Source: https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000037477764
Timestamp: 2019-03-22 17:29:09+00:00

Document:
Délibération n° 2018-303 du 6 septembre 2018 portant adoption d'une recommandation concernant le traitement des données relatives à la carte de paiement en matière de vente de biens ou de fourniture de services à distance et abrogeant la délibération n° 2017-222 du 20 juillet 2017 | Legifrance
Vous êtes dans : Accueil> Les autres textes législatifs et réglementaires> Délibération n° 2018-303 du 6 septembre 2018 portant adoption d'une recommandation concernant le traitement des données relatives à la carte de paiement en matière de vente de biens ou de fourniture de services à distance et abrogeant la délibération n° 2017-222 du 20 juillet 2017
NOR: CNIL1827236X
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données - RGPD) ;
Vu les lignes directrices concernant l'analyse d'impact relative à la protection des données (AIPD) et la manière de déterminer si le traitement est « susceptible d'engendrer un risque élevé » aux fins du règlement (UE) 2016/679 adoptée le 4 octobre 2017 par le groupe de travail « de l'article 29 » sur la protection des données ;
Elle estime aujourd'hui nécessaire d'actualiser sa recommandation au regard de l'évolution des pratiques du commerce en ligne, ainsi que de celle du cadre légal et technologique.
Les dispositions de la présente recommandation, qui abroge celle de 2017, s'appliquent au traitement de données relatives à la carte de paiement (carte interbancaire ou dispositif similaire), ci-après « la carte », lors de toute vente d'un bien ou fourniture d'une prestation de service conclu, sans la présence physique simultanée des parties, entre un consommateur (personne physique) et un professionnel, et qui, pour la conclusion de ce contrat, utilisent exclusivement une ou plusieurs techniques de communication à distance (Internet, téléphone, etc.).
La Commission précise que l'article 35 du RGPD prévoit la conduite d'une analyse d'impact relative à la protection des données (AIPD), lorsqu‘un traitement de données personnelles est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, compte tenu notamment de la nature des données traitées. A cet égard, la Commission rappelle que les données financières, dont les données relatives aux cartes de paiement, sont qualifiées de « données à caractère hautement personnel » compte tenu de la gravité des impacts pour les personnes concernées que leur violation pourrait engendrer (utilisation pour des paiements frauduleux par exemple).
La Commission rappelle aux organismes qui mettraient en œuvre un tel traitement de données de paiement qu'ils sont susceptibles d'être tenus, selon l'ampleur du traitement et les modalités de sa mise en œuvre, de réaliser une AIPD.
La finalité première de l'utilisation d'un numéro de carte de paiement est de permettre la réalisation d'une transaction visant à la délivrance d'un bien ou la prestation d'un service en contrepartie du paiement complet d'un prix.
La collecte des données relatives à une carte de paiement peut toutefois remplir d'autres finalités, liées à la particularité des opérations à distance :
- la simplification des éventuels achats ultérieurs sur le site du commerçant ;
- l'offre de solutions de paiement dédiées à la vente à distance par des prestataires de services de paiement (cartes virtuelles, porte-cartes numériques dits « wallets », comptes rechargeables, etc.). Ces solutions visent à éviter aux consommateurs de saisir les données relatives à leur carte lors d'achats effectués à distance ;
Elle rappelle que les données collectées et traitées aux fins de règlement de paiements multiples et réguliers dans le cadre d'abonnements ne peuvent être ultérieurement utilisées pour une autre finalité telle que, par exemple, faciliter des paiements ponctuels ultérieurs, et inversement.
La Commission considère que la base légale du traitement des données bancaires peut varier en fonction de la finalité poursuivie, de la nature de la transaction conclue et des modalités de son exécution, conformément à l'article 6 du RGPD.
La Commission rappelle qu'il appartient au responsable de traitement de s'assurer des conditions de licéité de son traitement et, notamment, de la base légale sur laquelle le fonder.
2.1. Le paiement unique :
La Commission relève que le numéro de carte bancaire ne peut être collecté et traité que pour permettre la réalisation d'une transaction dans le cadre de l'exécution du contrat conclu par la personne concernée conformément à l'article 6-1-b du RGPD (exécution contractuelle). Ainsi, en cas de contrat impliquant un paiement unique, la Commission estime que les données n'ont donc pas vocation à être conservées au-delà du temps de transaction commerciale.
2.2. L'abonnement impliquant des paiements multiples :
La Commission considère que dans le cadre d'un contrat d'abonnement souscrit en ligne impliquant, de fait, des paiements successifs et réguliers, la conservation des données bancaires satisfait également à la condition prévue à l'article 6-1-b du RGPD (exécution contractuelle).
2.3. Les solutions de paiement dédiées à la vente à distance :
2.4. L'option permettant de faciliter les éventuels paiements ultérieurs :
La Commission estime que la conservation du numéro de la carte du client afin de faciliter ses éventuels paiements ultérieurs, et éventuellement pouvoir procéder à un achat en « un clic » sur le site du commerçant, va au-delà de l'exécution du contrat conclu.
Elle retient que cette faculté constitue une option indépendante de l'acte initial ayant conduit à la collecte des coordonnées bancaires et rappelle qu'un tel traitement nécessite que soit recueilli au préalable le consentement libre, spécifique, éclairé et univoque des personnes, en application de l'article 6-1-a du RGPD.
2.5. La souscription à un abonnement, à titre gratuit ou onéreux, donnant accès à des services additionnels, traduisant l'inscription du client dans une relation commerciale régulière :
La Commission rappelle que la conservation du numéro de la carte du client afin de faciliter ses éventuels paiements ultérieurs sur le site du commerçant va au-delà de l'exécution du contrat conclu.
La Commission considère cependant que le fait pour une personne de souscrire à un abonnement qui donne accès à des prestations additionnelles à celles accessibles à tout client peut traduire l'intention du client de s'inscrire dans une relation commerciale régulière. Ces prestations additionnelles peuvent prendre la forme de services supplémentaires annexes demandés par le client (livraison rapide, accès à des ventes privées ou à des contenus complémentaires, etc.).
Dans de tels cas, la Commission estime que la conservation des données bancaires de la personne pour faciliter ses achats ultérieurs peut être basée sur l'intérêt légitime du responsable de traitement, la personne pouvant, dans ses conditions, raisonnablement s'attendre à ce que ses données bancaires soient conservées pour simplifier ses achats ultérieurs.
La Commission précise que l'intention du client de s'inscrire dans une relation commerciale régulière doit être manifeste. La souscription à un tel abonnement doit donc être distincte de la simple création d'un compte client donnant accès aux services de base. Il doit s'agir d'une démarche complémentaire à la création et au fonctionnement courant d'un compte client. La souscription à l'abonnement peut néanmoins intervenir de manière concomitante à la création d'un compte client.
De même, la Commission estime que la simple inscription à un programme ou compte de fidélité, en contrepartie d'avantages et de récompenses, qui ne donnerait pas accès à des prestations supplémentaires visant à faciliter les achats, ne saurait suffisamment traduire l'intention du client de procéder à des achats réguliers auprès du commerçant, justifiant ainsi la conservation de ses données bancaires par défaut, sur la base de l'intérêt légitime du responsable de traitement.
De plus, pour pouvoir s'appuyer sur la base de l'intérêt légitime à réaliser un tel traitement, le responsable du traitement doit clairement en informer les personnes concernées ainsi que leur permettre de s'y opposer en faisant figurer une mention et un moyen visible, explicite et ergonomique tel qu'une case à cocher, directement sur le support de collecte (voir article 5 de la présente délibération portant sur l'information et les droits des personnes).
2.6. La lutte contre la fraude à la carte de paiement :
La Commission estime que la conservation des données relatives à la carte de paiement au-delà de la réalisation d'une transaction à des fins de lutte contre la fraude à la carte de paiement ne rentre pas dans le cadre du contrat. Elle considère en effet que ce traitement relève de l'intérêt légitime du responsable de traitement, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés des personnes en application de l'article 6-1-f du RGPD, en garantissant notamment le respect des principes de transparence et l'effectivité de l'exercice de leurs droits par les personnes concernées.
La Commission rappelle que l'utilisation du numéro de carte bancaire dans le cadre d'un traitement visant à lutter contre la fraude et, le cas échéant, la conservation d'une trace de comportements frauduleux ayant généré des impayés, ne saurait aboutir à un refus de vente. La Commission précise que cette utilisation peut néanmoins conduire le commerçant à refuser ce mode de paiement.
La Commission rappelle que seules les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité du traitement doivent être collectées.
5.1. L'obligation générale d'information :
Toute utilisation du numéro de carte de paiement, quelle qu'en soit la finalité, doit faire l'objet d'une information complète et claire auprès des personnes. Elles doivent être informées de ce qu'il sera fait de leurs données et ce, dès le stade de la collecte, dans les conditions prévues par les articles 13 et 14 du RGPD.
Elles doivent être informées de la manière d'exercer les droits :
- de retrait de leur consentement ou d'opposition au traitement de leurs données ;
- d'accès, rectification et effacement des données qui les concernent ;
- à la limitation du traitement ; par exemple, lorsque la personne conteste l'exactitude de ses données, elle peut demander par ailleurs le gel temporaire du traitement des données le temps que l'organisme procède aux vérifications nécessaires ;
- à la portabilité : le responsable de traitement doit permettre à toute personne de recevoir, dans un format structuré couramment utilisé, l'ensemble des données traitées par des moyens automatisés qui auraient été fournies par la personne sur la base de son consentement ou d'un contrat. Il est donc recommandé de préciser aux personnes concernées les traitements concernés par ce droit.
Selon la finalité poursuivie, le consentement des personnes (en cas de conservation des données aux seules fins de faciliter des paiements ultérieurs, par exemple) ou un moyen de s'opposer à certaines opérations de traitement (telle que la conservation des données dans le cadre d'un abonnement donnant accès à une relation commerciale privilégiée, par exemple) devra également être prévu sur le support de collecte des données.
5.2. L'information spécifique lors de la reconduction tacite de l'abonnement :
5.3. L'information et le recueil du consentement lors de la conservation des données aux fins de faciliter des paiements ultérieurs :
Lorsque les données relatives à la carte sont conservées au-delà du temps strictement nécessaire à la réalisation de la transaction pour simplifier un paiement ultérieur, la Commission considère que ce traitement doit avoir reçu le consentement libre, spécifique, éclairé et univoque de la personne concernée, conformément aux dispositions de l'article 6 du RGPD.
La Commission estime, en effet, que ces données ne sont pas collectées pour permettre la réalisation d'un paiement mais pour offrir un service supplémentaire au client, en l'occurrence ne pas avoir à ressaisir son numéro de carte lors d'un prochain achat et/ou permettre qu'elle puisse procéder à un achat en « un clic ». Dès lors, ce traitement de données nécessite que soit recueilli le consentement préalable de la personne concernée. Celui-ci ne se présume pas et doit prendre la forme d'un acte de volonté univoque, par exemple au moyen d'une case à cocher (non pré-cochée par défaut). L'acceptation des conditions générales d'utilisation ou de vente n'est pas considérée comme une modalité suffisante du recueil du consentement des personnes.
Afin de satisfaire l'obligation prévue à l'article 7-3 du RGPD, la Commission recommande que le responsable de traitement intègre directement sur son site marchand un moyen simple de retirer, sans frais, le consentement donné.
5.4. L'information et l'opposition préalable à la conservation des données bancaires en cas de souscription à un abonnement donnant accès à des services additionnels facilitant les achats, traduisant l'inscription du client dans une relation commerciale régulière :
La Commission estime que le fait pour une personne de souscrire un abonnement lui donnant accès à des prestations annexes (livraison rapide, accès à des ventes privées ou contenus supplémentaires, etc.) peut traduire l'intention du client de s'inscrire dans une relation commerciale régulière.
Dans de tels cas, la Commission estime que la conservation des données bancaires de la personne pour faciliter ses achats ultérieurs peut être basée sur l'intérêt légitime du responsable de traitement, la personne pouvant, dans ces conditions, raisonnablement s'attendre à ce que ses données bancaires soient conservées pour simplifier ses achats ultérieurs.
Toutefois, pour pouvoir valablement s'appuyer sur la base légale de l'intérêt légitime, le responsable du traitement doit clairement informer les personnes concernées, lors de la saisie de leurs données bancaires sur le support dédié, de leur conservation par défaut et de la durée de cette conservation.
Lors de cette saisie, la personne doit également pouvoir s'opposer, simplement et discrétionnairement, par un moyen visible, explicite et ergonomique, tel qu'une case à cocher, à la conservation de ses données bancaires. L'opposition exprimée par ce biais doit être prise en compte par le responsable du traitement, y compris lors d'achats ultérieurs.
En cas d'opposition exprimée par la personne concernée quant à la conservation de ses données bancaires, le responsable du traitement ne pourra, par la suite, pas conserver par défaut les données bancaires nouvellement saisies par le client lors d'achats ultérieurs.
L'enregistrement des données bancaires saisies ne pourra être réalisé qu'à la demande explicite de la personne concernée, exprimée ici encore par moyen visible, explicite et ergonomique, tel qu'une case à cocher.
Enfin, le responsable du traitement doit également permettre aux personnes de demander, à tout moment et de manière discrétionnaire, la suppression de leurs données bancaires.
La Commission considère en conséquence que les responsables de traitement doivent s'efforcer d'élaborer et d'adopter des pratiques exemplaires et de promouvoir des comportements qui tiennent compte des impératifs de sécurité et qui respectent les intérêts légitimes des individus.
- l'article 32 du RGPD impose au responsable de traitement de prendre des mesures de sécurité (techniques et organisationnelles) afin d'éviter notamment tout accès illégitime aux données traitées. Ces mesures doivent être proportionnées aux risques engendrés par le traitement pour les personnes concernées. Les accès non autorisés aux données relatives à la carte pouvant déboucher sur la réalisation de transactions frauduleuses, la confidentialité de ces données se doit d'être spécifiquement protégée ;
- l'article 28 du RGPD impose au responsable de traitement désirant externaliser la gestion du système de paiement de choisir un sous-traitant présentant des garanties suffisantes permettant de s'assurer notamment de la mise en œuvre des mesures de sécurité rendues nécessaires au titre de l'article 32 du RGPD. Le responsable de traitement et le sous-traitant choisi sont tenus d'établir un contrat précisant leurs obligations respectives et reprenant les dispositions prévues à l'article 28 du RGPD.
- les responsables de traitements utilisent uniquement des services de paiement en ligne sécurisés et conformes à l'état de l'art et à la réglementation applicable. A cet égard, seuls les dispositifs conformes à des référentiels reconnus en matière de sécurisation de données relatives à la carte au niveau européen ou international (par exemple, le standard PCI-DSS) doivent être utilisés. Le responsable doit également s'assurer de la conformité du traitement aux exigences du RGPD, au travers notamment de la mise en œuvre d'une démarche de gestion des risques de manière à déterminer les mesures de sécurité organisationnelles et techniques nécessaires. Pour accompagner les responsables dans cette démarche, des guides « Gestion des risques vie privée » et « Guide du sous-traitant » sont accessibles sur le site web de la Commission ;
- le responsable de traitement et son ou ses sous-traitants éventuels adoptent une politique de gestion stricte des habilitations de leurs personnels, ne donnant accès au numéro de la carte de paiement des clients que lorsque cela est rigoureusement nécessaire. Des mesures d'obfuscation (masquage de tout ou partie du numéro de la carte lors de son affichage ou de son stockage) ou de remplacement du numéro de carte par un numéro non signifiant (« tokenisation ») doivent être mises en œuvre afin de limiter l'accès aux numéros de cartes. Le personnel doit être sensibilisé aux risques de fraudes en matière de données relatives à la carte et aux mesures de sécurité permettant de les éviter ;
- en plus de la notification de violation qui doit être adressée à la CNIL, les personnes dont les données ont fait l'objet d'une violation de sécurité soient notifiées afin qu'elles puissent prendre les mesures appropriées pour limiter les risques de réutilisation frauduleuse de leurs données (contestation de paiements frauduleux, mise en opposition de la carte, etc.) ;
La délibération n° 2017-222 du 20 juillet 2017 est abrogée.

References: l'article 29
 l'article 35
 l'article 6
 l'article 6
 l'article 6
 l'article 6
 l'article 6
 l'article 6
 l'article 7
 l'article 32
 l'article 28
 l'article 32
 l'article 28