Délibération n° 2014-375 du 25 septembre 2014 autorisant Le Crédit Lyonnais SA à mettre en œuvre à titre expérimental un système d’authentification des titulaires de cartes de paiement par biométrie.
Nature: Autre autorisation

(Demande d’autorisation n° 1773744)
La Commission nationale de l'informatique et des libertés,
Saisie par Le Crédit Lyonnais SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre à titre expérimental d’un système d’authentification des titulaires de carte de paiement par biométrie ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Lyonnais SA, ci-dessous désigné LCL.
Sur la finalité
Le Crédit Lyonnais souhaite mener une expérimentation d’un service dénommé « Talk To Pay » (ci-après T2P) basé sur un moyen d'authentification par biométrie vocale.
T2P est un mécanisme qui vise à renforcer la sécurité des transactions en ligne grâce à l'authentification biométrique du titulaire de la carte bancaire couplée à un appel sur son téléphone.
Ce service sera une alternative au système 3D-Secure. L’utilisateur aura le choix entre les deux formules et pourra changer de solution à sa demande. Les cartes continueront à être émises avec le cryptogramme visuel, même si celui-ci devient inopérant quand le service T2P est activé. T2P peut être utilisé auprès de tous les cybercommerçants. 
La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour assurer le contrôle de l’identité des personnes. Il relève, à ce titre, du 8° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par la CNIL.
LCL en partenariat avec PW Consultants, Telecom Sud Paris, et une chercheuse en biométrie, souhaite mener une expérimentation basée sur la reconnaissance vocale afin de permettre aux clients de s’authentifier lors de leurs paiements à distance. 
La population ciblée par l’expérimentation comprend des collaborateurs et des clients volontaires de la banque LCL, et des collaborateurs du pôle paiement du Groupe Crédit Agricole. Pour être statistiquement représentatif pour le fonctionnement de l’algorithme de biométrie vocale, 5000 personnes seront concernées.
La procédure de souscription et d’enrôlement est la suivante : un appel à candidature sera mené auprès des testeurs volontaires qui signeront les avenants au contrat carte. Dès lors, les comptes utilisateurs seront créés. 
Les différentes étapes du processus de souscription des participants au service T2P sont les suivantes :
Le participant télécharge le formulaire à partir du lien d’inscription reçu et renseigne son nom, prénom et adresse électronique. Le formulaire signé est envoyé à la Direction des paiements de LCL.
Un identifiant et un mot de passe individuels sont adressés par courriel avec les informations permettant au participant de contacter l’assistance (notamment pour se désenrôler).
Dans un second temps, une carte bancaire dédiée à l’expérimentation est envoyée par courrier ou remise en main propre au participant. Le système 3D-Secure est désactivé pour ces cartes. L’apposition du cryptogramme visuel est maintenue mais inopérant.
L’utilisateur s’inscrit via une interface personnelle et sécurisée sur un site Internet dédié au projet d’expérimentation en utilisant son identifiant et son mot de passe reçus par courrier électronique. Il renseigne les coordonnées de la carte et son numéro de téléphone portable puis à la possibilité d’installer l’application T2P sur son ordinateur ou son smartphone.
Le participant est ensuite appelé par le service pour procéder à son enrôlement sur son téléphone personnel. L’enrôlement consiste à répéter les consignes audio plusieurs fois pour générer son gabarit vocal.
Pour utiliser T2P, l’utilisateur peut soit de se connecter à son interface personnelle sécurisée afin de recueillir manuellement le code temporaire à usage unique généré par T2P, soit télécharger un module additionnel au navigateur Internet qui servira d’interface automatique au service.
l’utilisateur qui choisit un paiement par carte bancaire se connecte à son interface personnelle sécurisée T2P. 
ensuite, il demande au système de générer l’appel d’authentification. 
pour s’authentifier, il répond à cet appel en répétant la phrase qui lui est dictée par téléphone.
Après validation de son authentification, le système T2P génère un code temporaire à usage unique qui s’apparente au cryptogramme visuel à 3 chiffres. 
L’utilisateur s’identifie sur le site de commerce en ligne avec son identifiant et son mot de passe et remplit les informations relatives au paiement (type de carte, numéro, date d’expiration, et cryptogramme) avant de le confirmer.
si l’utilisateur choisit le paiement par carte bancaire alors, le formulaire de paiement s’affiche avec la fenêtre d’application « Talk to Pay ».
Dès lors, l’identifiant T2P de l’utilisateur est pré-rempli et celui-ci n’a plus qu’à le confirmer. 
Il répond ensuite à l’appel d’authentification en répétant la phrase qui lui est dictée par téléphone.
Après validation de son authentification, le système T2P génère un code temporaire à usage unique qui s’apparente au cryptogramme visuel à 3 chiffres. 
L’utilisateur s’identifie sur le site de commerce en ligne avec son identifiant et son mot de passe. Si le formulaire de paiement n’est pas automatiquement complété, il remplit les informations relatives au paiement avant de le confirmer.
L’utilisateur a préalablement enregistré son identifiant et son mot de passe pour le site de commerce en ligne via l’application P2P.
Il clique sur l’icône du plugin T2P dans le navigateur et déclenche une authentification par biométrie vocale.
Il se connecte sur le site du e-commerçant et l’application T2P détecte qu’un identifiant et mot de passe sont connus pour ce site web. La fenêtre Talk to Pay s’affiche.
Le formulaire d’authentification d’accès au site de commerce est complété automatiquement avec l’identifiant et le mot de passe de l’utilisateur qui valide alors la connexion au site.
Il remplit son panier et choisit son mode de paiement (carte bancaire ou chèque).
S’il choisit le paiement par carte bancaire, la page du formulaire de paiement s’affiche et le formulaire est rempli automatiquement avec le code temporaire à usage unique sans nouvelle authentification de l’utilisateur. L’utilisateur peut alors confirmer le paiement.
De surcroît, le service T2P propose la conservation des identifiants et mots de passe de l’usager concernant les sites de commerce en ligne.
Lorsque le participant souhaite payer en ligne par carte bancaire en utilisant le système « Talk To Pay », il existe plusieurs parcours de paiement : 
- cas n°1 / l’application T2P n’est pas installée :
Le participant télécharge le formulaire à partir du lien d’inscription reçu et renseigne son nom, prénom et adresse électronique. Le formulaire signé est envoyé à la Direction des paiements de LCL.
Un identifiant et un mot de passe individuels sont adressés par courriel avec les informations permettant au participant de contacter l’assistance (notamment pour se désenrôler).
Dans un second temps, une carte bancaire dédiée à l’expérimentation est envoyée par courrier ou remise en main propre au participant. Le système 3D-Secure est désactivé pour ces cartes. L’apposition du cryptogramme visuel est maintenue mais inopérant.
L’utilisateur s’inscrit via une interface personnelle et sécurisée sur un site Internet dédié au projet d’expérimentation en utilisant son identifiant et son mot de passe reçus par courrier électronique. Il renseigne les coordonnées de la carte et son numéro de téléphone portable puis à la possibilité d’installer l’application T2P sur son ordinateur ou son smartphone.
Le participant est ensuite appelé par le service pour procéder à son enrôlement sur son téléphone personnel. L’enrôlement consiste à répéter les consignes audio plusieurs fois pour générer son gabarit vocal.
Pour utiliser T2P, l’utilisateur peut soit de se connecter à son interface personnelle sécurisée afin de recueillir manuellement le code temporaire à usage unique généré par T2P, soit télécharger un module additionnel au navigateur Internet qui servira d’interface automatique au service.
l’utilisateur qui choisit un paiement par carte bancaire se connecte à son interface personnelle sécurisée T2P. 
ensuite, il demande au système de générer l’appel d’authentification. 
pour s’authentifier, il répond à cet appel en répétant la phrase qui lui est dictée par téléphone.
Après validation de son authentification, le système T2P génère un code temporaire à usage unique qui s’apparente au cryptogramme visuel à 3 chiffres. 
L’utilisateur s’identifie sur le site de commerce en ligne avec son identifiant et son mot de passe et remplit les informations relatives au paiement (type de carte, numéro, date d’expiration, et cryptogramme) avant de le confirmer.
si l’utilisateur choisit le paiement par carte bancaire alors, le formulaire de paiement s’affiche avec la fenêtre d’application « Talk to Pay ».
Dès lors, l’identifiant T2P de l’utilisateur est pré-rempli et celui-ci n’a plus qu’à le confirmer. 
Il répond ensuite à l’appel d’authentification en répétant la phrase qui lui est dictée par téléphone.
Après validation de son authentification, le système T2P génère un code temporaire à usage unique qui s’apparente au cryptogramme visuel à 3 chiffres. 
L’utilisateur s’identifie sur le site de commerce en ligne avec son identifiant et son mot de passe. Si le formulaire de paiement n’est pas automatiquement complété, il remplit les informations relatives au paiement avant de le confirmer.
L’utilisateur a préalablement enregistré son identifiant et son mot de passe pour le site de commerce en ligne via l’application P2P.
Il clique sur l’icône du plugin T2P dans le navigateur et déclenche une authentification par biométrie vocale.
Il se connecte sur le site du e-commerçant et l’application T2P détecte qu’un identifiant et mot de passe sont connus pour ce site web. La fenêtre Talk to Pay s’affiche.
Le formulaire d’authentification d’accès au site de commerce est complété automatiquement avec l’identifiant et le mot de passe de l’utilisateur qui valide alors la connexion au site.
Il remplit son panier et choisit son mode de paiement (carte bancaire ou chèque).
S’il choisit le paiement par carte bancaire, la page du formulaire de paiement s’affiche et le formulaire est rempli automatiquement avec le code temporaire à usage unique sans nouvelle authentification de l’utilisateur. L’utilisateur peut alors confirmer le paiement.
- cas n°2 / l’application T2P est déjà installée :
Le participant télécharge le formulaire à partir du lien d’inscription reçu et renseigne son nom, prénom et adresse électronique. Le formulaire signé est envoyé à la Direction des paiements de LCL.
Un identifiant et un mot de passe individuels sont adressés par courriel avec les informations permettant au participant de contacter l’assistance (notamment pour se désenrôler).
Dans un second temps, une carte bancaire dédiée à l’expérimentation est envoyée par courrier ou remise en main propre au participant. Le système 3D-Secure est désactivé pour ces cartes. L’apposition du cryptogramme visuel est maintenue mais inopérant.
L’utilisateur s’inscrit via une interface personnelle et sécurisée sur un site Internet dédié au projet d’expérimentation en utilisant son identifiant et son mot de passe reçus par courrier électronique. Il renseigne les coordonnées de la carte et son numéro de téléphone portable puis à la possibilité d’installer l’application T2P sur son ordinateur ou son smartphone.
Le participant est ensuite appelé par le service pour procéder à son enrôlement sur son téléphone personnel. L’enrôlement consiste à répéter les consignes audio plusieurs fois pour générer son gabarit vocal.
Pour utiliser T2P, l’utilisateur peut soit de se connecter à son interface personnelle sécurisée afin de recueillir manuellement le code temporaire à usage unique généré par T2P, soit télécharger un module additionnel au navigateur Internet qui servira d’interface automatique au service.
l’utilisateur qui choisit un paiement par carte bancaire se connecte à son interface personnelle sécurisée T2P. 
ensuite, il demande au système de générer l’appel d’authentification. 
pour s’authentifier, il répond à cet appel en répétant la phrase qui lui est dictée par téléphone.
Après validation de son authentification, le système T2P génère un code temporaire à usage unique qui s’apparente au cryptogramme visuel à 3 chiffres. 
L’utilisateur s’identifie sur le site de commerce en ligne avec son identifiant et son mot de passe et remplit les informations relatives au paiement (type de carte, numéro, date d’expiration, et cryptogramme) avant de le confirmer.
si l’utilisateur choisit le paiement par carte bancaire alors, le formulaire de paiement s’affiche avec la fenêtre d’application « Talk to Pay ».
Dès lors, l’identifiant T2P de l’utilisateur est pré-rempli et celui-ci n’a plus qu’à le confirmer. 
Il répond ensuite à l’appel d’authentification en répétant la phrase qui lui est dictée par téléphone.
Après validation de son authentification, le système T2P génère un code temporaire à usage unique qui s’apparente au cryptogramme visuel à 3 chiffres. 
L’utilisateur s’identifie sur le site de commerce en ligne avec son identifiant et son mot de passe. Si le formulaire de paiement n’est pas automatiquement complété, il remplit les informations relatives au paiement avant de le confirmer.
L’utilisateur a préalablement enregistré son identifiant et son mot de passe pour le site de commerce en ligne via l’application P2P.
Il clique sur l’icône du plugin T2P dans le navigateur et déclenche une authentification par biométrie vocale.
Il se connecte sur le site du e-commerçant et l’application T2P détecte qu’un identifiant et mot de passe sont connus pour ce site web. La fenêtre Talk to Pay s’affiche.
Le formulaire d’authentification d’accès au site de commerce est complété automatiquement avec l’identifiant et le mot de passe de l’utilisateur qui valide alors la connexion au site.
Il remplit son panier et choisit son mode de paiement (carte bancaire ou chèque).
S’il choisit le paiement par carte bancaire, la page du formulaire de paiement s’affiche et le formulaire est rempli automatiquement avec le code temporaire à usage unique sans nouvelle authentification de l’utilisateur. L’utilisateur peut alors confirmer le paiement.
- cas n°3 / l’application T2P est installée et le service de gestion des mots de passe est activé :
Le participant télécharge le formulaire à partir du lien d’inscription reçu et renseigne son nom, prénom et adresse électronique. Le formulaire signé est envoyé à la Direction des paiements de LCL.
Un identifiant et un mot de passe individuels sont adressés par courriel avec les informations permettant au participant de contacter l’assistance (notamment pour se désenrôler).
Dans un second temps, une carte bancaire dédiée à l’expérimentation est envoyée par courrier ou remise en main propre au participant. Le système 3D-Secure est désactivé pour ces cartes. L’apposition du cryptogramme visuel est maintenue mais inopérant.
L’utilisateur s’inscrit via une interface personnelle et sécurisée sur un site Internet dédié au projet d’expérimentation en utilisant son identifiant et son mot de passe reçus par courrier électronique. Il renseigne les coordonnées de la carte et son numéro de téléphone portable puis à la possibilité d’installer l’application T2P sur son ordinateur ou son smartphone.
Le participant est ensuite appelé par le service pour procéder à son enrôlement sur son téléphone personnel. L’enrôlement consiste à répéter les consignes audio plusieurs fois pour générer son gabarit vocal.
Pour utiliser T2P, l’utilisateur peut soit de se connecter à son interface personnelle sécurisée afin de recueillir manuellement le code temporaire à usage unique généré par T2P, soit télécharger un module additionnel au navigateur Internet qui servira d’interface automatique au service.
l’utilisateur qui choisit un paiement par carte bancaire se connecte à son interface personnelle sécurisée T2P. 
ensuite, il demande au système de générer l’appel d’authentification. 
pour s’authentifier, il répond à cet appel en répétant la phrase qui lui est dictée par téléphone.
Après validation de son authentification, le système T2P génère un code temporaire à usage unique qui s’apparente au cryptogramme visuel à 3 chiffres. 
L’utilisateur s’identifie sur le site de commerce en ligne avec son identifiant et son mot de passe et remplit les informations relatives au paiement (type de carte, numéro, date d’expiration, et cryptogramme) avant de le confirmer.
si l’utilisateur choisit le paiement par carte bancaire alors, le formulaire de paiement s’affiche avec la fenêtre d’application « Talk to Pay ».
Dès lors, l’identifiant T2P de l’utilisateur est pré-rempli et celui-ci n’a plus qu’à le confirmer. 
Il répond ensuite à l’appel d’authentification en répétant la phrase qui lui est dictée par téléphone.
Après validation de son authentification, le système T2P génère un code temporaire à usage unique qui s’apparente au cryptogramme visuel à 3 chiffres. 
L’utilisateur s’identifie sur le site de commerce en ligne avec son identifiant et son mot de passe. Si le formulaire de paiement n’est pas automatiquement complété, il remplit les informations relatives au paiement avant de le confirmer.
L’utilisateur a préalablement enregistré son identifiant et son mot de passe pour le site de commerce en ligne via l’application P2P.
Il clique sur l’icône du plugin T2P dans le navigateur et déclenche une authentification par biométrie vocale.
Il se connecte sur le site du e-commerçant et l’application T2P détecte qu’un identifiant et mot de passe sont connus pour ce site web. La fenêtre Talk to Pay s’affiche.
Le formulaire d’authentification d’accès au site de commerce est complété automatiquement avec l’identifiant et le mot de passe de l’utilisateur qui valide alors la connexion au site.
Il remplit son panier et choisit son mode de paiement (carte bancaire ou chèque).
S’il choisit le paiement par carte bancaire, la page du formulaire de paiement s’affiche et le formulaire est rempli automatiquement avec le code temporaire à usage unique sans nouvelle authentification de l’utilisateur. L’utilisateur peut alors confirmer le paiement.
Le porteur peut utiliser ce service de paiement en France ou à l’étranger pour le commerçant de son choix dès lors que ce dernier l’accepte le règlement par carte bancaire.
Au stade de l’expérimentation, les commerçants ne sont pas associés au service T2P, aucun développement spécifique n’est nécessaire. 
Sur les données traitées
Les données collectées auprès des participants sont les suivantes :
Nom, prénom, civilité,
Numéro de téléphone,
Adresse électronique,
Type, numéro, date d’expiration et cryptogramme de la carte de paiement (le cryptogramme de la carte est demandé au moment de l’enrôlement pour vérification, mais il n’est pas mémorisé dans le traitement),
Identifiants de connexion,
Identifiants et mots de passe de sites internet de l’utilisateur,
Information d’horodatage,
Données biométriques : modèle biométrique et enregistrements audio.
Dans le cadre de l’expérimentation envisagée, la Commission considère que la collecte de ces données est proportionnée à la finalité poursuivie.
Les données à caractère personnel sont conservées jusqu’à la fin de l’expérimentation prévue pour une durée de 15 mois à compter de l’adoption de la présente délibération.
Sur les destinataires
Pour expérimenter cette solution, la banque LCL fait appel à un prestataire, la société PW Consultants spécialisée dans l’ingénierie des moyens de paiement et l’amélioration des processus de gestion de risques. Par ailleurs, Crédit Agricole - Cards and Payments (CA-CP) intervient en qualité de processeur des transactions de paiement du Groupe crédit Agricole.Une dizaine de personnes habilitées de la direction des paiements de LCL auront accès aux données précitées à l’exception des données de connexion, horodatage et biométriques.Les fichiers audio des participants à l’expérimentation seront accessibles par 3 personnes du cabinet PW Consultants. Enfin, une équipe habilitée de 4 à 6 personnes au sein de CA-CP aura accès aux données à l’exception de l’adresse électronique et des identifiants et mots de passe de l’utilisateur.La Commission observe que les destinataires sont en nombre limité et que ces personnes n’ont accès qu’aux seules données strictement nécessaires à leur mission professionnelle. 
Sur l’information et le droit d’accès 
Les personnes sont informées par mention qui figure dans le formulaire d’enrôlement.La Commission prend acte que les personnes ayant accepté de participer à l’expérimentation ne seront jamais obligées d’utiliser le service d’authentification biométrique T2P. Ainsi, les participants pourront à tout moment choisir d’utiliser leurs cartes de paiement « classiques » et demander l’effacement de leurs données biométriques en contactant le service support « Talk To Pay ». Dès lors, le service back office de la banque LCL procèdera à la suppression de toutes les données les concernant.
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes les précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès. Le dispositif biométrique est constitué d’un logiciel spécifique « Talk To Pay » (solution PW Biometrics) et du téléphone ou smartphone du participant. Le système informatique est composé de serveurs au sein de l’organisme conservant les données à caractère personnel dont les données biométriques en base centrale. Les réseaux utilisés sont internes à l’organisme et isolés des autres traitements. Leur protection est assurée par un système anti-intrusion. La transmission des données sur Internet est effectuée de manière sécurisée en utilisant le protocole  « https ». L'accès aux locaux est restreint par des mesures de sécurité assurant un contrôle par gardiennage et vidéosurveillance et un contrôle des accès par badge.Concernant le développement de l’application, les personnels sont distincts de ceux assurant la gestion et l’exploitation de l’application tout comme les environnements de développement et production. La mise au point est effectuée sur des données anonymisées. Les interventions de maintenance font l'objet d'une traçabilité. Des sauvegardes quotidiennes sont réalisées. Les sauvegardes sont stockées dans des centres de production sécurisés par un accès restreint.Le matériel remisé est nettoyé de toute donnée à caractère personnel selon une procédure bancaire normalisée. Un procès verbal de destruction du matériel est fourni le cas échéant.Une journalisation des opérations de création et modification du traitement est réalisée (horodatage, identifiant de l’utilisateur, opération effectuée, données issues du paiement).La solution ne propose pas de dispositif d’anti-rejeu. Il n’est alors pas possible de détecter si une phrase prononcée durant une authentification est issue de l’enregistrement d’une précédente authentification. Toutefois, l’expérimentation à venir doit permettre de mesurer l’attrait du public concerné et la faisabilité du traitement avant d’initier des développements plus complexes. Les mesures de sécurité mises en place sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur les autres caractéristiques du traitement
La Commission demande qu'au terme de l’expérimentation, lui soit adressé un bilan des modalités de fonctionnement et d’utilisation du dispositif. Le bilan devra notamment comporter les éléments suivants :
une description des conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté (taux de participation, temps moyen d’authentification, nombre de transactions aboutis/non-aboutis, moyenne des transactions, éventuels dysfonctionnements, causes des dysfonctionnements, taux de fausses acceptations, taux de faux rejets) ;
perception utilisateur (phase de l’enrôlement sur le téléphone, ergonomie du service, acceptabilité de la biométrie vocale, taux d’utilisation et de non utilisation) ;
une présentation des enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ; 
suites envisagées par le responsable de traitement sur la base du bilan effectué : axe d’amélioration, abandon du projet, demande de nouvelle expérimentation, demande d’autorisation de mise en œuvre à titre permanent ; 
La Commission relève que cette expérimentation ne saurait préjuger d’une éventuelle décision de la Commission saisie d’une demande de généralisation du service « Talk To Pay ».
Autorise, conformément à la présente délibération, le Crédit Lyonnais SA à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN