La Commission nationale de l'informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'Informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-I-4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'Informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la délibération n° 03-034 du 19 juin 2003 portant adoption d'une recommandation relative au stockage et à l'utilisation du numéro de carte bancaire dans le secteur de la vente à distance ;
Vu la demande d'autorisation présentée par la Banque Accord d'un traitement automatisé de données à caractère personnel pour la prévention des risques de fraude ;
Après avoir entendu Monsieur Philippe NOGRIX, Commissaire, en son rapport, et Madame Pascale COMPAGNIE, Commissaire du gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l'informatique et des libertés a été saisie le 25 octobre 2005 par la Banque Accord d'un dossier de formalité modifiant une déclaration effectuée le 10 avril 2003 relative à la mise en oeuvre d'un traitement de données à caractère personnel pour la prévention des risques.  Le dossier de modification consiste en la collecte et l'enregistrement du numéro de carte bancaire des clients qui payent par ce moyen, à des fins de prévention des risques de fraude liés à l'utilisation de la carte bancaire.
La finalité du traitement consiste en la collecte et l'enregistrement du numéro de carte bancaire des clients afin de détecter d'éventuelles utilisations frauduleuses, notamment au travers de l'analyse de la fréquentation de la carte.
La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-I-4° de la loi n° 78-17 du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.
En effet, le blocage de la carte conduira à empêcher l'utilisation de celle ci, jusqu'au moment où les vérifications auront été faites auprès du client concerné.
L'enregistrement du numéro de carte bancaire s'effectue en conformité avec la délibération n° 03-034 du 19 juin 2003 portant adoption d'une recommandation relative au stockage et à l'utilisation du numéro de carte bancaire dans le secteur de la vente à distance.
L'information des personnes s'effectuera lors de la signature de l'offre préalable de crédit et lors de la confirmation par courrier du paiement par carte bancaire.
La catégorie de données à caractère personnel enregistrée sera le numéro de carte bancaire rattaché aux opérations de paiement effectuées.
Le destinataire des informations sera La Cellule Fraude Direction Audit.
Les droits d'accès et de rectification, définis au Chapitre V de la loi, s'exerceront auprès de la Cellule Fraude de la Banque Accord BP 6 59895 Lille Cedex 9.
Dans ces conditions, la Commission autorise la Banque Accord à mettre en oeuvre un traitement de données à caractère personnel pour la prévention des risques de fraude à l'utilisation de la carte bancaire.
Le Président Alex TURK.
