(Demande d’autorisation n° 1514146)
La Commission nationale de l'informatique et des libertés,
Saisie par la société FORTUNEO d’une demande de modification de la délibération n° 2014-405 du 2 octobre 2014 autorisant la société à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la détection de la fraude documentaire en matière de pièces d’identité et de justificatifs de domicile;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, relative à l’informatique, aux fichiers et aux libertés ; notamment ses articles 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2014-405 du 2 octobre 2014 autorisant la société FORTUNEO à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la détection de la fraude documentaire en matière de pièces d'identité et de justificatifs de domicile ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
FORTUNEO, filiale du Crédit Mutuel Arkéa, est une banque en ligne qui propose une gamme de produits et services à destination des particuliers.
Sur la finalité
FORTUNEO a saisi la Commission d’un traitement ayant pour finalité la détection de la fraude documentaire en matière de pièces d'identité et de justificatifs de domicile. Le traitement vise, par l’utilisation d’un logiciel à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) lors de l'ouverture des comptes courants et des livrets.
Lorsque l’analyse de l’outil conclut à la non-conformité du document, la demande d’ouverture de compte ou de livret peut être refusée. Dans la situation inverse, si l’authenticité des documents est confirmée, il est fait droit à la demande du client.
Ce traitement peut ainsi du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale prévoyant une telle exclusion. Il est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
Plus précisément, il existe un premier contrôle des documents réalisé directement par le chargé de clientèle qui reçoit la personne souhaitant entrer en relation avec la banque.
Le contrôle de la pièce d’identité se fait ensuite via la bande MRZ tandis que le contrôle des justificatifs est réalisé par comparaison avec la base de documents. Ce contrôle est réalisé par la saisie manuelle dans l’outil des données qui figurent sur le document d’identité ou par une analyse automatique, par reconnaissance optique de caractères, d’une copie numérisée. L’outil vérifie alors la cohérence des lignes MRZ avec les données saisies ou numérisées.
Lorsque les documents d’identité sont détectés non conformes, le service prévention de la fraude effectue un contrôle de second niveau.
Le traitement mis en œuvre ne constitue dès lors qu’un outil d’aide à l’analyse des documents d’identité présentés par la personne concernée lors de l’entrée en relation avec FORTUNEO. La Commission prend acte qu’en cas de détection d’anomalie, une analyse complémentaire sera effectuée par les personnels habilités afin, le cas échéant, de confirmer la tentative de fraude.
Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
La Commission estime que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données suivantes sont traitées pour la détection de la fraude identitaire : nom, prénom,  sexe, adresse, date et lieu de naissance, n° de la pièce d’identité, date délivrance, autorité qui a délivrée la pièce, ligne MRZ, type de la pièce d'identité (CNI , Passeport, titre de séjour),  pays d'émission de la pièce d'identité, date de validité.
Les données suivantes sont traitées pour l’émission d’alerte via l’outil : n° du document d'identité, nom, prénoms, sexe, date de naissance, date de délivrance, autorité qui délivrée la pièce, ligne MRZ, date expiration passeport, nationalité passeport, type de la pièce d'identité, pays d'émission de la pièce d'identité, lieu de naissance, date de validité.
Les données collectées ne sont utilisées que le temps nécessaire à la vérification de l’authenticité des documents. Par la suite, elles sont supprimées ou anonymisées pour la production de statistiques.
Lorsque la demande d’ouverture de compte ou de livret est validée, une copie des documents est conservée, conformément aux dispositions du code monétaire et financier.
La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Sont destinataires des données dans le cadre de leurs missions  le personnel habilité des services Risques, Contrôle permanent,  Conformité, Juridique et Contentieux.
Ces destinataires qui sont en nombre limité n'appellent pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention qui figure dans les conditions générales de FORTUNEO et dans les courriers électroniques qui leur sont adressés.
Les personnes peuvent exercer leurs droits directement auprès du correspondant informatique et libertés au 28 bis avenue baron Lacrosse BP45, 29801 Brest cedex 09
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.
Chaque utilisateur dispose d'un identifiant qui lui est propre et d’un mot de passe composé de 9 caractères comprenant à la fois des lettres majuscules et minuscules,  des chiffres et des caractères spéciaux. La Commission prend note que ceux-ci sont générés par l’outil et fournit directement aux personnes habilitées et s’engage à détruire automatiquement toute trace des mots de passe, une fois ceux-ci envoyés.
La Commission rappelle que les mots de passe doivent être changés par l’utilisateur à la première connexion et régulièrement.
Une journalisation des opérations de connexion à l’application, de vérification des pièces et du résultat de ces opérations est réalisée via un outil. La Commission rappelle que les utilisateurs doivent être informés que leurs actions font l'objet d'une journalisation. L’accès à l’application est sécurisé au moyen du protocole HTTPS.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.
Ces autres caractéristiques n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la société FORTUNEO à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN