(Demande d’autorisation n°1546897)
La Commission nationale de l’informatique et des libertés ;
Saisie par la Caisse d’épargne d’Ile de France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I-3° et 25-I-4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La Caisse d’épargne d’Ile de France, ci-dessous dénommée la Caisse d’épargne IDF.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise à détecter les documents d’identité présentant des anomalies susceptibles de révéler une fraude à l’identité (faux documents ou documents falsifiés) provenant, d’une part, des personnes souhaitant entrer en relation avec la Caisse d’épargne IDF et, d’autre part, des personnes déjà clientes, au cours de la relation d’affaires (ex : mise à jour du dossier client, demande de crédit, retrait en espèces inter-bureau supérieur à 300€, opération bancaire).
L’objectif du traitement étant de s’assurer de l’exacte identité du client pour répondre aux obligations de connaissance du client imposées par la règlementation bancaire.
La Commission estime que cette finalité est déterminée, explicite et légitime.
Lorsque l’anomalie sur le document d’identité est constatée par le Département sécurité financière, le dossier sera traité conformément à la procédure de gestion et suivi des cas de fraudes externes, à savoir, soit la mise en place de mesures complémentaires, soit la levée des mesures conservatoires si après étude l’anomalie n’est pas confirmée.,.
A ce titre, différentes mesures complémentaires peuvent être envisagées : le blocage de la carte bancaire du client avec capture de la carte lors de son utilisation et la mention « opposition fraude suspectée » en cas de confirmation de l’anomalie à l’occasion de l’analyse complémentaire effectuée par le département sécurité financière, ou encore, la fin de la relation commerciale avec le client.
Ce traitement peut ainsi, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée en 2004 et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
En outre, la banque peut également décider de déposer plainte à l’encontre du client ou « contre X ». Dès lors, le traitement porte sur des données relatives aux infractions. A cet égard, l’article 9 de la loi du 6 janvier 1978 modifiée liste les personnes pouvant mettre en œuvre un traitement de données relatives aux infractions, condamnations et mesures de sûreté.
Conformément à la décision du Conseil Constitutionnel du 29 juillet 2004, seules les victimes d’infractions susceptibles de faire valoir leurs droits devant une juridiction peuvent procéder à la collecte des données relatives à ces infractions.
Dans ce contexte, la Commission considère qu’il y a également lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les catégories de données traitées sont relatives :
- à l’identification des personnes : nom, prénom, adresse, photographie, date et lieu de naissance ;
- aux documents d’identité : copie du titre d’identité, numéro du document, genre (masculin/féminin), ligne de contrôle MRZ, bande MRZ (figurant en bas des documents d’identité), date d’établissement, date d’expiration, pays de délivrance, âge, pays, contrôles effectués et à effectuer, identifiant du client ;
- aux données de connexion : identifiants des terminaux, identifiants de connexion, informations d’horodatage, statistiques de connexion par agence.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seuls les conseillers clientèles de la Caisse d’épargne d’IDF en charge du suivi de la relation commerciale (les chargés d’affaires ou de comptes) et recevant les personnes souhaitant entrer en relation avec la Caisse d’épargne ou les clients actuels auront accès à ce traitement.
Dans le cadre des missions de contrôles de second niveau, la Direction de la conformité peut également avoir accès à ces informations. Les administrateurs de la Direction informatique peuvent avoir accès aux informations figurant dans le système d’information de la banque. Seules les personnes habilitées de cette Direction ont également accès aux fichiers PDF contenant la ligne de contrôle.
La Commission estime que ces destinataires ont un intérêt légitime à avoir communication de ces données.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la Caisse d’épargne IDF sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention d’information qui figure dans la convention de compte transmise lors de la signature du contrat (ouverture d’un compte de dépôt ou d’un compte d’épargne).
Par ailleurs, les collaborateurs du réseau bancaire sont informés du traitement de leurs données (identifiant et données de connexion) par une mention d’information qui figure dans la charte d’utilisation des moyens informatiques et de communications électroniques annexée au règlement intérieur de la banque.
Les droits d’accès et de rectification des clients s’exercent auprès du Service relation clientèle de la Caisse d’épargne Ile-de-France – 26/28, rue Neuve Tolbiac – CS 91344-75633 Paris Cedex 13. Tandis que les droits des salariés s’exercent auprès du correspondant informatique et libertés de la Direction de la conformité de la banque à cette même adresse ou par courriel à l’adresse suivante conformite.normes@ceidf.caisse-epargne.fr
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Seuls les collaborateurs ayant un profil « direction de la conformité », « conseiller clientèle », « chargé d’accueil » ou « directeur d’agence » sont habilités à utiliser l’outil.
Les personnes ayant accès à l’application bancaire ont accès au fichier PDF des résultats des vérifications par l’outil IdenTT.
La connexion à l’application IdenTT se fait au moyen d’un lien hypertexte disponible sur l’intranet. Il n’existe pas de mot de passe spécifique pour se connecter à l’application. Toutefois, ce lien n’est actif que pour les collaborateurs habilités qui font partie d’un groupe Windows spécifique et sont reconnus lors de l’authentification à l’ouverture de session. Il s’agit d’un mécanisme d’authentification unique, seules les personnes habilitées à utiliser l’outil pourront s’y connecter.
Il n’existe pas de traçabilité de l’outil en tant que tel, permettant de savoir qui a saisi les informations. Toutefois, la traçabilité est assurée de la manière suivante : les résultats générés en PDF et enregistrés dans le dossier client font apparaître la date et l’heure des contrôles réalisés, les consultations ou modifications de données dans le système d’information de gestion de la clientèle sont tracées. Enfin, les connexions à l’outil sont tracées par les logs de connexion.
Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
La personne qui souhaite entrer en relation avec la banque présente ses documents d’identité au collaborateur en charge du suivi de la relation commerciale. Le collaborateur créé une fiche client dans l’application de gestion des clients et saisit les premières informations (identité, coordonnées …). L’outil « Iden TT » réalise une vérification et les résultats sont restitués sous la forme d’un fichier PDF contenant une ligne de contrôle. Cette ligne de contrôle contient des chiffres clés qui sont rapprochés manuellement par  le collaborateur en charge de la vérification de la bande MRZ figurant sur les documents d’identité.
Si une anomalie est détectée lors de l’entrée en relation ou pendant le cours de la relation, le collaborateur effectue une vérification préalable. Le directeur ou son adjoint ou le chargé expert responsable de l’agence dans laquelle l’anomalie est relevée, doivent procéder à une contre vérification.
Si le collaborateur considère que l’anomalie est avérée, il communique le dossier au Département sécurité financière de la Direction conformité pour une vérification complémentaire. La mention « faux document » est inscrite sur le dossier numérique du client en cas d’anomalie avérée. Le fichier PDF du résultat du contrôle, n’est pas conservé dans le dossier papier du client.
Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
Pendant les vérifications, des mesures conservatoires pourront être prises conformément à la procédure de traitement de suspicion d’une fraude, à savoir : la suspension de l’entrée en relation, la mise en opposition « surveillance » du client, la mise sous surveillance de la carte bancaire, le positionnement d’un pop-up sur le client (message d’alerte sur l’écran du gestionnaire concernant la situation du client), la création d’un dossier dans la base FExtern par le département sécurité financière de la Direction de la conformité. Cette base consolide l’ensemble des dossiers de fraude externe suspectée ou avérée pour en assurer le suivi ainsi que des reportings sur l’activité et les statistiques. Seule la Direction de la conformité dispose d’un accès à cet outil lui permettant d’effectuer des vérifications complémentaires lors d’une remontée d’anomalie.
Une fois l’anomalie levée ou confirmée par le Département sécurité financière, le dossier sera traité conformément à la procédure de gestion et suivi des cas de fraudes externes, à savoir, soit la levée des mesures conservatoires, soit la mise en place de mesures complémentaires telles qu’elles ont été rappelées ci dessus.
Dans l’hypothèse ou l’analyse complémentaire permet  d’écarter le doute, les mesures conservatoires sont levées et le pop-up positionné sur le client est supprimé. En outre, le pop-up sera automatiquement effacé au terme d’une année. Enfin, dans la base FExtern, le dossier est indiqué « clos ».
Les données collectées sont conservées pendant la durée nécessaire à la vérification des documents d’identité. Une fois le contrôle effectué, le fichier et les documents justificatifs d’identité sont enregistrés dans le dossier numérique du client. Ce fichier est imprimé et archivé par un sous traitant sous format papier pendant une durée de cinq années à compter, soit de la fin de la relation commerciale, soit du refus d’entrer en relation.  Enfin, les logs de connexion sont conservés pendant une année. Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.
L’outil permet enfin de réaliser des statistiques pour le calcul, la gestion et le suivi des utilisations de l’application (ex : nombre de connexions) par les agences de la Caisse d’épargne. Ces statistiques sont conservées pendant une durée de cinq années.
Autorise, conformément à la présente délibération, la Caisse d’épargne d’Ile de France à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
