(demande d’autorisation n° 1567239)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Bouygues Telecom d’une demande d’autorisation portant modification d’un traitement automatisé de données à caractère personnel ayant pour finalité la détermination d’un niveau de risque d’impayés en vue de fixer les conditions d’attribution de ses services ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 10 et 25-I°-4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2012-237 du 12 juillet 2012 autorisant la société Bouygues Telecom à mettre en œuvre un traitement ayant pour finalité la détermination d’un niveau de risque d’impayés en vue de fixer les conditions d’attribution de ses services ;
Vu la demande d’autorisation portant modification du traitement susmentionné et ses compléments ;
Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et      M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Afin d’améliorer son dispositif de prévention de la fraude et des impayés, la société Bouygues Telecom souhaite apporter des modifications à son outil d’évaluation du risque aidant à la fixation des conditions d’attribution du service fourni.
La société Bouygues Telecom a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une demande d’autorisation portant modification du traitement autorisé par la délibération n° 2012-237 du 12 juillet 2012 ayant pour finalité la détermination d’un niveau de risque d’impayés en vue de fixer les conditions d’attribution de ses services.
Le traitement autorisé en 2012 consiste, lors de la souscription de l’abonnement, à attribuer aux personnes concernées des notes plus ou moins élevées selon le niveau de risque qu’elles présentent en vue de cibler les 1% des activations présentant le plus de risques. Ces notes sont attribuées à partir d’une grille de critères prédéterminés. En fonction de la note attribuée, avant l’activation de la ligne, il peut être demandé à la personne concernée des garanties supplémentaires, qui se matérialisent par une avance sur consommation et/ou la fourniture d’un justificatif de domicile aux fins de vérification.
Ce traitement est exclusivement mis en œuvre dans les points de vente physiques proposant des services et des produits Bouygues Telecom, mais n’est pas utilisé lors de commandes effectuées par téléphone ou sur le site internet de la société Bouygues Telecom. Par ailleurs, l’ensemble des offres proposées par la société Bouygues Telecom n’entre pas dans le champ du traitement actuel.
Face à un marché des télécommunications en pleine mutation, dans lequel les comportements frauduleux sont en recrudescence, la société Bouygues Telecom considère que l’outil d’évaluation actuel n’est plus adapté, notamment en raison de son périmètre restreint.
Dès lors, la société Bouygues Telecom a présenté une demande d’autorisation portant modification du traitement susmentionné. Les principales modifications demandées par la société Bouygues Telecom sont
l’extension du périmètre du traitement aux canaux de vente dématérialisée (site internet/télévente) et à l’ensemble des offres proposées par la société Bouygues Telecom ;
l’évolution de l’outil d’évaluation du risque pour introduire différents niveaux de risques associés aux clients/prospects ;
l’ajout de nouveaux critères à l’outil d’évaluation du risque ;
la demande de conservation des résultats de l’évaluation.
Dans la mesure où ce traitement est susceptible d’exclure les demandeurs du bénéfice d’une prestation ou d’un contrat, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements susceptibles du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou règlementaire.
Sur la finalité du traitement :
Le traitement pour lequel une modification de l’autorisation est demandée a pour finalités :
la détermination d’un niveau de risque aidant à la fixation des conditions d’attribution du service fourni ;
la constitution de modèles d’évaluation à partir de l’analyse statistique de données, la vérification de la pertinence des modèles mis en œuvre et l’évaluation des risques.
Cet outil d’aide à la détermination des conditions d’attribution du service fourni a pour but, sur la base de critères objectifs pondérés, d’améliorer le processus de prévention des risques de fraude et d’impayés.
La Commission considère que les finalités du traitement sont déterminées, explicites et légitimes au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
La société Bouygues Telecom souhaite ajouter de nouveaux critères à son outil d’évaluation du risque. Ces critères supplémentaires portent sur l’identité du souscripteur et les circonstances et caractéristiques de la commande.
Comme lors de la demande d’autorisation initiale, les données ont été choisies au regard d’études réalisées par la société Bouygues Telecom. Elles ont également été pondérées en fonction du lien de corrélation qu’elles présentent avec le risque de fraude et d’impayés, chaque critère se voyant attribuer une valeur. La définition du modèle d’évaluation résulte de la prise en compte de l’ensemble de ces critères combinés via l’application d’une formule mathématique complexe.
Ces données collectées sont pertinentes, adéquates et non excessives au sens de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Elles sont utilisées pour déterminer le niveau de risque du client/prospect et le niveau de garantie associé. A cet égard, la société Bouygues Telecom souhaite faire évoluer son outil d’évaluation du risque pour y introduire davantage de flexibilité. Le modèle d’évaluation modifié permet d’identifier auquel des cinq niveaux suivants le client/prospect est associé, chaque catégorie correspondant à un niveau de risque particulier et de garanties associées :
accès à l’ensemble des offres de services téléphoniques ;
accès à l’ensemble des offres avec une limitation provisoire des usages hors forfait ;
accès à un forfait moins onéreux sans demande d’avance sur consommation ;
accès à l’ensemble des offres sous réserve de paiement d’une avance sur consommation variable ;
paiement comptant du terminal (pas de proposition d’étalement de paiement  EDP ).
Aucune variable ne reçoit une pondération telle qu’elle puisse à elle seule avoir un effet d’exclusion absolue. Il en va de même pour tout ensemble de variables étroitement corrélées les unes aux autres. Le résultat obtenu par une personne ne sera pas utilisé de façon automatique pour déterminer les conditions de fourniture d’un service par la société Bouygues Telecom et la personne concernée sera mise en mesure de présenter ses observations.
En tout état de cause, les alinéas 2 et 3 de l’article 10 de la loi du 6 janvier 1978 modifiée disposent qu’  aucune (…) décision produisant des effets juridiques à l’égard d’une personne ne peut être prise sur le seul fondement d’un traitement automatisé de données destiné à définir le profil de l’intéressé ou à évaluer certains aspects de sa personnalité. Ne sont pas regardées comme prises sur le seul fondement d’un traitement automatisé les décisions prises dans le cadre de la conclusion ou de l’exécution d’un contrat et pour lesquelles la personne concernée a été mise à même de présenter ses observations, ni celles satisfaisant les demandes de la personne concernée .
Sur la durée de conservation des données :
Les données traitées sont supprimées dès que la décision d’activation de la ligne a été prise. Les données des personnes n’ayant pas donné suite au processus d’activation d’un abonnement auprès de la société Bouygues Telecom sont conservées 60 jours lorsque les personnes y ont consenti.
Les résultats de l’évaluation sont conservés pendant 90 jours en vue d’évaluer la fiabilité du modèle et de pouvoir en améliorer la pertinence. Les résultats de l’évaluation ne sont pas rattachés à l’identité de la personne concernée mais au numéro de compte client. Seuls les résultats concernant les clients de l’opérateur, dont la ligne est activée, sont conservés. L’accès à ces données est limité et réservé aux personnes habilitées de la cellule de la prévention de la fraude de la société Bouygues Telecom. Les personnes concernées disposent d’un droit d’opposition s’appliquant à la conservation des résultats de l’évaluation.
Au vu des arguments exposés par la société Bouygues Telecom, et des garanties associées, la Commission considère que la conservation des résultats de l’évaluation est effectuée pour une finalité déterminée, explicite et légitime et que la durée de 90 jours est adaptée aux finalités pour lesquelles les données sont traitées, conformément aux dispositions de l’article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
L’accès au traitement est restreint aux seuls collaborateurs habilités de la cellule de la prévention de la fraude de la société Bouygues Telecom.
Les données traitées ne sont ni transmises ni conservées. Seules les conséquences de l’évaluation, et non les données, sont accessibles aux personnels des points de vente pour identifier les personnes présentant des risques de fraude et/ou d’impayés.
Les destinataires des données n’appellent pas d’observations de la part de la Commission.
Sur l'information des personnes :
Les personnes sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention inscrite sur le formulaire de collecte des données, dans la documentation commerciale et par voie d’affichage dans les points de vente. S’agissant des canaux de vente dématérialisée, l’information des personnes est effectuée sur le site internet par l’intégration d’une mention spécifique dans le parcours de souscription et est délivrée par le conseiller dans le cadre de la télévente.
Lorsque le résultat de l’évaluation n’est pas favorable aux personnes, et que des garanties leur sont demandées, les personnes concernées sont informées de leur droit à un entretien avec un conseiller de vente au cours duquel leur sont exposées les raisons et les conséquences de la note obtenue. A cette occasion, elles ont la possibilité de présenter leurs observations.
Lors d’une souscription sur le site internet de la société Bouygues Telecom, en cas d’évaluation défavorable, un courriel explicatif est adressé à la personne concernée, lui offrant la possibilité d’un entretien avec un conseiller en point de vente physique ou à l’occasion d’un appel au service client.
La Commission considère que les modalités d’information des personnes concernées sont satisfaisantes au regard des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée et qu’elles satisfont aux exigences posées par les alinéas 2 et 3 de l’article 10 de la loi précitée.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’opposition, d’accès et de rectification s’exercent dans les conditions légales auprès du service Informatique et Libertés de la société Bouygues Telecom.
Les modalités d’exercice des droits des personnes n’appellent pas d’observations de la part de la Commission.
Sur la sécurité des données et la traçabilité des actions :
Au titre des mesures de sécurité, sont notamment mis en place :
une conservation pendant au moins six mois de la traçabilité des connexions ;
une gestion des profils d’habilitation ;
une procédure d’authentification ;
un chiffrement des transmissions.
Les mesures de sécurité décrites par la société Bouygues Telecom sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission autorise, conformément à la présente délibération, la modification par la société Bouygues Telecom du traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
