(Demande d’autorisation n° 1600569)
La Commission nationale de l’informatique et des libertés,
Saisie par la société IdTGV d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection et la prévention des fraudes relatives aux commandes ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de M. Jean-François CARREZ, rapporteur, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la société IdTGV, filiale de la Société Nationale des Chemins de Fer (SNCF).
Sur la finalité
La finalité du présent traitement est la détection et la prévention des fraudes à la carte bancaire lors d’achat de titres de transport ferroviaire IdTGV. Pour ce faire, la société IdTGV a recours à un outil d’évaluation des risques présentés par ce type de transaction.
La société souhaite également mettre en place une liste noire pour les cas de commandes impayées. Les personnes figurant sur cette liste ne pourront plus passer de commande tant qu’elles n’auront pas réglé les sommes impayées.
La Commission estime que la finalité poursuivie est déterminée, légitime et explicite.
Elle considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
Sur les données traitées
La société recourt à un outil d’évaluation des risques lorsqu’elle ne peut utiliser le dispositif 3D Secure (transactions effectuées sur les sites d’autres distributeurs et sur les applications mobiles).
Dans ce cadre, les données collectées sont les suivantes :
Données relatives à l’identification : identifiant, nom, prénom, date de naissance, adresse électronique, numéro de téléphone ;
Données de connexion : adresse IP horodatée ;
Informations d’ordre économique et financière : date et heure de la transaction, montant et numéro de la transaction, type, numéro (crypté) et nom du porteur de la carte bancaire, date d’expiration, monnaie de la commande ;
Informations relatives à la commande : panier mixte (montant, nom du partenaire), temps avant le départ, type de produit, itinéraire, villes de départ et d’arrivée, pays de départ et d’arrivée, type de billet (aller-retour).
Lorsque le dispositif 3D Secure peut être utilisé, seul le résultat 3D Secure est collecté et traité.
Dans le cas de commande générant un impayé, l’adresse électronique et le numéro de carte bancaire attachés à la commande sont inscrits dans la liste noire.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Seuls les personnels habilités du service des fraudes de la société IdTGV sont destinataires de ces données.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
En outre, la Commission observe qu’une partie du traitement est réalisée par un sous-traitant. Elle prend acte que les données ne sont pas communiquées à d’autres personnes susceptibles de recourir aux services proposés par ce sous-traitant et rappelle que conformément à l’article 35 de la loi du 6 janvier 1978 modifiée, les données ne peuvent faire l’objet d’une opération de traitement de la part d’un sous-traitant que sur instruction du responsable de traitement.
Sur l’information et le droit d’accès
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant dans les conditions générales de vente.
En cas d’inscription dans la liste noire des impayés, les personnes concernées en sont informées au moment même de l’inscription et peuvent présenter leurs observations en contactant le service client.
Les droits d’accès et de rectification s’exercent auprès du Service client de la société IdTGV, 2, place de la Défense – CNIT 1 – BP 440 PARIS LA DEFENSE.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Des profils d'habilitation sont prévus afin de gérer les accès aux données autant que de besoin. Les utilisateurs ayant accès au traitement sont authentifiés au moyen d’un mot de passe ayant un niveau de complexité suffisant, et régulièrement renouvelé.
La transmission des données au sous-traitant est chiffrée, et celui-ci conserve les numéros de cartes bancaires sous forme chiffrée.
Le réseau de l’entreprise  fait l’objet de mesure de filtrage ayant pour but de restreindre l’émission et la réception des flux réseaux aux machines identifiées et autorisées
Une journalisation des opérations de consultation, création et modification du traitement est réalisée. Ces journaux sont conservés pendant dix jours avec accès immédiat, puis sont archivés pendant un an.
Les interventions de maintenance font également l'objet d'une traçabilité.
Les autres mesures de sécurité mises en place n’appellent pas d’observation de la part de la Commission.
Sur les autres caractéristiques du traitement
La transaction est automatiquement bloquée lorsqu’elle correspond à un impayé figurant dans la liste d’exclusion (alerte rouge). Le client est alors informé que la commande ne peut avoir lieu et est invité à utiliser un autre moyen de paiement ou à contacter le service client afin de régulariser la situation.
En cas de transaction identifiée comme présentant un risque de fraude (alerte orange), la transaction a lieu mais le service dédié de la société IdTGV procède à une analyse manuelle des éléments de la commande après paiement afin de confirmer ou non le caractère frauduleux. Si l’alerte est confirmée, la commande est annulée. Le client en est informé par courrier électronique et est invité à utiliser un autre moyen de paiement ou à contacter le service client afin de régulariser la situation.
Les règles de calcul issues des critères de risque sont définies par la société IdTGV à partir de la typologie des fraudes constatées en plus grand nombre. Ces règles sont régulièrement mises à jour en fonction du niveau de pertinence constaté.
Ainsi, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, aucune décision à l’égard d’une personne ne sera prise sur le seul fondement de ce traitement et les résultats font l’objet d’une analyse au cas par cas par les personnels habilités du service des fraudes de la société IdTGV.
Par ailleurs, les données sont conservées pendant une durée de quatre-vingt dix jours dans la base active, puis elles sont archivées pendant une durée de deux ans. Les données figurant dans la liste noire sont également conservées pendant une durée de deux ans.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société IdTGV à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
