La Commission nationale de l'informatique et des libertés ;
Saisie par le Crédit Agricole Centre Loire d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l'identité ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le Crédit Agricole Centre Loire, ci-dessous dénommé CACL.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l'identité.
Il vise, par l'utilisation du logiciel RESOCOM, à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) dans deux hypothèses : au moment de l'entrée en relation du client auprès de la banque, en cas demande de prêt.
La Commission estime que cette finalité est déterminée, explicite et légitime.
Lorsque l'analyse de l'outil conclut à la non-conformité du document, la demande d'ouverture de compte ou la demande de prêt est refusée. Dans la situation inverse, si l'authenticité des documents est confirmée, il est fait droit à la demande du client.
Dans l'hypothèse où la demande concerne l'octroi de crédit et si l'outil détecte une fraude documentaire présumée, la banque peut décider de clôturer le compte du client conformément aux conditions prévues par la convention de compte.
Dès lors, ce traitement peut, du fait de sa portée et de sa finalité, exclure une personne du bénéfice d'un droit ou d'un contrat en l'absence de toute disposition légale prévoyant une telle exclusion.
Le présent traitement est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les catégories de données traitées sont relatives :
- à l'identité des personnes concernées : nom, prénom(s), sexe, adresse, date et lieu de naissance, nationalité (titre de séjour), photographie ;
- aux documents d'identité : numéro de document, date et lieu de délivrance, date d'expiration, validité (titre de séjour), pays d'origine (passeport), bande MRZ de la pièce d'identité.
La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seul les agents du service fraude (le responsable et les chargés de la prévention de la fraude) ont accès aux informations.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l'information et le droit d'accès
Conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l'existence de ce traitement ainsi que des modalités d'exercice de leurs droits d'accès, de rectification et d'opposition par une mention qui figure dans la convention de compte du client et sur le site internet de la banque.
Cette mention rappelle notamment que les droits d'accès et de rectification s'exercent auprès du Service Réclamation, soit par courrier postal à l'adresse suivante : Crédit agricole Centre Loire
8 Allée des Collège 18920 BOURGES CEDEX 9, soit par courrier électronique à l'adresse suivante : agence.enligne@ca-centreloire.fr
La Commission considère que l'information est suffisante au regard de l'article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Les personnes ayant accès au logiciel RESOCOM sont : les conseillers clients, les opérationnels chargés de la prévention de la fraude, les analystes crédits et les collaborateurs en charge du contrôle de la conformité des dossiers d'entrée en relation. Il existe un mécanisme d'authentification des personnes habilitées à accéder à l'application avec des profils d'habilitation et un contrôle d'accès logique qui se fait par mot de passe.
Chaque utilisateur dispose d'un identifiant qui lui est propre et d'un mot de passe composé de 8 caractères comprenant au moins 3 des 4 types de caractères (majuscules, minuscules, chiffres et caractères spéciaux). La Commission prend note que ceux-ci sont générés par RESOCOM qui les fournit directement aux personnes habilitées et s'engage à détruire automatiquement toute trace des mots de passe, une fois ceux-ci envoyés.
La Commission rappelle que les mots de passe doivent être changés par l'utilisateur à la première connexion.
Une journalisation des opérations de connexion à l'application, de vérification des pièces et leur résultat est réalisée via un outil de gestion statistique de la consommation, VERISTAT, mis à disposition par RESOCOM. La Commission rappelle que les utilisateurs doivent être informés que leurs actions font l'objet d'une journalisation. Enfin, l'accès à l'application est sécurisé au moyen du protocole http/HTTPS/FTP.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données collectées ne sont utilisées que le temps de la vérification de l'authenticité des documents. En cas de non-conformité des pièces, les documents sont restitués à la personne à l'origine de la demande. Dans l'hypothèse inverse et si la demande est validée, une copie des documents est conservée, conformément à la législation bancaire.
Il existe un premier contrôle visuel réalisé par le chargé de clientèle qui reçoit la personne souhaitant entrer en relation avec la banque. Le contrôle de la pièce d'identité se fait via la bande MRZ tandis que le contrôle des justificatifs, notamment lors d'une demande d'octroi de crédit, est réalisé par comparaison avec la base de documents.
L'analyse de l'authenticité des pièces se fait en temps réel par l'outil, ce qui permet au chargé de clientèle d'accepter ou de refuser l'ouverture du compte ou la demande de crédit du client immédiatement.
Lorsque les documents d'identité sont détectés non conformes, le service prévention de la fraude effectue un contrôle de second niveau.
Le traitement mis en œuvre n'est qu'un outil d'aide à l'analyse des documents d'identité présentés par la personne concernée lors de l'entrée en relation avec la banque BCP. La Commission prend acte qu'en cas de détection d'anomalie, une analyse complémentaire sera effectuée par les personnels habilités du pôle lutte contre la fraude afin, le cas échéant, de confirmer la tentative de fraude.
Conformément aux dispositions de l'article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n'est donc prise à l'égard des personnes concernées.
Ce traitement ne permet pas d'établir une  liste noire  de personnes ayant présenté des titres d'identité comportant des anomalies ou des titres d'identité falsifiés ou volés.
Des statistiques sur des données anonymisées sont réalisées à partir des résultats de l'outil et permettent de chiffrer le nombre d'alertes par entité, par point de vente, par type de document et par département.
Les autres caractéristiques du traitement n'appellent pas d'observation particulière de la Commission.
Autorise, conformément à la présente délibération, le Crédit Agricole Centre Loire, à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN