(Demande d’autorisation n° 1530906)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Carrefour Hypermarchés d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion du fichier des clients exclus du service Scan’Lib ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La société Carrefour Hypermarchés a mis à la disposition de ses clients des lecteurs mobiles de code-barres (Scan’Lib). Ce service gratuit est  réservé aux adhérents du programme de fidélité Carrefour.
Elle souhaite prévenir les anomalies pouvant survenir lors de l’utilisation de ce service notamment prévenir les éventuels cas de fraude. A cette fin, elle souhaite mettre en place un traitement ayant pour finalité d’enregistrer dans un traitement les clients ayant rencontré des anomalies en vue d’une éventuelle exclusion du bénéfice de ce service.
Le traitement projeté vise à classer les bénéficiaires du dispositif Scan’Lib selon le niveau de confiance qui leur est attribué et à constituer un traitement d’exclusion des clients privés de ce service. Dans la mesure où ce traitement est susceptible d’exclure les clients du bénéfice d’une prestation, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements susceptibles du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou règlementaire.
Sur la finalité du traitement :
La finalité du traitement est la gestion du fichier des clients exclus du service Scan’Lib. L’objectif poursuivi par la société est de lutter contre les vols en magasins, qui peuvent être facilités par ce nouveau service.
En cas d’utilisation anormale, en particulier en cas d’écarts répétés entre le contenu du panier et l’affichage du PDT (Portable Data Terminal), les clients sont susceptibles de faire l’objet d’une exclusion du service Scan’Lib pendant une durée maximale de deux ans. Cette exclusion n’a, en revanche, aucune incidence sur les avantages de leur programme de fidélité, en particulier sur les éventuels crédits accordés.
La Commission considère la finalité poursuivie comme légitime au sens des dispositions de l’article 6 de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Les données traitées dans la base Scan’Lib  sont, d’une part,  les données collectées par le système, à savoir les données de connexion du client (login et mot de passe, date et heure), l’identifiant des magasins dans lesquels les anomalies ont été constatées, les données d’identification des clients et le numéro de la carte de fidélité du client ; d’autre, part les données agrégées par le système, à savoir l’historique (sur les 7 dernières semaines), des anomalies (montant en euros correspondant à l’écart constaté entre les produits scannés et les produits présents dans le panier, le nombre de produits concernés, le code-barres des produits et leur désignation), l’historique (sur les 24 derniers mois) des indices de confiance attribués aux clients ; et, enfin, les données contenues dans la liste d’exclusion, à savoir le nom et le prénom du client, son numéro de carte de fidélité et la date d’exclusion du service Scan’Lib
Sur la durée de conservation des données :
Les informations sur les achats enregistrés dans le PDT sont conservées pendant la durée des courses et jusqu’au paiement. Les données sont ensuite effacées au plus tard dans les 30 minutes suivant la transaction et, en tout état de cause, dès que le PDT est replacé sur son support technique.
Les informations relatives aux produits scannés sont conservées dans le système Scan’Lib (base ticket) pendant 6 mois. Les données sont ensuite effacées.
L’historique des contrôles n’ayant pas donné lieu à anomalie concernant un client est conservé pendant 24 mois en base archive.
Les données figurant dans le fichier d’exclusion sont conservées pendant 24 mois à compter de l’inscription du client et sont ensuite supprimées.
Sur les destinataires des données :
Les destinataires des données sont les personnes habilitées du pôle sûreté de la Direction de la prévention des risques (qui ont accès à l’ensemble des données traitées ainsi qu’à la liste d’exclusion), les personnes en charge de la maintenance et de l’administration du système Scan’Lib (qui ont accès à l’ensemble des données traitées par le système Scan’Lib), les directeurs de magasins (qui n’ont accès qu’à la liste des numéros de carte de fidélité exclue), les hôtesses de caisse (qui ont accès au numéro de la carte de fidélité, à la liste des produits achetés lors de la transaction Scan’Lib non-finalisée).
La Commission considère que cette liste de destinataires n’appelle pas d’observation.
Sur l'information des personnes :
Les personnes concernées sont informées conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée et aux recommandations de la Commission relatives aux traitements d’exclusion.
Préalablement à l’entrée en relation commerciale, les clients sont informés dans les Conditions générales d’utilisation du service Scan’Lib. Ces mentions seront également affichées dans l’espace où les PDT sont situés en magasin et dans l’espace d’encaissement dédié aux bénéficiaires de ce service. La Commission rappelle l’importance de cette information qui doit préciser les modalités de fonctionnement du dispositif Scan’Lib et détailler la procédure d’exclusion du service.
Les clients sont en outre informés, au moment de la procédure d’inscription au fichier d’exclusion, par l’envoi par tout moyen d’un premier message notifiant la suspension pendant les cinq jours qui suivent la dernière anomalie, puis d’un deuxième confirmant la suspension pendant la durée de deux ans.
Sous réserve des observations ci-dessus, la Commission considère que ces modalités d’informations sont satisfaisantes.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès s’exercent auprès du service Sûreté de la société Carrefour Hypermarchés.
Sur la sécurité des données et la traçabilité des actions :
Les serveurs centraux utilisés pour le traitement sont hébergés et exploités par un sous-traitant, lequel assure également la sauvegarde des données. La transmission des données entre les serveurs magasins et les serveurs centraux est assurée par ligne spécialisée sécurisée.
Les données sont transmises sous forme chiffrée dès la transmission du PDT au serveur magasin puis du serveur magasin au serveur central.
Les serveurs magasins et les serveurs centraux sont stockés dans des locaux sécurisés avec contrôle d’accès.
Les interventions de maintenance, enregistrées dans une main courante, font l’objet d’une traçabilité. Les accès distants sont assurés par une passerelle sécurisée avec identification par compte.
Le contrôle d’accès logique s’effectue par mot de passe alphanumérique de 6 caractères.
La Commission recommande des mots de passe de 8 caractères minimum avec des caractères de types différents (majuscules, minuscules, chiffres, caractères spéciaux) et un renouvellement régulier (par exemple tous les 3 mois) pour les usagers ayant accès au traitement. Concernant les personnes habilitées à l’administration du traitement (les administrateurs réseau), la taille de mot de passe est alors recommandée à 10 caractères minimum.
La société Carrefour s’engage à adopter un nouvel outil pour répondre à ces préconisations.
Une journalisation des accès à l’application et aux données est effectuée.
Par conséquent, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée, sous réserve de respecter les recommandations de la Commission relatives à la gestion de l’authentification des utilisateurs.
La Commission rappelle par ailleurs la nécessité d’une mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société Carrefour Hypermarchés à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion du fichier des clients exclus du service Scan’Lib.
La Présidente
I. FALQUE-PIERROTIN