La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la demande d'autorisation présentée par le Crédit Mutuel ARKEA relative à un traitement automatisé de données à caractère personnel ayant pour finalité la détection de fraude à la carte bancaire ;
Sur le rapport de Monsieur Jean Paul AMOUDRY, commissaire, et les observations de
Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Le Crédit Mutuel ARKEA a saisi la Commission nationale de l'informatique et des libertés d'un projet de traitement de données à caractère personnel dont la finalité est de détecter des suspicions de fraude à la carte bancaire.
Sur la procédure suivie auprès de la Commission
La Commission observe que le traitement a pour objet d'identifier des opérations réalisées par cartes bancaires susceptibles de révéler une fraude. Dès lors, ce traitement peut avoir pour effet d'empêcher, même temporairement, le porteur de faire usage de son moyen de paiement.
Il en résulte que le traitement mis en œuvre peut avoir pour effet d'exclure des personnes du bénéfice d'une prestation, l'utilisation d'une carte bancaire, en l'absence de toute disposition législative ou réglementaire le prévoyant. Dès lors, il relève du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.
Sur les finalités et les caractéristiques du traitement
Le traitement vise à émettre des alertes a posteriori sur la base d'une analyse des transactions effectuées par les porteurs de cartes bancaires émises par le Crédit mutuel ARKEA. Celui-ci permet de détecter d'éventuelles opérations frauduleuses et d'en limiter les conséquences dommageables pour le porteur.
La Commission observe que les fraudes recherchées correspondent à des utilisations illégitimes d'une carte de paiement ou des données qui y sont attachées, lorsque ces utilisations risquent d'avoir des conséquences préjudiciables pour le porteur de la carte ou son établissement bancaire. Les utilisations d'une carte par son porteur légitime qui sont rendues irrégulières du seul fait d'un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d'alerte.
Les critères pris en compte pour la production des alertes sont :
• le pays de réalisation de la transaction,
• le mode de lecture de la carte bancaire,
• la branche d'activité du commerçant acquéreur,
• le montant de l'opération réalisée,
• le nombre de transactions sur les dernières 24 heures,
• le lieu de réalisation de la transaction qui peut être identifié comme un point de compromission.
Le traitement permet d'établir un modèle des risques d'utilisation frauduleuse élaboré sur la base d'un traitement statistique de l'historique des transactions réalisées par carte bancaire. L'ensemble des transactions réalisées à l'aide d'une carte bancaire émise par le Crédit Mutuel ARKEA est analysé a posteriori afin de détecter des fraudes.
En cas de transaction identifiée comme susceptible de constituer une fraude, celle-ci fait l'objet d'une alerte transmise pour analyse au personnel du Back office fraude du Crédit Mutuel ARKEA.
La Commission constate que ce traitement n'a pas pour objet d'identifier des commerçants ou des terminaux de paiements auxquels correspondent un taux significatif d'utilisations frauduleuses ou de tentatives d'utilisations frauduleuses.
La Commission observe que le traitement de détection des alertes ne permet pas d'établir une liste des alertes générées pour une même carte bancaire ou un même compte.
La Commission remarque qu'en cas d'alerte, le personnel du Back office Fraude du Crédit Mutuel ARKEA procède à une analyse manuelle des données collectées afin de confirmer le caractère suspect de la transaction. En cas de confirmation de l'alerte, il la transmet au chargé de clientèle du porteur qui tente d'entrer en contact téléphonique avec ce dernier pour vérifier si celui-ci est à l'origine de la transaction ayant fait l'objet d'un refus d'autorisation. Lorsque le porteur confirme qu'il n'est pas à l'origine de la transaction, la carte est annulée et une nouvelle carte lui sera délivrée.
La Commission constate que le personnel du Back office Fraude du Crédit Mutuel ARKEA n'est pas habilité à procéder de sa propre initiative, au blocage du moyen de paiement. En cas d'indices de fraude jugée élevée ou en présence de plusieurs alertes, le chargé de clientèle du porteur peut décider d'appliquer à la carte bancaire une restriction temporaire de fonctionnement.
La Commission observe que ce traitement ne peut donner lieu au blocage de la transaction ou à la mise en opposition de la carte bancaire sans avoir au préalable obtenu le consentement du porteur.
La Commission prend acte du fait que la restriction temporaire de fonctionnement appliquée à la carte bancaire en cas d'indices de fraude jugée élevée ou en présence de plusieurs alertes ne peut être mise en place que pendant le temps nécessaire à la prise de contact avec le porteur.
La Commission insiste par ailleurs sur la nécessité de paramétrer le traitement automatisé en fonction d'un niveau de risque jugé acceptable par le responsable de traitement afin de ne pas multiplier inutilement le nombre de fausses alertes susceptibles de provoquer une gêne excessive pour les porteurs légitimes de cartes.
Sur les données traitées et la durée de conservation :
Les catégories de données traitées pour la production des alertes sont :
• les informations relatives à la transaction (montant, montants cumulés des transactions réalisées sur les dernières 24 heures, lieu géographique)
• le mode de lecture de la carte bancaire, la branche d'activité du commerçant acquéreur et le lieu de réalisation de la transaction qui peut être identifié comme un lieu de compromission.
Les catégories de données traitées par le Back office Fraude pour la gestion des alertes :
• le numéro de la carte bancaire et
• le type d'alerte.
Les alertes sont conservées pendant une durée de 4 jours.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires du traitement
Seuls ont accès au traitement de gestion des alertes :
• le personnel habilité du Back office Fraude du Crédit Mutuel ARKEA,
• les responsables de la Direction offre moyens de paiement ainsi que le responsable du service litiges fraude monétique.
Les chargés de clientèle et les directeurs d'agence peuvent également avoir connaissance des alertes pour les seules transactions intéressant leurs clients et présentant un risque de fraude jugé élevé.
Les actions effectuées par ces personnes sont tracées afin de permettre de détecter et d'analyser tous accès, modifications et suppressions de données non autorisés.
Sur les modalités d'information et d'exercice des droits des personnes physiques
Conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de la mise en œuvre de ce traitement lors de la signature du contrat porteur.
Elles peuvent exercer leur droit d'accès conformément aux dispositions de l'article 39 de la loi ci-dessus.
Dans ces conditions, la Commission autorise, le Crédit Mutuel ARKEA à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à la carte bancaire.
La Présidente
Isabelle FALQUE-PIERROTIN