(Demande d’autorisation n° 1618961)
La Commission nationale de l’informatique et des libertés,
Saisie par la société VENTE-PRIVEE.COM d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude et les impayés par tout moyen de paiement ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25,I,4°et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean Paul AMOUDRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
VENTE-PRIVEE.COM, ci-dessous dénommée VENTE PRIVEE.
Sur la finalité
La société VENTE PRIVEE est un site de ventes évènementielles sur internet. Afin de lutter contre les tentatives de fraudes à la carte bancaire effectuées lors d’achats à distance elle a recours à un outil d’évaluation des risques présentés par ce type de transaction. Cette évaluation est réalisée par un sous-traitant, établi aux Etats-Unis. Elle souhaite en outre inscrire sur une liste noire des données nominatives relatives aux commandes impayées.
La société VENTE PRIVEE a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité la lutte contre la fraude et les impayés par tout moyen de paiement. La Commission considère que cette finalité est déterminée, explicite et légitime.
Ce traitement a pour objet d’identifier les paiements effectués à distance auprès de la société VENTE PRIVEE et présentant un risque de fraude susceptible de générer un impayé. La Commission considère que ce traitement peut avoir pour effet d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant en leur ôtant la possibilité de recourir à ce mode de paiement à distance. Il relève donc du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la Commission.
Les fraudes recherchées correspondent à des utilisations illégitimes de cartes bancaires ou des données qui y sont attachées, lorsque ces utilisations risquent d’avoir des conséquences préjudiciables pour la société VENTE PRIVEE.
Les utilisations d’une carte par son porteur légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alerte.
Sur les données traitées
Les catégories de données traitées sont relatives :
- à l’identité des personnes concernées   : nom, prénom, adresse de l’acheteur (membre du site) et de son parrain éventuel ;
- à la vie personnelle des personnes concernées : les habitudes de vie (objet de la vente) ;
- aux données d’informations d’ordre économique et financier : paiement(s) contesté(s), précédent(s) ;
- aux données de connexion : identifiants des terminaux, identifiants de connexions, information d’horodatage, adresse IP, logs, cookies chiffrés ;
- aux données de localisation : adresse de livraison et de facturation,
- à la base client : nom, prénom, adresse(s) postale et électronique, téléphone(s), identifiant du membre. Les données de la base client (uniquement les clients acheteurs) sont rapprochées de celles transmises par les établissements bancaires.
Les données relatives à la carte bancaire sont collectées directement par les partenaires (la Société générale, BNP-Paribas, Paypal et Rabboban), qui retournent les numéros de cartes partiellement masqués à la cellule fraude précontentieux du service relations membres ainsi qu’aux personnes habilitées de la direction des systèmes informatiques et de la direction financière de VENTE PRIVEE.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessives au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seul le personnel habilité de la cellule fraude de VENTE PRIVEE peuvent avoir accès à ce traitement.
La Commission estime que ces destinataires ont un intérêt légitime à avoir communication de ces données.
Sur le transfert de données
La finalité du transfert consiste en une analyse des risques que représente la transaction à distance par tout moyen de paiement.
L’ensemble des catégories de données ci-dessus sont transmises au personnel habilité de la société Accertify Inc, Etats-Unis, adhérente au principe du Safe Harbor.
Sur l’information et le droit d’accès
Les membres sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention figurant dans les conditions générales de vente et dans le formulaire relatif à la politique de confidentialité des données accessibles sur le site internet de VENTE-PRIVEE .COM.
La Commission considère que ces modalités d’information sont suffisantes au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Lorsqu’une commande génère un impayé les données mentionnées supra sont conservées sur la liste noire, la personne concernée est informée de cette conservation, de ses conséquences potentielles et de ses droits par courrier électronique.
Les droits d’accès et de rectification s’exercent auprès du Service Relation Membres de VENTE PRIVEE, 5bis, rue Francis de Pressensé - 93457 LA PLAINE SAINT DENIS CEDEX.
Sur les mesures de sécurité
Seules les personnes habilitées de la cellule pré-contentieux du service relation membres ont accès aux systèmes d’enregistrement, de traçabilité des accès, modifications et suppressions de données non autorisés. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.
Dans le cadre de ses relations avec ses partenaires, et notamment lorsqu’il existe une opération Rosedael, VENTE PRIVEE peut transmettre à son partenaire (et conformément aux CVG Rosedeal et au contrat conclu entre les deux entités) les informations relatives à l’identité de l’acheteur, le(s) numéro(s) de commande et de coupon. Cette communication se fait via des moyens sécurisés. Par ailleurs, un contrat entre VENTE PRIVEE et ses partenaires rappelle les conditions qui s’appliquent pour une bonne gestion des données et les mesures à mettre en œuvre pour assurer un niveau de sécurité suffisant.
Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Les critères pris en compte pour l’analyse des risques présentés par la commande sont :
- le type de moyen de paiement (carte, paypal et virement),
- le numéro de la carte masquée, pays d’émission de la carte bancaire, et date d’expiration,
- le montant du paiement autorisé, le type de carte, le numéro d’autorisation et le code retour sur le cryptogramme visuel,
- le montant des bons d’achats, le numéro du bon d’achat et le type de bon d’achat,
- les informations relatives à la facturation (prénom, nom, adresse(s) postale et électronique, code postal, ville, pays d’émission de la carte bancaire, numéro de téléphone),
- les informations relatives au membre (identifiant, prénom, nom, adresse électronique, identifiant du parrain, date de dernière visite, date de dernière commande, numéro de téléphone, date d’inscription sur le site, adresse(s), code postal, ville, pays, code fiscal (pour l’inscription en Italie),
- les informations relatives à l’expéditeur (prénom, nom, adresse électronique, adresse(s), code postal, ville, pays, numéro de téléphone, mode de livraison, date limite d’expédition de la commande),
- le canal utilisé (mobile, internet),
- les informations relatives à la commande,
- les informations relatives au produit,
- l’adresse IP,
- le montant et le motif de l’impayé, la date et le montant de l’impayé régularisé,
- la date du dernier retour et le code motif du retour,
- la date d’expédition de la commande.
Vente-privee.com ne conserve pas le cryptogramme visuel. Le code retour, ou CVV_RESPONSE_CODE, ne contient pas le cryptogramme, il s’agit d’une information sur la vérification du numéro de contrôle de la banque de l’internaute.
La référence fournisseur du produit n’est pas un critère directement pris en compte pour l’analyse des risques mais cette information  permet la réalisation d’un reporting sur des catégories de produits ou produits qui ont été exposés à la fraude, et ce, afin d’améliorer la veille dans ce secteur. A terme, VENTE PRIVEE envisage éventuellement de tenir compte de certaines catégories de produits pour augmenter le scoring d’une vente.
A chaque transaction un niveau de risque global sous la forme d’une note de score est calculé à partir de ces critères. La Commission prend acte que conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, les résultats communiqués par la société Accertify Inc feront l’objet d’une analyse manuelle par le personnel habilité de la cellule pré-contentieux du service relation membres de VENTE PRIVEE. Seul ce dernier procède à la validation ou à l’annulation de la commande.
Le résultat de l’analyse automatique détermine une note de score qui en fonction d’un seuil déterminé donne lieu à une analyse manuelle. En cas de score élevé, une analyse manuelle est réalisée. Si cette analyse permet de détecter un risque de fraude ou un éventuel impayé au détriment de VENTE PRIVEE, la cellule pré-contentieux du service relation membres, procède à la suspension du compte de membre concerné ainsi qu’à l’annulation de la commande ou au blocage des expéditions. Lorsque le score est en dessous d’un certain seuil, il n’y a pas d’analyse manuelle et la commande suit le processus normal de vente.
La Commission prend acte que les données transmises à la société Accertify Inc ne sont pas communiquées à d’autres personnes susceptibles de recourir aux services proposés par ce sous-traitant. Toutefois, en cas de suspicion de fraude à l’utilisation des bons d’achats Rosedeal, la société VENTE PRIVEE peut être amenée à communiquer à ses partenaires des informations personnelles (identité du membre, numéro(s) de commande et numéro(s) de coupon) liées au membre acheteur du bon et suspecté d’utilisation litigieuse.
Ces données sont conservées en base active pendant une durée de 2 ans à compter du paiement pour des motifs légitimes (obligations comptables ou contractuelles). Au-delà de cette période il existe un système de purge automatique par l’outil et d’archivage.
L’identité, l’adresse de facturation et de livraison, les données relatives à la carte bancaire, l’adresse électronique, l’identifiant membre, le mot de passe crypté, le cookie crypté du navigateur et le domaine de l’e mail et le numéro de téléphone sont inscrits sur la liste noire et sont conservés pendant une durée de deux ans. Les personnes inscrites en liste noire sont supprimées de la liste noire dès régularisation de l’impayé.
Ces autres caractéristiques du traitement n’appellent pas d’observation.
Autorise, conformément à la présente délibération, VENTE-PRIVEE.COM à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN