec le client (soit par un appel téléphonique, soit par un message écrit par téléphone (sms) soit par courriel) afin de vérifier si celui-ci est effectivement à l’origine de la transaction. Si le porteur confirme ne pas être à l’origine de la transaction, la carte est annulée et une nouvelle carte lui sera délivrée.
Le personnel du service de la lutte contre la fraude peut procéder à la mise en opposition de la carte dès lors qu’il existe un motif légitime et uniquement après avoir contacté le client et obtenu son accord. Dans l’hypothèse où le porteur n’est pas joignable la restriction temporaire de fonctionnement de la carte bancaire ne peut être prise qu’avec l’accord formel du responsable de la cellule lutte contre la fraude. Le remplacement de la carte est alors automatique.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime. Elle observe que le traitement a pour objet d’identifier des opérations réalisées par cartes bancaires susceptibles de révéler une fraude. Dès lors, ce traitement peut avoir pour effet d’empêcher, même temporairement, le porteur de faire usage de son moyen de paiement.
Il en résulte que le traitement mis en œuvre peut avoir pour effet d’exclure des personnes du bénéfice d’une prestation, l’utilisation d’une carte bancaire, en l’absence de toute disposition législative ou réglementaire le prévoyant. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.
Sur les données traitées
Les données traitées sont relatives :
Les données pour la production des alertes sont :
à l’identification des personnes : nom, prénom, adresse, date et lieu de naissance,
à la situation familiale : marié(e), divorcé(e), veuf(ve), célibataire, pacsé(e), en concubinage,
aux données de connexion : téléphone et adresse électronique.
les informations relatives à la transaction (montant, montants cumulés des transactions réalisées sur les dernières 24 heures, lieu géographique)
le mode de lecture de la carte bancaire, la branche d’activité du commerçant acquéreur et le lieu de réalisation de la transaction.
le numéro de la carte bancaire,
le type d’alerte,
le type de lecture de la carte,
le secteur d’activité du commerçant ayant réalisé la transaction.
Les données pour la gestion des alertes sont :
à l’identification des personnes : nom, prénom, adresse, date et lieu de naissance,
à la situation familiale : marié(e), divorcé(e), veuf(ve), célibataire, pacsé(e), en concubinage,
aux données de connexion : téléphone et adresse électronique.
les informations relatives à la transaction (montant, montants cumulés des transactions réalisées sur les dernières 24 heures, lieu géographique)
le mode de lecture de la carte bancaire, la branche d’activité du commerçant acquéreur et le lieu de réalisation de la transaction.
le numéro de la carte bancaire,
le type d’alerte,
le type de lecture de la carte,
le secteur d’activité du commerçant ayant réalisé la transaction.
Les alertes sont conservées pendant une durée de 30 jours.
à l’identification des personnes : nom, prénom, adresse, date et lieu de naissance,
à la situation familiale : marié(e), divorcé(e), veuf(ve), célibataire, pacsé(e), en concubinage,
aux données de connexion : téléphone et adresse électronique.
les informations relatives à la transaction (montant, montants cumulés des transactions réalisées sur les dernières 24 heures, lieu géographique)
le mode de lecture de la carte bancaire, la branche d’activité du commerçant acquéreur et le lieu de réalisation de la transaction.
le numéro de la carte bancaire,
le type d’alerte,
le type de lecture de la carte,
le secteur d’activité du commerçant ayant réalisé la transaction.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Le personnel habilité du service lutte contre la fraude de la Société OPS a accès au traitement de gestion des alertes.
Les actions effectuées par ces personnes sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Sur les transferts de données
La finalité du transfert concerne les services opérationnels. Le sous traitant est en charge du traitement de l’ensemble des appels, des courriels et courriers des clients.
Les catégories de données rappelées ci-dessus sont transmises au personnel habilité de la société Outremer Telecom Ltee (située à l’Ile Maurice) filiale à 100% du Groupe Outremer Telecom, en vertu des clauses contractuelles types de la Commission européenne.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de la mise en œuvre de ce traitement lors de la signature du contrat porteur.
Les droits d’accès et de rectification s’exercent auprès du Service clients de la société OPS : 105-109, rue du faubourg saint honore - 75008 Paris.
Sur les mesures de sécurité
Le responsable de traitement a mis en place une authentification s’appuyant sur un système de carte à puce. Seuls les détenteurs de carte sont en mesure d’accéder au système.
Des profils d'habilitation sont prévus afin de gérer les accès aux données. Les permissions d'accès sont supprimées pour tout  utilisateur n'étant plus habilité.
Les postes de travail disposent d'un pare-feu logiciel ainsi que d’un antivirus mis à jour régulièrement.
Les sauvegardes sont stockées dans un endroit garantissant leur sécurité et leur disponibilité et les interventions de maintenance font l'objet d'une traçabilité.
Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement sécurisé.
Il existe une journalisation des opérations de consultation, de création et de modification du traitement. Ces journaux sont conservés pendant une durée de 15 mois.
La Commission observe que les services web sont sécurisés au moyen du protocole SSL.
Sur les autres caractéristiques du traitement
Le traitement n’a pas pour objet d’identifier des commerçants ou des terminaux de paiements auxquels correspondent un taux significatif d’utilisations frauduleuses ou de tentatives d’utilisations frauduleuses.
La Commission observe que le traitement de détection des alertes ne permet pas d’établir une liste des alertes générées pour une même carte bancaire ou un même compte.
La Commission insiste par ailleurs sur la nécessité de paramétrer le traitement automatisé en fonction d’un niveau de risque jugé acceptable par le responsable de traitement afin de ne pas multiplier inutilement le nombre de fausses alertes susceptibles de provoquer une gêne excessive pour les porteurs légitimes de cartes.
Autorise, conformément à la présente délibération, OPS à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN