Délibération n° 2014-373 du 25 septembre 2014 autorisant LOUIS VUITTON MALLETIER à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalités l’évaluation des risques et la prévention de la fraude au paiement et à la livraison lors des achats sur son site internet.
Nature: Autre autorisation

(Demande d’autorisation n° 1772406)
La Commission nationale de l'informatique et des libertés,
Saisie par LOUIS VUITTON MALLETIER d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités l’évaluation des risques et la prévention de la fraude au paiement et à la livraison lors des achats sur son site internet;
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° ;
Vu le décret n°2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la décision DF-2011-251 autorisant la société LOUIS VUITTON MALLETIER à transférer des données à caractère personnel vers les Etats-Unis aux fins de fourniture de services de paiements sécurisés pour les achats effectués sur le site internet de Louis Vuitton Malletier ; 
Vu le dossier et ses compléments ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société LOUIS VUITTON MALLETIER fabrique et distribue des produits de luxe et notamment des articles de maroquinerie, bagagerie, joaillerie et prêt à porter.
Sur la finalité
La société LOUIS VUITTON MALLETIER a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité la prévention de la fraude à la carte de paiement ou au compte Paypal lors d’un achat à distance. Afin de lutter contre les tentatives de fraude aux moyens de paiement, elle a recours à un outil d’évaluation des risques présentés par les paiements effectués sur son site Internet. La Commission considère que ce traitement peut avoir pour effet d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant en leur ôtant la possibilité de passer une commande sur le site internet de la société LOUIS VUITTON MALLETIER. Les fraudes recherchées correspondent à des utilisations illégitimes de cartes ou des données qui y sont attachées et de comptes Paypal lorsque ces utilisations risquent de générer un impayé pour la société LOUIS VUITTON MALLETIER. Les utilisations d’une carte par son titulaire légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alerte.L’ensemble des commandes passées sur le site internet LOUIS VUITTON MALLETIER.com font l’objet d’une analyse par l’outil de détection de fraude proposé par la société Cybersource Corp. En cas de transaction identifiée comme présentant un risque de fraude, le service chargé de la prévention de la fraude procède à une analyse manuelle et approfondie de la commande afin de confirmer ou non le caractère frauduleux de la transaction. Un contact peut être pris avec le client afin de lui demander de confirmer certaines informations, avec le cas échéant communication de pièces justificatives. Si les vérifications complémentaires permettent d’écarter tout risque de fraude, la commande se poursuit normalement. Dans le cas contraire, elle est annulée.Aucune liste recensant les personnes à risque n’est mise en œuvre. La Commission prend acte que, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, les résultats du traitement feront l’objet d’une instruction par le service chargé de la prévention de la fraude au cas par cas, et non automatisée. La Commission considère que cette finalité est déterminée, explicite et légitime. 
Sur les données traitées
Les données traitées dans le cadre de l’outil de prévention de la fraude sont les suivantes : 
nom, prénom, adresse de facturation et de livraison ;
courriel ;
numéro de compte client ;
numéro de téléphone ;
informations relatives à la commande : date, montant, produits, devise ;
données relatives à la carte bancaire : type de carte bancaire, numéro de carte tronqué (4 derniers chiffres), date de validité, nombre de tentatives infructueuse ;
numéro de compte Paypal ;
adresse IP ;
« host name » de l’ordinateur, information d’horodatage
Identifiant machine (« device fingerprinting »).
La Commission relève que, parmi ces données, certaines seront collectées directement sur le terminal de l’acheteur  (« device fingerprinting »). L’empreinte numérique du terminal correspond à un code généré à partir des données techniques du terminal  et du navigateur. Ainsi, lors de commandes successives, cette donnée permettra de déterminer si elles ont été effectuées à partir du même poste informatique. La collecte de cette donnée a pour seule finalité de permettre à LOUIS VUITTON MALLETIER de protéger le compte de ses clients contre les risques d’usurpation d’identité et de piratage dans le cadre de la finalité objet de la présente délibération. 
Les critères pris en compte pour l’analyse des risques présentés par la commande prennent en compte les données mentionnées ci-dessus et sont basés sur des règles de fréquence et de récurrence déterminées par LOUIS VUITTON MALLETIER. 
Une copie de la pièce d’identité et un justificatif de domicile de la personne ayant passé commande peuvent également être collectés dans des conditions permettant de garantir la transmission et la conservation de ces documents de manière  sécurisée.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
L’accès au traitement est restreint aux seuls collaborateurs habilités de la cellule de la prévention de la fraude de la société LOUIS VUITTON MALLETIER. Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant dans les conditions générales de vente devant être accepté par le client avant de valider sa commande.
S’agissant de l’empreinte numérique du terminal (« device fingerprinting »), la Commission rappelle que la collecte de cette donnée n’est possible qu’à condition de respecter les dispositions de l’article 32-II de la loi du 6 janvier 1978 modifié selon lesquelles « tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : 
de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
des moyens dont il dispose pour s'y opposer. »
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. Ce consentement est distinct de l’acceptation des conditions générales de vente.
A ce titre, une bannière de cookies figurant sur le site internet informera les clients de la mise en place de cookies et de la prise d’empreinte numérique. Le client est informé de la finalité de cette collecte et des moyens de s’y opposer. La société LOUIS VUITTON MALLETIER met en œuvre un mécanisme permettant d’une part aux clients de donner leur accord et d’autre part de pouvoir désactiver la prise d’empreinte numérique dans la page de son site Internet concernant les cookies dans les conditions prévues par la délibération n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978.
En cas d’opposition à la mise en œuvre du « device finger printing », des vérifications complémentaires pourront être effectuées et la société  LOUIS VUITTON MALLETIER pourra demander au client de recourir à un moyen de paiement alternatif tel que le virement bancaire.
Les droits d’accès et de rectification s’exercent auprès du service clients de la société des magasins Louis Vuitton France
au 2 RUE DU PONT NEUF, 75001, PARIS.
Sur les mesures de sécurité
L’ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.Dès lors qu'un client communique ses coordonnées de carte bancaire, celles-ci sont immédiatement chiffrées par le prestataire de services Cybersource.Les mesures de sécurité mises en place n’appellent pas d’observations.
Sur les transferts de données hors Union européenne
La société LOUIS VUITTON MALLETIER a recours à un prestataire de services situé aux Etats-Unis, la société Cybersource Corporation. Ce dernier assure l’hébergement de la solution permettant le traitement, la conservation des informations relatives à la transaction, le contrôle des transactions sur la base des informations fournies et l’évaluation d’un niveau de risque permettant à la LOUIS VUITTON MALLETIER de valider ou non la commande.Les données relatives au traitement de prévention de la fraude  transférées aux Etats-Unis dans le cadre des prestations offertes par Cybersource Corporation sont encadrées par la conclusion d’un contrat de transfert de données basé sur le modèle de clauses contractuelles de « responsable de traitement à sous-traitant » de la Commission européenne. Une autorisation en ce sens a été accordée par la Commission dans sa décision DF 2011-251.
Sur les autres caractéristiques du traitement
Les données traitées dans le cadre de l’outil de détection du risque de fraude sont conservées par Cybersource pendant une durée de 6 mois suivant la date de la transaction pour l’exploitation des données et la détermination du score permettant d’évaluer les risques présentés par la transaction. Ces données sont par la suite supprimées ou archivées selon les durées de prescription applicables (2 ans en l’espèce). Aucune liste recensant les cas de fraudes avérées n’est constituée.Lorsqu’elles sont collectées, les copies de la pièce d’identité et du justificatif de domicile sont détruites 24h après la réalisation des vérifications complémentaires.Ces autres caractéristiques n’appellent pas d’observation.
Autorise, conformément à la présente délibération, LOUIS VUITTON MALLETIER à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN