Délibération n° 2014-345 du 18 septembre 2014 autorisant la Société Nationale des Chemins de fer Français (SNCF) à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la détection et la prévention des fraudes relatives aux commandes effectuées par internet et par téléphone
Nature: Autre autorisation

(Demande d’autorisation n° 1670541 v1) 
La Commission nationale de l’informatique et des libertés, 
Saisie par la Société Nationale des Chemins de fer Français (SNCF) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection et la prévention des fraudes relatives aux commandes effectuées par internet et par téléphone ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2014-080 du 13 mars 2014 autorisant la SNCF à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la détection et la prévention des fraudes relatives aux commandes effectuées par internet et par téléphone ;
Après avoir entendu M. Eric PERES, commissaire, en son rapport, et M. Jean Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la Société Nationale des Chemins de fer Français (SNCF), qui gère la vente des titres de transport ferroviaire via son réseau de gares et boutiques, mais également via des sites internet et des centres d’appels. 
Sur la finalité
La société SNCF met en place un traitement de données à caractère personnel ayant pour finalité la détection et la prévention des fraudes par carte bancaire lors de commandes de titres de transport ferroviaire sur les sites internet THALYS et OUIGO, ainsi que via les centres d’appels Ligne Directe. Pour ce faire, la société utilise un outil d’évaluation des risques de fraude qui produit des alertes de différents niveaux. Le niveau de risque est évalué selon des critères fixés en fonction de l’importance et de la récurrence des fraudes constatées antérieurement (et notamment le nombre de transactions réalisées sur une période donnée et le montant cumulé des commandes passées avec un même moyen de paiement sur une période donnée). Ces critères sont régulièrement évalués afin d’adapter constamment leur pertinence par rapport aux fraudes les plus systématiques. En fonction du niveau de risque, la SNCF peut décider de bloquer, d’annuler ou de valider les transactions.En outre, la société utilise un mécanisme d’authentification renforcée, à savoir le protocole 3D Secure, pour authentifier le porteur de la carte bancaire utilisée lors d’une transaction. Ce dispositif est utilisé en complément de l’outil d’évaluation des risques, le résultat 3D Secure étant pris en compte dans l’analyse.Par ailleurs, la société enregistre dans une liste d’exclusion les cas de fraudes signalées par la banque à la suite d’une répudiation de paiement par le porteur d’une carte bancaire. Aucune transaction ne peut être effectuée avec les moyens de paiement enregistrés sur cette liste.Bien que les alertes générées en cas de risque de fraude ne conduisent pas à l’inscription sur la liste d’exclusion, la Commission prend acte de ce qu’elles sont conservées par la société et font l’objet d’une analyse manuelle en cas de nouvelle transaction. La Commission estime que la finalité poursuivie est déterminée, explicite et légitime.      Elle considère également qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat, en l’absence de toute disposition législative ou réglementaire. 
Sur les données traitées
L’outil d’évaluation des risques, qui produit des alertes en cas de risques de fraude, est basé sur l’analyse des données suivantes : 
Données relatives à l’identification du client : identifiant, nom, prénom, date de naissance, adresse électronique, adresse postale, numéro de téléphone, nom et prénom du passager si différent du payeur, adresse IP horodatée ; 
Informations d’ordre économique et financier : date, heure, montant et numéro de la transaction, type, numéro (chiffré) et date d’expiration de la carte bancaire ;
Informations relatives à la commande : contenu du « panier », temps avant le départ, type de produit, itinéraire, villes de départ et d’arrivée, pays de départ et d’arrivée, programme de fidélité, type de billet (aller-retour).
La Commission prend acte de ce que la SNCF recourt au protocole 3D Secure mentionné ci-dessus, dont le résultat est également pris en compte pour évaluer le niveau de risques des transactions. 
Par ailleurs, la liste d’exclusion contient les données suivantes : nom, prénom, adresse électronique, numéro et date d’expiration de la carte bancaire utilisée pour la transaction frauduleuse. 
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. 
Sur les destinataires
Seuls les personnels assermentés de la Direction de la Sûreté de la SNCF, et plus particulièrement les agents de la Sûreté Economique et Financière, sont destinataires de ces données, dans la limite de leurs attributions.Ces agents sont chargés de l’exploitation de l’outil d’évaluation des risques et de l’interprétation des alertes. Ils définissent et ajustent régulièrement les critères de risque selon le niveau de pertinence constaté. Ces destinataires n’appellent pas d’observation de la part de la Commission.En outre, la Commission observe qu’une partie du traitement est réalisée par un sous-traitant. Elle prend acte que les données ne sont pas communiquées à d’autres personnes susceptibles de recourir aux services proposés par ce sous-traitant. 
Sur l’information et le droit d’accès 
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de la façon suivante de l’identifié du responsable de traitement, de la finalité du traitement, des destinataires des données et de leurs droits :
pour les transactions effectuées sur les sites internet THALYS et OUIGO : dans les conditions générales de vente ;
pour les transactions effectuées via les centres d’appels Ligne Directe : via le serveur vocal interactif ou par le télévendeur.
En outre, les personnes concernées sont informées de la même manière de la possibilité qu’elles soient inscrites sur la liste d’exclusion en cas de fraude avérée.
Par ailleurs, en cas d’alerte donnant lieu au blocage ou à l’annulation de la transaction, les personnes concernées en sont informées en temps réel ou par courrier électronique. Elles sont alors invitées à utiliser un autre moyen de paiement ou un autre canal de distribution. 
En cas d’inscription sur la liste d’exclusion, les personnes concernées en sont informées par courrier électronique au moment de l’inscription. 
Enfin, la Commission prend acte que les droits d’accès et de rectification s’exercent auprès du service Voyages de la SNCF, 2, place de la Défense – CNIT 1 – BP 440 PARIS LA DEFENSE. 
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Des profils d'habilitation sont prévus afin de gérer les accès aux données autant que de besoin. Les utilisateurs ayant accès au traitement sont authentifiés au moyen d’un mot de passe ayant un niveau de complexité suffisant, et régulièrement renouvelé.Les communications intervenant sur le réseau informatique interne sont filtrées. Seules les adresses IP autorisées peuvent accéder au service du prestataire.Les données sont transmises en HTTPS et donc chiffrées sur les postes des clients avant d’être transmises à la SNCF. Les communications entre la SNCF et le prestataire sont elles aussi chiffrées et signées. Les données transmises au prestataire situé aux États-Unis sont également chiffrées. Pour assurer la continuité d’activité, les données sont sauvegardées quotidiennement. Ces sauvegardes sont chiffrées afin d’en garantir la confidentialité.Une journalisation des connexions est effectuée. Ces journaux sont conservés pendant trente jours. Les interventions de maintenance font également l'objet d'une traçabilité.La Commission relève que les données transmises au prestataire, y compris les numéros de cartes, sont chiffrées avec une clé de 1024 bits. En raison de la sensibilité de ces données, elle recommande à la SNCF d’utiliser une clé de 2048 bits afin de mieux les protéger.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. Dans ces conditions, la Commission autorise la Société Nationale des Chemins de fer Français (SNCF) à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la détection et la prévention des fraudes relatives aux commandes.
Sur les autres caractéristiques du traitement
Les données utilisées par l’outil d’évaluation des risques sont conservées pendant quatre-vingt dix jours en base active aux fins d‘analyse et de génération des alertes. Les alertes ainsi générées sont conservées pendant la même durée. L’ensemble de ces données sont ensuite anonymisées pour être exploitées aux fins d’analyse globale des comportements et d'adaptation des analyses de risques, et ce pendant une durée de deux ans.Par ailleurs, les données figurant sur la liste d’exclusion sont conservées pendant une durée de deux ans, puis elles sont supprimées.La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société la Société Nationale des Chemins de fer Français (SNCF), à mettre en œuvre le traitement susmentionné et abroge la délibération n° 2014-080 du 13 mars 2014.
La Présidente
I. FALQUE-PIERROTIN