(Demande d’autorisation n° 1621908)
La Commission nationale de l'informatique et des libertés,
Saisie par la Société FINANCO d’une demande de modification de la délibération n°2013-138 du 23 mai 2013 autorisant la société FINANCO à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité  ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2013-138 du 23 mai 2013 autorisant la société FINANCO à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Société FINANCO est un organisme de crédit, filiale du Crédit Mutuel Arkéa, ci-dessous dénommée FINANCO.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) au moment d’une demande de crédit par un client auprès de FINANCO.
Le contrôle des pièces justificatives permet de détecter les documents présumés frauduleux, et dans ce cas, la demande de crédit est refusée par FINANCO.
Ce traitement peut ainsi, du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale ou réglementaire prévoyant une telle exclusion.
La Commission observe que cette finalité est déterminée, explicite et légitime.
Dès lors, il est soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données collectées concernent les nom et prénoms, sexe, date et lieu de naissance, la nature du document d’identité, son numéro, l’autorité de délivrance, la date d’expiration (uniquement pour les passeports) et la bande MRZ figurant en bas des documents d’identité. La date de délivrance de la pièce d’identité, la date de fin de validité et l’autorité de délivrance sont également enregistrées dans le traitement.
La Commission considère que ces données sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.
Les données collectées sont conservées pendant une durée de 6 mois par FINANCO en cas de refus d’octroi du crédit au client. Dans le cas contraire, les données collectées pour effectuer les contrôles ne seront utilisées que le temps de la vérification de l’authenticité des documents.
Le résultat du contrôle du document d’identité n’est pas conservé par FINANCO. Le résultat est cependant accessible à deux personnes du back office de FINANCO via l’outil de gestion statistique de la consommation. Ainsi, il n’est pas possible pour un salarié de FINANCO de vérifier si le refus est lié au traitement ou à une autre incohérence.
Enfin, les dossiers des clients sont  supprimés du système  d'information au terme des durées de conservation définies ci dessus.
Sur les destinataires
Seuls les collaborateurs de FINANCO ayant initié le contrôle ont accès à ce traitement.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Les personnes sont informées, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, dans le contrat de crédit ainsi que sur le site internet de FINANCO.
Les droits d’accès et de rectification s’exercent auprès du Service client de FINANCO, 2 quai de la douane – CS 91841-29218 Brest Cedex 2.
Sur les mesures de sécurité
Seuls les assistants commerciaux et les gestionnaires risques opérationnels ont accès au logiciel. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.
Chaque utilisateur dispose d'un identifiant qui lui est propre et d’un mot de passe composé de 8 caractères comprenant au moins 3 des 4 types de caractères (majuscules, minuscules, chiffres et caractères spéciaux). La Commission prend note que ceux-ci sont générés par le logiciel qui les fournit directement aux personnes habilitées et s’engage à détruire automatiquement toute trace des mots de passe, une fois ceux-ci envoyés.
La Commission rappelle que les mots de passe doivent être changés par l’utilisateur à la première connexion.
Une journalisation des opérations de connexion à l’application, de vérification des pièces et leur résultat est réalisée via un outil de gestion statistique de la consommation mis à disposition par le logiciel. Seules deux personnes ont  accès à cette application et peuvent contrôler le nombre de connexions, global et par utilisateur, ainsi que la nature des pièces contrôlées et le résultat valide/non valide du contrôle.  La Commission rappelle que les utilisateurs doivent être informés que leurs actions font l'objet d'une journalisation. Enfin, l’accès à l’application est sécurisé au moyen du protocole SSL.
Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Le traitement mis en œuvre n’est qu’un outil d’aide à l’analyse des documents d’identité présentés par la personne concernée lors de l’entrée en relation avec FINANCO. La Commission prend acte qu’en cas de détection d’anomalie, une analyse complémentaire sera effectuée par les personnels habilités de FINANCO afin, le cas échéant, de confirmer la tentative de fraude.
Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.
Autorise, conformément à la présente délibération, la Société FINANCO à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN