(Demande d’autorisation n° 1968175)
La Commission nationale de l'informatique et des libertés,
Saisie par la Société FINANCO d’une demande de modification de la délibération n°2015-326 du 17 septembre 2015 autorisant la société FINANCO à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité  ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2015-326 du 17 septembre 2015 autorisant la société FINANCO à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Société FINANCO est un organisme de crédit, filiale du Crédit Mutuel Arkéa, ci-dessous dénommée FINANCO.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) au moment d’une demande de crédit par un client auprès de FINANCO.
Le contrôle des pièces justificatives permet de détecter les documents présumés frauduleux, et dans ce cas, la demande de crédit est refusée par FINANCO.
La Commission observe que cette finalité est déterminée, explicite et légitime.
Ce traitement peut ainsi, du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale ou réglementaire prévoyant une telle exclusion.
Dès lors, il est soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
Plus précisément, l’analyste crédit réalise un premier contrôle visuel des documents justificatifs communiqués par le demandeur au crédit. Ensuite, l’outil d’aide à l’analyse des documents d’identité vérifie automatiquement la conformité de la bande MRZ. Enfin, les informations des justificatifs sont vérifiées par la consultation des fichiers (Sirene, Infogreffe, impots.gouv, googleadresse et api-adresse.data.gouv.fr).
Lorsque les documents d’identité sont détectés non conformes par l’analyste crédit, le « service risques opérationnels » effectue un contrôle de second niveau et procède à une analyse manuelle approfondie. Toute suspicion d’incohérence devra être confirmée par d’autres éléments pour être qualifiée d’incohérence avérée.
Sur les données traitées
Les catégories de données traitées sont relatives :
La Commission considère que ces données sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.
à l’identité des personnes concernées : nom, prénom(s), sexe, adresse, date et lieu de naissance,
aux documents d’identité : numéro de document, date, lieu et autorité de délivrance, date d’expiration (uniquement pour les passeports), bande MRZ  figurant en bas des documents d’identité. La date de délivrance de la pièce d’identité, la date de fin de validité et l’autorité de délivrance sont également enregistrées dans le traitement ;
aux justificatifs de domicile, de revenu et à la situation financière ;
au résultat négatif du contrôle : compte rendu automatique généré par l’outil sur la cohérence du contrôle.
aux données de connexion : identifiants des terminaux et identifiants de connexion.
à l’identité des personnes concernées : nom, prénom, date de naissance et numéro de pièce d’identité ;
à la copie des pièces communiquées et présentant des anomalies avérées ou aux titres d’identité falsifiés ou volés, après analyse confirmant la fraude ou tentative de fraude.
Les données collectées sont conservées pendant une durée de 6 mois par FINANCO en cas de refus d’octroi du crédit au client. Dans le cas contraire, les données collectées pour effectuer les contrôles ne seront utilisées que le temps de la vérification de l’authenticité des documents.
Le résultat du contrôle du document d’identité n’est pas conservé par FINANCO. Le résultat est cependant accessible à deux personnes du back office de FINANCO via l’outil de gestion statistique de la consommation. Ainsi, il n’est pas possible pour un salarié de FINANCO de vérifier si le refus est lié au traitement ou à une autre incohérence.
Enfin, les dossiers des clients sont  supprimés du système  d'information au terme des durées de conservation définies ci-dessus.
La Commission relève qu’il existe une liste des personnes présentant un risque de fraude avérée.
Ces données traitées sont relatives :
à l’identité des personnes concernées : nom, prénom(s), sexe, adresse, date et lieu de naissance,
aux documents d’identité : numéro de document, date, lieu et autorité de délivrance, date d’expiration (uniquement pour les passeports), bande MRZ  figurant en bas des documents d’identité. La date de délivrance de la pièce d’identité, la date de fin de validité et l’autorité de délivrance sont également enregistrées dans le traitement ;
aux justificatifs de domicile, de revenu et à la situation financière ;
au résultat négatif du contrôle : compte rendu automatique généré par l’outil sur la cohérence du contrôle.
aux données de connexion : identifiants des terminaux et identifiants de connexion.
à l’identité des personnes concernées : nom, prénom, date de naissance et numéro de pièce d’identité ;
à la copie des pièces communiquées et présentant des anomalies avérées ou aux titres d’identité falsifiés ou volés, après analyse confirmant la fraude ou tentative de fraude.
Le fichier sera interrogé de manière automatique au moment de l’étude de la demande de crédit. Si une incohérence est détectée, l’analyste crédit fait suivre le dossier à l’appréciation du « service risques opérationnels » pour analyse (qualification d’incohérence avérée ou abandon de l’alerte). Ces données sont conservées pendant une durée de 3 ans.
à l’identité des personnes concernées : nom, prénom(s), sexe, adresse, date et lieu de naissance,
aux documents d’identité : numéro de document, date, lieu et autorité de délivrance, date d’expiration (uniquement pour les passeports), bande MRZ  figurant en bas des documents d’identité. La date de délivrance de la pièce d’identité, la date de fin de validité et l’autorité de délivrance sont également enregistrées dans le traitement ;
aux justificatifs de domicile, de revenu et à la situation financière ;
au résultat négatif du contrôle : compte rendu automatique généré par l’outil sur la cohérence du contrôle.
aux données de connexion : identifiants des terminaux et identifiants de connexion.
à l’identité des personnes concernées : nom, prénom, date de naissance et numéro de pièce d’identité ;
à la copie des pièces communiquées et présentant des anomalies avérées ou aux titres d’identité falsifiés ou volés, après analyse confirmant la fraude ou tentative de fraude.
Sur les destinataires
Seuls les collaborateurs de FINANCO ayant initié le contrôle ont accès à ce traitement.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Les personnes sont informées, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, dans le contrat de crédit ainsi que sur le site internet de FINANCO.
Lorsqu’une fraude est avérée la personne concernée est informée de cette conservation, de ses conséquences potentielles et de ses droits par courrier.
Les droits d’accès et de rectification s’exercent auprès du Service client de FINANCO, 2 quai de la douane – CS 91841-29218 Brest Cedex 2.
Sur les mesures de sécurité
Seuls les assistants commerciaux et les gestionnaires risques opérationnels ont accès au logiciel. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.
Chaque utilisateur dispose d'un identifiant qui lui est propre et d’un mot de passe composé de 8 caractères comprenant au moins 3 des 4 types de caractères (majuscules, minuscules, chiffres et caractères spéciaux). La Commission prend note que ceux-ci sont générés par le logiciel qui les fournit directement aux personnes habilitées et s’engage à détruire automatiquement toute trace des mots de passe, une fois ceux-ci envoyés.
La Commission rappelle que les mots de passe doivent être changés par l’utilisateur à la première connexion.
Une journalisation des opérations de connexion à l’application, de vérification des pièces et leur résultat est réalisée via un outil de gestion statistique de la consommation mis à disposition par le logiciel. Seules deux personnes ont  accès à cette application et peuvent contrôler le nombre de connexions, global et par utilisateur, ainsi que la nature des pièces contrôlées et le résultat valide/non valide du contrôle.  La Commission rappelle que les utilisateurs doivent être informés que leurs actions font l'objet d'une journalisation. Enfin, l’accès à l’application est sécurisé au moyen du protocole SSL.
Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Le traitement mis en œuvre n’est qu’un outil d’aide à l’analyse des documents d’identité présentés par la personne concernée lors de l’entrée en relation avec FINANCO.
La Commission prend acte qu’en cas de détection d’anomalie, une analyse complémentaire sera effectuée par les personnels habilités de FINANCO afin, le cas échéant, de confirmer la tentative de fraude.
Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
Ce traitement permet d’établir une liste des personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.
Autorise, conformément à la présente délibération, la Société FINANCO à mettre en œuvre le traitement susmentionné.
Pour La Présidente
Le Vice-Président Délégué
Marie-France MAZARS