(Demande d’autorisation n°1826862)
La Commission nationale de l'informatique et des libertés,
Saisie par la société EURO DISNEY ASSOCIES S.C.A. d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation des risques de fraude à la carte de paiement pour les transactions sur ses sites internet marchands ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-358 du 14 novembre 2013 portant adoption d’une recommandation concernant le traitement des données relatives à la carte de paiement en matière de vente de biens et de fourniture de services à distance ;
Vu le dossier et ses compléments ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société EURO DISNEY ASSOCIES S.C.A.
Sur la finalité
La société EURO DISNEY ASSOCIES S.C.A., ci-dessous dénommée EURO DISNEY, a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation des risques de fraude à la carte de paiement pour les transactions sur ses sites internet marchands.
Afin de lutter contre les tentatives de fraude à la carte de paiement, elle souhaite se doter, dans le cadre des ventes dématérialisées, d’un outil d’évaluation des risques. Elle souhaite en outre conserver des données relatives aux tentatives de fraude détectées afin de procéder à une analyse approfondie des transactions ultérieures présentant une ou plusieurs de ces caractéristiques.
Ce traitement peut avoir pour effet d’exclure le porteur de la carte de la possibilité de recourir au mode de paiement à distance. Un autre mode de paiement lui sera néanmoins toujours proposé.
Dès lors, ce traitement relève des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements susceptibles du fait de leur nature, de leur portée ou de leurs finalités, d’exclure les personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
La Commission observe que les fraudes recherchées correspondent à des utilisations illégitimes de cartes ou des données qui y sont attachées lorsque ces utilisations risquent de générer un impayé pour la société EURO DISNEY. Les utilisations d’une carte par son titulaire légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des critères permettant d’évaluer le risque de fraude.
Les sites marchands sur lesquels le système d’évaluation des risques de fraude est mis en œuvre sont tous les sites internet marchands édités par la société EURO DISNEY et/ou sa filiale, EURO DISNEY VACANCES SAS, permettant l’achat de billets parc ou de forfaits touristiques.
L’évaluation a lieu après la validation par l’utilisateur des éléments de sa commande et des informations de sa carte bancaire.
Si le système d’évaluation établit un risque de fraude, la personne est invitée à contacter la centrale de réservation téléphonique de la société pour effectuer sa commande. Dès lors, la Commission prend acte que la mise en œuvre de ce traitement automatisé n’est pas contraire aux alinéas 2 et 3 de l’article 10 de la loi du 6 janvier 1978 modifiée.
La Commission considère que cette finalité est déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données traitées dans le cadre du système d’évaluation des risques de fraude à la carte de paiement sont les suivantes :
données d’identification : les nom et prénom du titulaire de la carte et des personnes bénéficiant des prestations achetées, la civilité, le code postal, le nom de la ville et le pays de résidence, le numéro de téléphone, l’adresse électronique ;
données d’ordre économique et financier : montant de la transaction, numéro de la carte de paiement ;
données d’horodatage.
Les critères pris en compte pour l’analyse des risques présentés par la commande sont basés sur des règles de fréquence et de récurrence déterminées par la société EURO DISNEY. Ils incluent les données mentionnées ci-dessus. La transaction ne sera pas bloquée sur le fondement d’un seul de ces éléments mais au vu de la réunion de plusieurs d’entre eux, chacun de ces éléments se voyant attribuer un coefficient de risque défini par la société EURO DISNEY.
Ces données sont conservées pendant une durée de trois mois.
Aucune liste recensant les personnes à risque n'est mise en œuvre.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article   6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
L’accès au traitement est restreint aux seuls collaborateurs habilités du service Audit interne – lutte contre la fraude et de l’équipe monétique (rattachée à la Direction des systèmes d’information).
La société n’a recours à aucun prestataire de service pour ce traitement.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant sur le formulaire de commande en ligne, présente avant la réalisation du paiement.
Cette mention précise que les données sont collectées et traitées aux fins de gestion et paiement de la réservation et de lutte contre la fraude à la carte de paiement.
Lorsqu’un risque de fraude est identifié, la personne concernée est invitée à contacter la centrale de réservation téléphonique pour effectuer sa commande.
La Commission considère que les modalités d’information des personnes concernées sont satisfaisantes au regard des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée et qu’elles satisfont aux exigences posées par les alinéas 2 et 3 de l’article 10 de la loi précitée.
S’agissant des modalités d’exercice des droits des personnes, les droits d’opposition, d’accès et de rectification s’exercent dans les conditions légales auprès de la société EURO DISNEY.
Ces modalités d’exercice des droits des personnes n’appellent pas d’observations de la part de la Commission.
Sur les mesures de sécurité
La Commission prend acte des mesures de sécurité mises en place par la société EURO DISNEY, prévoyant que les numéros de cartes de paiement conservés sont hachés.
Des sauvegardes quotidiennes sont réalisées. Elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité. Elles sont testées régulièrement afin de vérifier leur intégrité. Le transfert des sauvegardes est sécurisé. La continuité d'activité est testée régulièrement.
L'accès à un compte d'un poste de travail est bloqué après un nombre limité de tentatives infructueuses. Les postes de travail disposent d'un pare-feu et d'un logiciel antivirus. Les logiciels et systèmes d’exploitation sont régulièrement mis à jour.
Les interventions de maintenance font l'objet d'une traçabilité. Le matériel remisé est nettoyé de toute donnée à caractère personnel. L'accord de l'utilisateur est recueilli avant toute intervention sur son poste informatique. Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement.
Une journalisation des opérations de consultation, création, modification et suppression du traitement est réalisée. Les journaux sont conservés et font l’objet d’une analyse régulière.
La Commission rappelle qu’une politique satisfaisante de mot de passe implique que ceux-ci soient composés de huit caractères minimum, comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux. Ils doivent en outre être définis ou modifiés dès la première connexion par l’utilisateur, puis régulièrement renouvelés et ne doivent pas être stockés en clair.
Autorise, conformément à la présente délibération, la société EURO DISNEY à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN