(Demande d’autorisation n° 1495705)
La Commission nationale de l’informatique et des libertés ;
Saisie par la société SECUVAD d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de lutter contre la fraude aux moyens de paiement lors de transactions effectuées à distance ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I°4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Bernard Peyrat, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement

Sur la finalité
Ce traitement vise à évaluer le niveau de risque présenté par une commande effectuée auprès d’une société de vente à distance, client de la société SECUVAD. En fonction des résultats de l’analyse effectuée par SECUVAD, le cybercommerçant est susceptible d’annuler la commande.
Dès lors, il y a lieu de faire application des dispositions prévues à l’article 25.I.4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements susceptibles d’exclure une personne du bénéfice d’un contrat en l’absence de toutes dispositions législatives et réglementaires le prévoyant.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données suivantes sont traitées :
Une copie de la pièce d’identité ou d’un justificatif de domicile de la personne concernée peut également être collectée.
identification : nom, prénom ;
vie personnelle : numéros de téléphone fixe et mobile, adresse de courrier électronique ;
données de connexion : identifiants des terminaux, information d’horodatage, adresse IP ;
données relatives à la commande : adresses de facturation et de livraison, date et heure de la commande, le montant et la description des biens commandés ;
informations d’ordre économique et financier : code BIN de la carte bancaire (6 premiers chiffres).
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Sont destinataires des données les personnels habilités de la Direction informatique et les personnels en charge de l’exécution des prestations fournies aux clients.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant dans les conditions générales de vente ou les conditions d’utilisation et dans le formulaire de collecte de données figurant sur les sites internet des clients de la société SECUVAD. Une mention figure également dans les mentions légales sur le site de SECUVAD.
En cas de survenance d’un fait susceptible d’entraîner la demande de pièces justificatives, la personne concernée est informée de ses droits et des conséquences de ce traitement  par une mention figurant dans le message adressé par la société SECUVAD.
Les droits d’accès et de rectification s’exercent auprès de la société SECUVAD – 107 avenue Georges Clemenceau, 92 000 NANTERRE.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
L’ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Les autres mesures de sécurité n’appellent pas d’observations de la part de la Commission.
Sur les autres caractéristiques du traitement
La Commission observe que ce traitement ne permet pas d’établir une liste noire des acheteurs présentant un risque d’impayés.
A chaque transaction, un niveau de risque global sous la forme d’une note de score est établi. Dans le cas où la commande présente un risque de fraude, le personnel de SECUVAD prend contact avec l’acheteur et, le cas échéant,  lui demande la communication d’une copie d’un document d’identité ou d’un justificatif de domicile.
La Commission prend acte que conformément aux dispositions de l’article 10 de la loi du 6 janvier modifiée, les résultats communiqués du traitement font l’objet d’une analyse manuelle par les personnels en charge de l’exécution des prestations fournies aux clients, cybercommerçants. La Commission observe que seul ce dernier procède à la validation ou à l’annulation de la commande.
Les données sont conservées pendant une durée de quinze mois en base active et pendant une durée de trente-six mois en base archive.
Les copies des documents d’identité ou de justificatifs de domicile collectés à l’appui d’une commande sont conservées pendant une durée de six mois en base archive.
Autorise, conformément à la présente délibération, la société SECUVAD à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
