Délibération n° 2014-423 du 9 octobre 2014 autorisant la société AUCHAN France à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la prévention et la gestion des impayés par chèque.
Nature: Autre autorisation

(Demande d’autorisation n° 1749280)
La Commission nationale de l'informatique et des libertés,
Saisie par la société AUCHAN France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention et la gestion des impayés par chèque;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2008-097 du 10 avril 2008 de la Commission portant autorisation unique de mise en œuvre de traitements automatisés de données à caractère personnel relatifs à la prévention et à la gestion des impayés par chèque bancaire ;
Vu le dossier et ses compléments ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société AUCHAN France, responsable de traitement, exploite les hypermarchés et supermarchés à enseigne « Auchan » en France et les magasins du groupe sous les enseignes « les Halles d'Auchan » et « Auchan City ».
Sur la finalité
Par sa délibération n°2008-097 du 10 avril 2008 la Commission a adopté une autorisation unique n°AU-14 de mise en œuvre de traitements automatisés de données à caractère personnel relatifs à la prévention et à la gestion des impayés par chèque bancaire, sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la Commission un engagement de conformité à ladite autorisation unique.
Tout projet de traitement automatisé qui ne respecterait pas les conditions prévues par l’autorisation unique doit faire l’objet d’une demande d’autorisation spécifique.
En particulier, tout projet de traitement mutualisé de données entre plusieurs personnes morales doit faire l’objet d’une demande d’autorisation spécifique.
L’analyse des caractéristiques du traitement, objet de la demande d’autorisation, fait apparaître des différences par rapport à l’AU-14. Le projet de traitement doit dès lors être autorisé.
En l’espèce, le traitement a pour finalité la prévention et la gestion des impayés par chèque dans les magasins du groupe AUCHAN ainsi que la lutte contre la fraude par chèque bancaire. Les données du traitement de chèques impayés non régularisés sont mutualisées entre les sociétés appartenant au groupe AUCHAN et exploitant un point de vente de marque Auchan. 
Le traitement comprend :
un dispositif de détection des chèques impayés non régularisés,
un dispositif d’alerte relatif à l’utilisation répétée d’un chéquier sur un laps de temps très court afin de procéder, le cas échéant, à la vérification de l’identité du client et des raisons de cette utilisation répétée du chéquier, à l’exclusion de tout blocage automatique de paiement par chèque dans le système de caisse.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur les données traitées
Les données collectées dans le cadre du traitement de chèques impayés non régularisés sont :
l’identification du porteur (nom, prénom et adresse figurant sur le chèque),
la ligne en caractères magnétiques figurant en bas des chèques (ligne « CMC7 »)
le montant du chèque, la date de l’impayé, la date de rejet, le nom de la banque du débiteur, le magasin d’origine de l’impayé, le motif de rejet et la date de passage en caisse.
la date et l’heure de passage en caisse, le nombre de chèques présentés dans un laps de temps donné, l’identification du magasin, le montant du chèque, le numéro de compte, le code banque et le numéro du chèque.
Les données collectées dans le cadre des dispositifs d’alerte relatifs à l’utilisation répétée d’un chéquier sur un laps de temps très court sont :
l’identification du porteur (nom, prénom et adresse figurant sur le chèque),
la ligne en caractères magnétiques figurant en bas des chèques (ligne « CMC7 »)
le montant du chèque, la date de l’impayé, la date de rejet, le nom de la banque du débiteur, le magasin d’origine de l’impayé, le motif de rejet et la date de passage en caisse.
la date et l’heure de passage en caisse, le nombre de chèques présentés dans un laps de temps donné, l’identification du magasin, le montant du chèque, le numéro de compte, le code banque et le numéro du chèque.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée. 
Les informations relatives aux incidents de paiement non régularisés sont conservées pendant une durée de 3 ans à compter de la survenance de l’impayé.
Les informations relatives aux incidents de paiement sont effacées dans les 48 heures suivant la régularisation du paiement.
Sur les destinataires
Ont accès à ce traitement les personnels des caisses et du service de gestion des chèques impayés des filiales concernées du groupe AUCHAN..La Commission estime que ces destinataires n'appellent pas d'observation particulière. 
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes sont informées dans les conditions précisées dans délibération n°2008-097 du 10 avril 2008  portant autorisation unique. En outre, lors de la réalisation de l’impayé, la personne concernée est informée par courrier qu’à défaut de régularisation de celui-ci, des informations la concernant sont inscrites dans un traitement de gestion des impayés accessible à l’ensemble des enseignes Auchan concernées. Les droits d’accès et de rectification s’exercent auprès de l’ensemble des magasins du groupe ou auprès de la société AUCHAN France, service Trésorerie, 200 rue de la Recherche, 59650 Villeneuve-d’Ascq.La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Au titre des mesures de sécurité, est notamment mise en place une traçabilité des accès. Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
La Commission observe que les personnes concernées peuvent régulariser les incidents de paiement auprès de l’ensemble des magasins du groupe (indépendamment du magasin dans lequel l’impayé est survenu) ou directement auprès de la société AUCHAN France. Le magasin est en mesure de délivrer immédiatement au client un reçu de règlement pouvant servir de justificatif auprès de son établissement financier.La Commission prend acte qu’en cas de vol ou de perte des chèques, les informations relatives aux personnes concernées sont effacées de ce traitement après justification de celles-ci.
Autorise, conformément à la présente délibération, AUCHAN France à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN