(Demande d’autorisation n° 1552172)
La Commission nationale de l’informatique et des libertés ;
Saisie par la société NATIXIS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité  la constitution d’une liste de bénéficiaires frauduleux de virements internationaux afin de bloquer tout virement ultérieur sur tout compte ouvert en leur nom ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire et après avoir entendu les observations de  M.  Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
NATIXIS est la banque de financement et d'investissement du groupe BPCE.
Sur la finalité
La société NATIXIS a saisi la Commission d’une demande d’autorisation sur le fondement de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée.
Afin de prévenir la recrudescence d’ordres de virements internationaux frauduleux, en particulier due à des pratiques de « phishing » qui consistent pour un fraudeur à se faire passer pour un collaborateur de la banque en appelant une entreprise cliente ou un particulier, NATIXIS souhaite mettre en œuvre un traitement de données à caractère personnel permettant de générer des alertes sur des virements identifiés comme étant frauduleux (escroquerie, usurpation d’identité de l’émetteur de l’ordre de virement). A cette fin et en complément des procédures de vérification mises en œuvre en amont par les différents établissements, NATIXIS souhaite constituer une liste de bénéficiaires frauduleux de virements internationaux identifiés au sein de chaque établissement ayant fait l’objet d’une fraude avérée ou d’une tentative de fraude afin de bloquer tout virement ultérieur sur tout compte ouvert à leur nom.
Le traitement permettra de générer des alertes  qui seront transmises aux « correspondants alertes » de chaque établissement, qui sont en charge de l’investigation et de la prise de décision sur ces alertes.
Les alertes sont générées en cas de virement international sur un IBAN enregistré dans la liste (coïncidence entre le nom du bénéficiaire et son numéro IBAN ou l’IBAN seul).
Si après vérification, le virement s’avère légitime, il est effectué. Dans le cas contraire, une analyse complémentaire sera opérée afin de confirmer la tentative de fraude et, le cas échéant, de bloquer le virement.
Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est  prise à l’égard des personnes concernées. La Commission prend acte que la décision de suspendre ou de bloquer un virement n’est jamais automatique et qu’une intervention manuelle est nécessaire.
De manière générale, la Commission recommande de sensibiliser les clients sur ces pratiques frauduleuses afin qu’ils ne transmettent pas leurs identifiants et mots de passe au téléphone. A ce titre, la société NATIXIS a renforcé l’information de ses clients en diffusant une alerte spécifique.
La Commission considère que la lutte contre ce type de fraude doit passer par un renforcement des modalités d’authentification à distance du titulaire du compte afin de rendre inopérante toute tentative de modification frauduleuse des données du client. A ce titre, la Commission prend acte que le processus d’enregistrement et ou de modification du numéro de téléphone sera sécurisé par une authentification renforcée du titulaire du compte utilisant des canaux de communication différents (réception d’un code d’activation par courrier postal et envoi d’un mail). Désormais, la modification du numéro de téléphone ne peut plus être effectuée via le centre d’appels de NATIXIS.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime.
Sur les données traitées
Les données enregistrées dans la liste des bénéficiaires de virements frauduleux  sont les suivantes :
Ces données sont conservées pendant une durée de 1 an qui correspond à la durée moyenne des enquêtes judiciaires. En effet, les établissements victimes des virements frauduleux sont invités à déposer plainte auprès de la « section financière » du Service Régional de Police Judiciaire (SRPJ) de leur ressort.
Noms et prénoms des titulaires de comptes à l'étranger bénéficiaires de fraudes ;
Numéro IBAN.
Quant aux alertes émises, elles sont conservées pendant 5 jours maximum.
La Commission prend acte du fait que le dossier du client ne comporte aucune information relative aux alertes ou aux investigations réalisées dès lors que les alertes n’ont pas donné lieu à des cas avérés de fraudes ou de tentatives de fraude.
La Commission considère que les données collectées et traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.
Sur les destinataires
La liste de bénéficiaires frauduleux de virements internationaux est gérée en interne par les « correspondants alertes ». Seules 5 personnes de la cellule « conformité et sécurité financière » de NATIXIS (SECFIN) ont accès à l’outil.
Les établissements du groupe BPCE reçoivent les alertes les concernant s’agissant des virements de leurs clients à analyser.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données.
Sur l’information et le droit d’accès
NATIXIS prévoit d’adresser un message (SWIFT) à l’établissement bancaire auprès duquel le compte a été ouvert afin de l’informer de l’inscription du titulaire du compte dans la liste des bénéficiaires frauduleux ayant fait l’objet d’une fraude avérée ou d’une tentative de fraude. L’établissement pourra ainsi informer la personne concernée et prendre les mesures nécessaires.
Quant aux clients de NATIXIS victimes des virements frauduleux, ils sont informés par courrier personnalisé dans le cas où ils n’ont pas été à l’origine de l’alerte.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
NATIXIS a mis en place une politique de mots de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial.
Le réseau de l’entreprise fait l’objet de mesures de filtrage ayant pour but de restreindre l’émission et la réception des flux réseaux aux machines identifiées et autorisées.
Les interventions de maintenance font l'objet d'une traçabilité.
Des profils d'habilitation sont prévus afin de gérer les accès aux données autant que de besoin.
Une journalisation des opérations de consultation, création et modification du traitement est réalisée. Ces données de journalisation sont conservées pendant une durée d'un an.
Les données destinées à alimenter la liste des destinataires frauduleux sont transmises dans des conditions de nature à en garantir la confidentialité.
La liste des bénéficiaires frauduleux est stockée de manière chiffrée dans le logiciel Fircosoft.
Autorise, conformément à la présente délibération, NATIXIS à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN