La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi du 6 août 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la demande d’autorisation déposée par la Banque SOCREDO relative à un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à la carte bancaire ;
Sur le rapport de Monsieur Jean Paul AMOUDRY, commissaire, et les observations de  Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
La Banque SOCREDO a saisi la Commission nationale de l’informatique et des libertés d’un projet de traitement de données à caractère personnel dont la finalité est de détecter des suspicions de fraude à la carte bancaire.
Sur la procédure suivie auprès de la Commission
La Commission observe que le traitement a pour objet d’identifier des opérations réalisées par carte bancaire, qui sont susceptibles d’être constitutives d’une fraude et nécessitent de ce fait une confirmation du porteur, et les commerçants auxquels correspondent des tentatives de fraude et qui à ce titre sont soupçonnés de ne pas respecter leurs obligations issues du contrat d’adhésion au système de paiement de proximité ou de vente à distance par cartes bancaires.
Dès lors, ce traitement peut avoir pour effet d’empêcher, même temporairement, le porteur de faire usage de son moyen de paiement ou peut inciter la banque à rompre, pour des raisons de prudence, toute relation contractuelle avec un commerçant.
Il en résulte que le traitement mis en œuvre peut avoir pour effet d’exclure temporairement des personnes du bénéfice d’une prestation : l’utilisation d’une carte bancaire, en l’absence de toute disposition législative ou réglementaire le prévoyant. Dès lors, il relève du 4° de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la CNIL.
Sur les finalités et les fonctions du traitement
Le traitement qui émet des alertes en temps réel sur la base des demandes d’autorisation et des transactions vise à :
analyser et à surveiller, au vu des demandes d’autorisation transmises par l’ensemble des commerçants, les modalités d’utilisation des terminaux de paiement électroniques (TPE) des commerçants acquéreurs qui sont ses clients afin d’identifier des points de compromission ;
détecter le plus rapidement possible les suspicions de fraude liées à l’utilisation d’une carte de paiement, afin d’en limiter les conséquences dommageables en permettant l’adoption de mesures adaptées dans les meilleurs délais.
La Commission observe que les fraudes recherchées correspondent
à des utilisations illégitimes d’une carte de paiement ou des données qui y sont attachées, lorsque ces utilisations risquent d’avoir des conséquences préjudiciables pour le porteur de la carte ou son établissement bancaire. Les utilisations d’une carte par son porteur légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alertes.
à des utilisations illégitimes d’un terminal de paiement par un commerçant acquéreur.
Les critères permettant de générer des alertes sont les suivants :
le pays de réalisation de la transaction,
le montant de la transaction,
la date de la transaction,
la conclusion de l’opération (autorisation),
le nombre d’opérations réalisées chez un même commerçant dans un intervalle de 24 heures,
l’absence du porteur des fichiers clients de la Banque SOCREDO ou chez un commerçant,
le mode de réalisation de la transaction (notamment en cas de vente à distance par internet ou d’utilisation du système 3D Secure).
Ces alertes peuvent concerner des porteurs ou des commerçants acquéreurs.
A chaque alerte, un niveau de risque global est calculé sur la base de ces critères et des éventuelles alertes émises précédemment pour la même carte durant les dernières 24 heures ouvrées.
La Commission observe que ce traitement de détection des alertes ne permet pas d’établir une liste noire des porteurs ou des commerçants présentant un risque mais seulement d’analyser les alertes émises sur une période de 24 heures glissant ; de même ce traitement ne permet pas d’établir une liste des terminaux de paiements auxquels correspondent un taux significatif d’utilisations frauduleuses ou de tentatives d’utilisation frauduleuse.
Les alertes ainsi obtenues sont traitées selon les modalités suivantes :
s’agissant des alertes relatives au porteur : la banque SOCREDO tente de rentrer en contact téléphonique avec le porteur pour vérifier si ce dernier est à l’origine de la transaction à l’origine de l’alerte.
s’agissant des alertes relatives au commerçant acquéreur : la banque sollicite le commerçant afin d’obtenir le justificatif de la transaction. Dans les cas où le commerçant ne peut pas fournir ce document, les chargés de clientèle sont alertés afin de prendre contact avec le commerçant.
La CNIL relève que le personnel de la Direction des opérations n’est pas habilité à procéder, de sa propre initiative, au blocage du moyen de paiement ou même de la transaction. En cas d’indice de risque de fraude jugé élevé ou en présence de plusieurs alertes, il peut décider d’appliquer à la carte bancaire une restriction temporaire de fonctionnement pendant le temps nécessaire à la prise de contact avec le porteur.
La Commission souligne que ce traitement ne peut pas donner lieu au blocage de la transaction ou à la mise en opposition de la carte bancaire sans avoir au préalable obtenu le consentement du porteur.
La Commission insiste cependant  sur la nécessité de paramétrer le traitement automatisé en fonction d’un niveau de risque jugé acceptable par le responsable de traitement afin de ne pas multiplier le nombre de fausses alertes susceptibles de provoquer une gêne injustifiée pour les porteurs légitimes de cartes.
Enfin, ce traitement permet d’établir une typologie des utilisations frauduleuses élaborée sur la base d’un traitement statistique de l’historique des autorisations. Cette typologie est utilisée pour analyser les demandes d’autorisations transmises à la banque et évaluer le niveau de fraude.
Les caractéristiques du traitement ainsi définies sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les données traitées et la durée de conservation :
Les catégories de données collectées afin de vérifier la pertinence de l’alerte et de prendre contact avec le porteur sont relatives :
à l’identification du porteur : identité et numéro de téléphone
à sa situation économique et financière : numéro et date de validité de la carte, identifiant du compte bancaire auquel est attachée la carte, type de paiement, réponse et date d’autorisation, pays de réalisation de la transaction, devise et montant de la transaction, et son mode de lecture, abonnement au dispositif de banque à domicile de SOCREDO
à l’identification du commerçant : numéro.
Les alertes sont conservées pendant une durée maximum de 30 jours glissants.
La Commission considère que les données collectées sont adéquates, pertinentes et non excessives au regard de la finalité du traitement.
Sur les destinataires du traitement
Seuls ont accès au traitement de gestion des alertes les agents habilités de la Direction des opérations.
Les chargés de clientèle peuvent également avoir connaissance des alertes pour les seules transactions intéressant leurs clients.
Les personnels habilités de la Direction des systèmes d’information peuvent également avoir accès à ce traitement pour l’exercice de leurs missions.
Sur les modalités d’information et d’exercice des droits des personnes
Les personnes concernées sont informées de la mise en œuvre et des conséquences de ce traitement lors de la signature du contrat porteur et du contrat commerçant.
Les personnes concernées peuvent exercer leur droit d’accès conformément aux dispositions de l’article 39 de la loi n°78-17 du 6 janvier 1978 modifiée.
Autorise, dans les conditions prévues par la présente délibération, la banque SOCREDO à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à la carte bancaire.
Le Président