(Demande d’autorisation n° 1753911)
La Commission nationale de l'informatique et des libertés,
Saisie par la société BOUYGUES TELECOM d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la détection et prévention des fraudes effectuées par carte de paiement lors des achats sur les canaux de  vente dématérialisée ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-358 du 14 novembre 2013 portant adoption d'une recommandation concernant le traitement des données relatives à la carte de paiement en matière de vente de biens ou de fourniture de services à distance.
Vu le dossier et ses compléments ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société BOUYGUES TELECOM.
Sur la finalité
La société BOUYGUES TELECOM a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité la prévention la détection et prévention des fraudes effectuées par carte de paiement lors des achats sur les canaux de vente dématérialisée.
Afin de lutter contre les tentatives de fraude à la carte de paiement, elle souhaite notamment se doter dans le cadre des ventes dématérialisées d’un outil d’évaluation du risque. En effet, la commercialisation de certains produits et services fait régulièrement l’objet de fraudes. Les cas de fraudes et d’usurpation d’identité s’inscrivent souvent dans un processus de paiement dématérialisé ; le risque majeur réside dans l’utilisation par des tiers de numéros de cartes de paiement usurpés pour la recharge de lignes prépayées, les achats en ligne, etc.
La société BOUYGUES TELECOM a recours à un outil d’évaluation des risques présentés par les paiements effectués de manière dématérialisée.
La Commission considère que ce traitement peut avoir pour effet d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant en leur ôtant la possibilité de passer une commande sur le site Internet de la société BOUYGUES TELECOM.
Les fraudes recherchées correspondent à des utilisations illégitimes de cartes ou des données qui y sont attachées lorsque ces utilisations risquent de générer un impayé pour la société BOUYGUES TELECOM. Les utilisations d’une carte par son titulaire légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alerte.
La société BOUYGUES TELECOM souhaite mettre en œuvre un outil d’évaluation des risques pour les canaux de vente où la technologie « 3DS » ne pourra être implémentée (par exemple, dans le cas des serveurs vocaux interactif ou de la télévente).
Si l’outil d’évaluation établit un risque de fraude, la personne sera réorientée vers un canal de vente permettant l’authentification de son titulaire (canal sécurisé disposant de la technologie 3DS).
Aucune liste recensant les personnes à risque n’est mise en œuvre.
La Commission prend acte que, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, les résultats du traitement feront l’objet d’une instruction par le service chargé de la prévention de la fraude au cas par cas, et non automatisée.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données traitées dans le cadre de l’outil de prévention de la fraude sont les suivantes :
-Données d’identification : nom, prénom, numéro de téléphone
-Données d’ordre économique et financière : date et heure de la transaction, montant de la transaction, type, numéro (chiffré), date d’expiration de la carte de paiement ;
-Informations relatives à la commande : produits et services, adresse d’expédition.
Les critères pris en compte pour l’analyse des risques présentés par la commande incluent les données mentionnées ci-dessus et sont basés sur des règles de fréquence et de récurrence déterminées par BOUYGUES TELECOM.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
L’accès au traitement est restreint aux seuls collaborateurs habilités de la cellule de la prévention de la fraude de la société BOUYGUES TELECOM et du prestataire de services auquel elle a recours.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant dans les conditions générales de vente de la société et dans les formulaires de collecte de la société BOUYGUES TELECOM.
Lorsqu’un risque est identifié, le conseiller de vente ou le serveur vocal interactif en informe le client et le redirige vers un autre canal d’achat doté de la technologie 3DS.
Les droits d’accès et de rectification s’exercent auprès du service Informatique et Libertés au 13/15 avenue du Maréchal Juin, 92360 Meudon-la-Forêt cedex.
Sur les mesures de sécurité
L’ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Dès lors qu'un client communique ses coordonnées de carte bancaire, celles-ci sont immédiatement chiffrées par le prestataire de services certifié PCIDSS.
Les mesures de sécurité mises en place n’appellent pas d’observations.
Sur les autres caractéristiques du traitement
Les données traitées dans le cadre de l’outil de détection du risque de fraude sont conservées par le prestataire pendant une durée de 90 jours suivant la date de la transaction afin de mesurer la fiabilité du modèle de score et de pouvoir faire évoluer la pertinence de celui-ci.
Les données liés à la carte de paiement sont conservées auprès du prestataire de services pendant une durée maximale de 15 mois conformément à la recommandation du 14 novembre 2013 relative à la protection des données liées à la carte de paiement en matière de vente de biens ou de fourniture de services à distance. Ces données sont par la suite supprimées ou archivées selon les durées de prescription applicables (2 ans en l’espèce).
La société la société BOUYGUES TELECOM a recours à un prestataire de services situé aux Etats-Unis qui a adhéré aux règles du « Safe Harbor ». Ce dernier assure la conservation des informations relatives à la transaction.
Autorise, conformément à la présente délibération, BOUYGUES TELECOM à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN