(Demande d’autorisation n° 1605947)
La Commission nationale de l’informatique et des libertés,
Saisie par la société AUCHAN E COMMERCE FRANCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude et les impayés aux moyens de paiements ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son articles 25,I,4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean Paul AMOUDRY, commissaire et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La société AUCHAN E COMMERCE FRANCE, ci-dessous dénommée AECF.
Sur la finalité
La société AECF exploite un site de vente à distance sur internet. Afin de lutter contre les tentatives de fraudes à la carte bancaire ou par chèque, effectuées lors d’achat à distance, cette société a recours à un outil d’évaluation des risques.  Cette évaluation est réalisée par deux sous-traitants, établis en France. En cas de détection d’une anomalie sur la commande (ex : un impayé non régularisé), les clients en sont avertis afin de régulariser leur situation. En l’absence de réponse du client, la commande est invalidée. Cette information relative aux commandes impayées sera ensuite inscrite sur une liste noire.
Les fraudes recherchées correspondent à des utilisations illégitimes de cartes bancaires ou des données qui y sont attachées, lorsque ces utilisations risquent d’avoir des conséquences préjudiciables pour la société AECF. Les utilisations d’une carte par son porteur légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alerte.
La société AECF a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité la lutte contre la fraude et les impayés par carte bancaire et par chèque. La Commission considère que cette finalité est déterminée, explicite et légitime.
Ce traitement a pour objet d’identifier les paiements effectués à distance auprès de la société AECF et présentant un risque de fraude susceptible de générer un impayé.
La Commission considère que ce traitement peut avoir pour effet d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant en leur ôtant la possibilité de recourir à ce mode de paiement à distance. Il relève donc du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la Commission.
Sur les données traitées
Les catégories de données traitées sont relatives :
- à l’identité des clients : nom, prénom(s), date et lieu de naissance, adresse postale de livraison, de facturation et de courrier électronique ;
- aux informations d’ordre économique et financier : moyens de paiements utilisés (carte bancaire ou chèque), aux produits commandés ;
- aux données de connexion : identifiants des terminaux, identifiants de connexions, informations d’horodatage, informations de connexions.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seuls les partenaires de la lutte anti fraude, c’est-à-dire les sociétés FIA NET, CERTEGY, AUCHAN France et le cabinet de recouvrement « Lucas et Degand », ont accès à ce traitement. Les sociétés FIA NET et CERTEGY fournissent à la société AUCHAN une garantie en cas d’impayés sur des transactions qu’elles ont qualifiées de fiables. Lorsqu’une transaction assurée par CERTEGY est en impayée, cette société en est informée dans la cadre de sa prestation d’assurance.
La Commission observe qu’une partie du traitement sera réalisée par deux sous-traitants, la société FIA NET pour les paiements par carte bancaire et la société CETERGY pour les paiements par chèque. Elle prend acte que les données ne sont pas communiquées à d’autres personnes susceptibles de recourir aux services proposés par ce sous-traitant.
La Commission estime que ces destinataires ont un intérêt légitime à avoir communication de ces données.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la société AECF sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention d’information qui figure sur le formulaire de paiement qui redirige les clients vers une page d’informations sur le site internet de AECF.
Lorsqu’une commande génère un impayé les données sont conservées en liste noire, la personne concernée est informée de cette conservation, de ses conséquences potentielles et de ses droits par courrier.
Les droits d’accès et de rectification s’exercent auprès du Service Vente à distance à l’adresse postale suivante : Auchandirect 28 rue du Puits Dixme 94320 Thiais ou par courrier électronique à l’adresse : client@Auchandirect.fr
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Le responsable du traitement doit prendre toutes les précautions utiles pour préserver la sécurité des données à caractère personnel collectées et traitées.
Il doit, notamment  durant leur collecte, leur transmission et leur conservation, empêcher que les données soient déformées, endommagées ou que des tiers non autorisés y aient accès.
A cet effet, des mesures de sécurité adéquates seront mises en œuvre pour assurer la confidentialité des données conservées sur les serveurs, par l’application d’une méthode de chiffrement par exemple, en particulier pour la transmission sécurisée des pièces justificatives.
L’envoi de données à caractère personnel ou données identifiantes telles les login et mot de passe ne doivent pas être réalisées par courriel. En effet, l’interception du contenu par une tierce personne non autorisée est possible. La Commission préconise l’usage de plusieurs canaux de transmission pour l’envoi de ces données, login par courriel et mot de passe par courrier postal par exemple.
Le responsable de traitement conserve la responsabilité des données à caractère personnel communiquées ou gérées par des tiers autorisés, tels les partenaires et sous-traitants, devant assurer les mêmes garanties de sécurité. Notamment, le contrat établi entre les parties devra mentionner les objectifs de sécurité que le responsable de traitement doit nécessairement imposer à ses partenaires.
Les autres mesures de sécurité, tant physiques que logiques n’appellent pas de remarque de la Commission.
Sur les autres caractéristiques du traitement
Les critères pris en compte pour l’analyse des risques présentés par la commande sont relatifs aux données, au contenu et à la fréquence de la commande ainsi qu’à l’ancienneté du client.
La société AECF interroge FIA NET qui adresse en retour une appréciation sur la solvabilité du client. Si le score est inferieur à 90%, FIA NET peut procéder à d’autres contrôles (ex : appel du client afin de vérifier l’exactitude de son numéro de téléphone) afin de réévaluer la note pour valider la commande.
En cas de transaction identifiée comme présentant un risque de fraude, le service Prévention des fraudes de la société AECF procède à une analyse manuelle des éléments de la commande afin de confirmer ou non le caractère frauduleux. Si les vérifications complémentaires permettent d’écarter tout risque de fraude, la commande se poursuit normalement. Dans le cas contraire, elle est annulée. Le client en est informé et mis en mesure de présenter ses observations.
La Commission prend acte que conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, les résultats du traitement feront l’objet d’une analyse manuelle.
Lorsqu’une commande génère un impayé non régularisé, une mention est ajoutée dans l’outil. Cette information est supprimée dès lors qu’il y a eu régularisation de l’impayé. Si le client ne corrige pas cette anomalie (absence de régularisation du moyen de paiement, absence d’un autre moyen de paiement…), un courrier lui est adressé et précisant son inscription en liste noire jusqu’à régularisation de son impayé. En l’absence de régularisation de son impayé la commande est automatiquement annulée.
La liste noire ainsi créée permet de connaître les acheteurs «présentant un profil de risque particulier », c’est-à-dire, les personnes ayant un impayé non régularisé depuis 3 ans. Les données inscrites en liste noire correspondent à l’identité du client (nom, prénom(s), date et lieu de naissance), son adresse, le montant de la commande, le numéro de commande et le moyen de paiement utilisé. Les données sont conservées le temps de la vérification de la commande, elles sont ensuite archivées pendant une durée de trois ans.
La société CETERGY n’a pas accès à la liste des impayés toutefois, certaines informations relatives aux commandes impayées (original du chèque, date et numéro de commande) peuvent faire l’objet d’une communication de la part de AECF à la société CETERGY dans le cadre de sa prestation d’assurance auprès d’AECF.
La Commission observe que les données des clients relatives à la commande ainsi que la mention « impayé » sont conservées au-delà de 90 jours en base active à des fins d’une part de connaissance de l’historique du client et d’autre part à des fins comptables.
Autorise, conformément à la présente délibération, AUCHAN E COMMERCE FRANCE à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN