(Demande d’autorisation n° 1915598)
La Commission nationale de l'informatique et des libertés,
Saisie par Le Crédit Lyonnais SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité à titre expérimental un système d’authentification des titulaires de carte de paiement par biométrie ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2014-375 du 25 septembre 2014 autorisant la mise en œuvre à titre expérimental d’un système d’authentification des titulaires de carte de paiement par biométrie ;
Vu la délibération n° 2015-045 du 29 janvier 2015 modifiant la délibération n° 2014-375 du 25 septembre 2014 autorisant Le Crédit Lyonnais SA à mettre en œuvre à titre expérimental un système d’authentification des titulaires de carte de paiement par biométrie ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Lyonnais SA, ci-dessous désigné LCL.
Sur la finalité
LCL a saisi la Commission d’une nouvelle demande d’autorisation visant la mise en œuvre à titre expérimental d’un système d’authentification des titulaires de carte de paiement par biométrie.
Cette demande fait suite à une précédente autorisation délivrée par la Commission le 25 septembre 2014 puis modifiée le 29 janvier 2015, ayant autorisé la mise en œuvre à titre expérimental d’un système d’authentification des titulaires de carte de paiement par biométrie pour une durée de 15 mois.
Dans le cadre de l’expérimentation « Talk To Pay » (ci-après T2P), basée sur un moyen d'authentification par biométrie vocale autorisé par la Commission, le mécanisme consiste à renforcer la sécurité des transactions en ligne grâce à l'authentification biométrique du titulaire de la carte bancaire couplée à un appel sur son téléphone.
Au stade de l’expérimentation, ce service est une alternative au système 3D-Secure. L’utilisateur aura le choix entre les deux formules et pourra changer de solution à sa demande. Les cartes continueront à être émises avec le cryptogramme visuel, même si celui-ci devient inopérant quand le service T2P est activé. T2P peut être utilisé auprès de tous les cyber-commerçants.
La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour assurer le contrôle de l’identité des personnes. Il relève, à ce titre, du 8° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par la CNIL.
LCL, en partenariat avec PW Consultants, Telecom Sud Paris et une chercheuse en biométrie, souhaite mener une expérimentation basée sur la reconnaissance vocale afin de permettre aux clients de s’authentifier lors de leurs paiements à distance.
La population ciblée par l’expérimentation comprend des collaborateurs et des clients volontaires de la banque LCL, et des collaborateurs du pôle paiement du Groupe Crédit Agricole. Pour que l'expérimentation puisse être statistiquement représentative du fonctionnement de l’algorithme de biométrie vocale, 2.000 personnes seront concernées par cette nouvelle demande.
La procédure de souscription et d’enrôlement est la suivante : un appel à candidatures sera mené auprès des testeurs volontaires, qui signeront les avenants au contrat carte. Dès lors, les comptes utilisateurs seront créés.
Les différentes étapes du processus de souscription des participants au service T2P sont les suivantes :
Le participant télécharge le formulaire à partir du lien d’inscription reçu et renseigne ses nom, prénom et adresse électronique. Le formulaire signé est envoyé à la Direction des paiements de LCL.
Un identifiant et un mot de passe individuels sont adressés par courriel avec les informations permettant au participant de contacter l’assistance (notamment pour se désabonner).
Dans un second temps, une carte bancaire dédiée à l’expérimentation est envoyée par courrier ou remise en main propre au participant. Le système 3D-Secure est désactivé pour ces cartes. L’apposition du cryptogramme visuel est maintenue, mais celui-ci est inopérant.
L’utilisateur s’inscrit via une interface personnelle et sécurisée sur un site internet dédié au projet d’expérimentation, en utilisant son identifiant et son mot de passe reçus par courriel. Il renseigne les coordonnées de la carte et son numéro de téléphone portable, puis se voit offrir la possibilité d’installer l’application T2P sur son ordinateur ou son ordiphone.
Le participant est ensuite appelé par le service pour procéder à son enrôlement sur son téléphone personnel. L’enrôlement consiste à répéter les consignes audio plusieurs fois, pour générer son gabarit vocal.
Pour utiliser T2P, l’utilisateur peut soit se connecter à son interface personnelle sécurisée afin de recueillir manuellement le code temporaire à usage unique généré par T2P, soit télécharger un module additionnel au navigateur internet qui servira d’interface au service.
De surcroît, le service T2P propose la conservation des identifiants et mots de passe de l’usager concernant les sites de commerce en ligne.
Lorsque le participant souhaite payer en ligne par carte bancaire en utilisant le système T2P, il existe plusieurs parcours de paiement :
- Cas n° 1 / l’application T2P n’est pas installée :
l’utilisateur qui choisit un paiement par carte bancaire se connecte à son interface personnelle sécurisée T2P ;
ensuite, il demande au système d'initier l’appel d’authentification ;
pour s’authentifier, il répond à cet appel en répétant la phrase qui lui est dictée par téléphone ;
après validation de son authentification, le système T2P génère un code temporaire à usage unique, qui s’apparente au cryptogramme visuel à 3 chiffres ;
l’utilisateur s’identifie sur le site de commerce en ligne avec son identifiant et son mot de passe et remplit les informations relatives au paiement (type de carte, numéro, date d’expiration, et pseudo-cryptogramme à usage unique) avant de le confirmer.
- Cas n° 2 / l’application T2P est déjà installée :
si l’utilisateur choisit le paiement par carte bancaire, alors le formulaire de paiement s’affiche avec la fenêtre d’application T2P ;
dès lors, l’identifiant T2P de l’utilisateur est pré-rempli et celui-ci n’a plus qu’à le confirmer ;
il répond ensuite à l’appel d’authentification, en répétant la phrase qui lui est dictée par téléphone ;
après validation de son authentification, le système T2P génère un pseudo-cryptogramme ;
l’utilisateur s’identifie sur le site de commerce en ligne avec son identifiant et son mot de passe. Si le formulaire de paiement n’est pas automatiquement complété, il remplit les informations relatives au paiement avant de le confirmer.
- Cas n° 3 / l’application T2P est installée et le service de gestion des mots de passe est activé :
l’utilisateur a préalablement enregistré son identifiant et son mot de passe pour le site de commerce en ligne via l’application T2P ;
il clique sur l’icône du greffon (plug-in) T2P dans le navigateur et déclenche une authentification par biométrie vocale ;
il se connecte sur le site du e-commerçant et l’application T2P détecte qu’un identifiant et mot de passe sont connus pour ce site web. La fenêtre T2P s’affiche ;
le formulaire d’authentification d’accès au site de commerce est complété automatiquement avec l’identifiant et le mot de passe de l’utilisateur, qui valide alors la connexion au site ;
il remplit son panier et choisit son mode de paiement (carte bancaire ou chèque) ;
s’il choisit le paiement par carte bancaire, la page du formulaire de paiement s’affiche et le formulaire est rempli automatiquement avec un pseudo-cryptogramme à usage unique, sans nouvelle authentification de l’utilisateur. L’utilisateur peut alors confirmer le paiement.
Le porteur peut utiliser ce service de paiement en France ou à l’Etranger, pour le commerçant de son choix, dès lors que ce dernier l’accepte le règlement par carte bancaire.
Au stade de l’expérimentation, les commerçants ne sont pas associés au service T2P ; aucun développement spécifique les concernant n’est nécessaire.
La Commission relève que cette expérimentation a été autorisée par la délibération du 25 septembre 2014 puis étendue à deux nouveaux cas d’usage par la délibération du 29 janvier 2015. A cet égard, la procédure d’enrôlement est la suivante.
En premier lieu, il sera procédé à un appel à candidature auprès des clients. Les personnes volontaires signeront un avenant aux conditions générales du service de la banque. Une fois le compte client créé, un identifiant et un mot de passe seront adressés au participant qui pourra accéder au site internet pour effectuer son enrôlement en saisissant son identifiant et mot de passe T2P. Il recevra ensuite un appel téléphonique pour générer son modèle vocal en répétant les phrases qui lui seront dictées par téléphone.
En second lieu, une fois enrôlé, le participant pourra choisir d’adhérer ou non à l’ensemble des services utilisant cette méthode d’authentification.
Les deux cas d’usage autorisés par la délibération du 29 janvier 2015 concernaient :
1- une authentification des personnes effectuant une opération sensible (virement) sur le portail de la banque par Internet. Cette méthode d’authentification se substitue à la méthode autorisée par la délibération du 25 septembre 2014 (saisie à nouveau du mot de passe d’accès à la banque par Internet ou saisie d’un mot de passe à usage unique reçu sur un numéro de téléphone préalablement enregistré).
Le mécanisme d’authentification de la banque par Internet prévoit que le participant s’authentifie sur le portail au moyen de ses identifiant et mot de passe. Il saisit une demande de virement, qui déclenche un appel adressé à l’utilisateur qui prononce alors sa phrase d’authentification.
Lorsque son authentification est réussie, sa demande de virement est prise en compte. En cas d’échec, il peut utiliser la méthode d’authentification existante déjà autorisée par la délibération du 25 septembre 2014.
2- une authentification des personnes appelant le serveur vocal interactif (SVI). Le mécanisme d’authentification est le suivant : le participant appelle le numéro du SVI et saisit son identifiant sur son clavier de téléphone. Il est reconnu comme participant et répète la phrase pour s’authentifier.
Si son authentification est réussie, il peut accéder au service. En cas d’échec, il peut recourir à la méthode alternative décrite ci-dessus.
L’expérimentation présentée ci-dessus est venue à échéance le 31 décembre 2015.
LCL a adressé à la Commission un premier bilan de l’expérimentation pour laquelle les premiers tests concernaient des populations réduites composées de collaborateurs volontaires :
- 47 participants pour la première phase portant sur l’authentification des titulaires de carte bancaire par biométrie vocale (pendant 6 mois et demi à compter du 12 décembre 2014),
- et 71 participants pour la seconde phase portant sur l’authentification des personnes effectuant des virements externes sur le portail banque par Internet ainsi que les personnes appelant le SVI (pendant 3 mois à compter du 27 mai 2015).
L’objectif de ces premiers tests était de :
- familiariser l’ensemble des acteurs du projet avec la solution T2P et ses différents usages ;
- détecter les points de progrès des différentes composantes du dispositif sur l’ensemble des usages avant de l’expérimenter à plus grande échelle ;
- concevoir une offre globale couvrant l’ensemble des usages retenus à l’issue de cette expérimentation et définir l’infrastructure permettant de mener une expérimentation à plus grande échelle avec des participants non-initiés.
Les enseignements des tests ont été déterminants, notamment pour améliorer la fluidité de l’expérience client.
L’expérimentation a permis à LCL ainsi qu’à ses partenaires techniques PW Consultants et CA-CP (Crédit Agricole Cards & Payments) de construire un processus d’enrôlement dématérialisé.
Par conséquent, LCL sollicite la Commission pour une nouvelle demande d’expérimentation d'une durée de 18 mois à compter de la présente autorisation, et visant une population de 2.000 clients.
Sur les données traitées
Les données collectées auprès des participants sont les suivantes :
nom, prénom, civilité ;
numéro de téléphone ;
adresse électronique ;
type, numéro, date d’expiration et cryptogramme de la carte de paiement ;
identifiants de connexion ;
identifiants et mots de passe de sites Internet de l’utilisateur ;
information d’horodatage ;
enregistrements audio à partir desquelles est élaboré un gabarit biométrique.
Le cryptogramme de la carte est demandé au moment de l’enrôlement pour vérification, mais n’est pas mémorisé dans le traitement.
Dans le cadre de l’expérimentation envisagée, la Commission considère que la collecte de ces données est proportionnée à la finalité poursuivie.
Les données à caractère personnel sont conservées jusqu’à la fin de l’expérimentation, prévue pour une durée de 18 mois.
Sur les destinataires
Pour expérimenter cette solution, la banque LCL fait appel à un prestataire sous-traitant, la société PW Consultants, spécialisée dans l’ingénierie des moyens de paiement et l’amélioration des processus de gestion de risques. Par ailleurs, Crédit Agricole - Cards and Payments (CA-CP) intervient en qualité d’opérateur des transactions de paiement du Groupe crédit Agricole.
Une dizaine de personnes habilitées de la direction des paiements de LCL auront accès aux données précitées à l’exception des données de connexion, horodatage et biométriques.
Une vingtaine de collaborateurs de l’équipe projet de LCL sont destinataires des données du compte client.
Les fichiers audio de toutes les interactions des participants à l’expérimentation avec le système T2P seront accessibles par 3 personnes du cabinet PW Consultants.
Enfin, une équipe habilitée de 4 à 6 personnes au sein de CA-CP aura accès aux données, à l’exception de l’adresse électronique et des identifiants et mots de passe de l’utilisateur.
La Commission observe que les destinataires sont en nombre limité et que ces personnes n’ont accès qu’aux seules données strictement nécessaire à leur mission professionnelle.
Sur l’information et le droit d’accès
Les personnes sont informées par mention qui figure dans le formulaire d’enrôlement.
La Commission prend acte que les personnes ayant accepté de participer à l’expérimentation ne seront jamais obligées d’utiliser le service d’authentification biométrique T2P.
Ainsi, les participants pourront à tout moment choisir d’utiliser leurs cartes de paiement « classiques » et demander l’effacement de leurs données biométriques en contactant le service support T2P. Dès lors, le service « back office » de la banque LCL procèdera à la suppression de toutes les données les concernant.
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend les précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
Le dispositif biométrique est constitué d’un logiciel spécifique « Talk To Pay » (solution PW Biometrics) et du téléphone ou ordiphone du participant.
Le système informatique est composé de serveurs au sein de l’organisme conservant les données à caractère personnel dont les données biométriques en base centrale.
Les réseaux utilisés sont internes à l’organisme et isolés des autres traitements. Leur protection est assurée par un système anti-intrusion. La transmission des données sur Internet est effectuée de manière sécurisée en utilisant le protocole « HTTPS ».
L'accès aux locaux est restreint par des mesures de sécurité assurant un contrôle par gardiennage et vidéosurveillance ainsi qu'un contrôle des accès par badge.
Concernant le développement de l’application, les personnels sont distincts de ceux assurant la gestion et l’exploitation de l’application, tout comme les environnements de développement et de production. Les interventions de maintenance font l'objet d'une traçabilité.
Des sauvegardes quotidiennes sont réalisées. Les sauvegardes sont stockées dans des centres de production sécurisés par un accès restreint.
Le matériel remisé est nettoyé de toute donnée à caractère personnel selon une procédure bancaire normalisée. Un procès- verbal de destruction du matériel est fourni le cas échéant.
Une journalisation des opérations de création et modification du traitement est réalisée (horodatage, identifiant de l’utilisateur, opération effectuée, données issues du paiement).
La solution ne propose pas de mécanisme contre le re-jeu. Il n’est alors pas possible de détecter si une phrase prononcée durant une authentification est issue de l’enregistrement d’une précédente authentification. La Commission recommande que le Crédit Lyonnais déploie un mécanisme anti-rejeu. Toutefois, l’expérimentation à venir doit permettre de mesurer l’attrait du public concerné et la faisabilité du traitement avant d’initier des développements plus complexes.
Enfin, la Commission observe que tous les gabarits sont conservés dans une base centralisée. Aussi, la Commission recommande que le Crédit Lyonnais ne conserve les gabarits biométriques que sous forme chiffrée et que les clés de chiffrement/déchiffrement soient uniquement détenues par les utilisateurs. Ainsi, lors d’une phase d'authentification, il est recommandé qu'un dispositif envoie une composante secrète détenue exclusivement par l’utilisateur, afin de déchiffrer le gabarit. Cet élément de secret ne pourra être conservé que le temps de procéder à l’authentification de l’utilisateur et éventuellement de chiffrer le gabarit mis à jour dans le cas d’une authentification réussie.
Les mesures de sécurité mises en place sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission demande qu'au terme de l’expérimentation, lui soit adressé un bilan des modalités de fonctionnement et d’utilisation du dispositif. Le bilan devra notamment comporter les éléments suivants :
- une description des conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté (et notamment : taux de participation, temps moyen d’authentification, nombre de transactions abouties/non abouties, moyenne des transactions, éventuels dysfonctionnements, causes des dysfonctionnements, taux de fausses acceptations, taux de faux rejets) ;
- perception utilisateur (phase d’enrôlement sur le téléphone, ergonomie du service, acceptabilité de la biométrie vocale, taux d’utilisation et de non-utilisation) ;
- présentation des enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ;
- suites envisagées par le responsable de traitement sur la base du bilan effectué : axes d’amélioration, abandon du projet, demande de nouvelle expérimentation, demande d’autorisation de mise en œuvre à titre permanent.
La Commission relève que cette expérimentation ne saurait préjuger d’une éventuelle décision de la Commission saisie d’une demande de généralisation du service « Talk To Pay ».
Autorise, conformément à la présente délibération, Le Crédit Lyonnais SA à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN