(demande d’autorisation n° 1526330 v1)
La Commission nationale de l'informatique et des libertés,
Saisie par la société SEPHORA SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la collecte du  device fingerprint  dans le cadre de la lutte contre la fraude aux moyens de paiement ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 25-I-4° et 32-II ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux Cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978 ;
Vu la délibération n° 2012-187 du 7 juin 2012 à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude et les impayés par carte bancaire.
Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La société SEPHORA SA, ci-dessous dénommée SEPHORA commercialise des produits cosmétiques par Internet.
Afin de lutter contre les tentatives de fraudes à la carte bancaire effectuées lors d’achat à distance, elle a recours à un outil d’évaluation des risques présentés par ce type de transaction. Ce traitement a pour objet d’identifier les paiements par carte bancaire effectués à distance auprès de la société SEPHORA et présentant un risque de fraude susceptible de générer un impayé.
La Commission considère que ce traitement peut avoir pour effet d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant en leur ôtant la possibilité de recourir à ce mode de paiement à distance. Il relève donc du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la Commission.
A ce titre, SEPHORA a été autorisé par une délibération n°2012-187 du 7 juin 2012 à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude et les impayés par carte bancaire.
La société SEPHORA a saisi la Commission d’une demande de modification du traitement précité. Les modifications concernent principalement la nature des données traitées et les caractéristiques du traitement.
En complément des données de connexion mentionnées dans la délibération n°2012-187 du 7 juin 2012, la société SEPHORA souhaite collecter le  device fingerprint    du terminal ayant permis de réaliser la commande par carte de paiement.
L’analyse du device fingerprint  est une fonctionnalité complémentaire de l’outil d’évaluation des risques de fraude proposé par le prestataire de service auquel a recours SEPHORA et qui permet d’individualiser les terminaux à partir desquels les achats sont réalisés via la collecte d’informations techniques.
Au moment du calcul du score, en sus des autres éléments lui permettant de déterminer le niveau de risque global associé à la commande, le prestataire de service de la société SEPHORA, qui a également recours à un sous-traitant, va interroger ce dernier afin de vérifier si des commandes frauduleuses ont déjà été réalisées à partir d’un terminal auquel est affecté le même  device fingerprint .
SEPHORA procédera à la validation ou à l’annulation des commandes ayant un score élevé en prenant en considération cette nouvelle donnée.
La Commission relève que SEPHORA ne conserve pas le  device fingerprint .
Il convient notamment d’examiner lesdites modifications au regard de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs et de l’article 32-II qui prévoit le recueil du consentement exprès et spécifique de la personne concernée en cas de collecte de l’empreinte numérique du terminal  device fingerprinting  qui s’apparente à un traceur.
SEPHORA prévoit la diffusion d’un bandeau d’information préalable à la collecte du  device fingerprint  en page d’accès du site et rédigé comme suit :  En poursuivant votre navigation sur ce site, vous acceptez l'utilisation de cookies et autres traceurs pour vous proposer des services/offres adaptés à vos centres d'intérêts et le contrôle de votre commande par nos dispositifs de lutte contre la fraude. Pour en savoir plus et paramétrer les cookies. . Cette mention d’information renverra, via un lien hypertexte, à la charte de données personnelles qui comportera la mention suivante :  Dans le cadre de la lutte contre les fraudes sur Internet, les informations relatives à la Commande de l'Acheteur ainsi que des informations relatives au terminal de l’Acheteur ayant permis de réaliser la Commande (notamment le système d'exploitation utilisé, la localisation de la machine, l'utilisation ou non de proxy ...) pourront être transmises à tout tiers habilité par la loi ou désigné par SEPHORA aux seules fins de vérification de l'identité de l'Acheteur, de la validité de la Commande, du mode de règlement utilisé et de la livraison envisagée.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
S’agissant du recueil de consentement préalable à la collecte du  device fingerprint .
En modifiant l’article 5(3) de la directive 2002/58/CE par l'adoption de la directive 2009/136/CE, le législateur européen a posé le principe selon lequel le stockage d’informations sur l’équipement d’un utilisateur ou l’accès à des informations déjà stockées, ne devaient être mises en œuvre qu'avec le consentement préalable de l’utilisateur sauf, si ces actions sont strictement nécessaires au fournisseur pour la délivrance d’un service de la société de l’information expressément demandé par l’abonné ou l’utilisateur.
Ainsi, l’article 32-II de la loi du 6 janvier 1978, modifié par l’ordonnance n°2011-1012 du 24 août 2011 qui a transposé la directive 2009/136/CE, dispose désormais que tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant :
de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
des moyens dont il dispose pour s'y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Le terme accord visé par l'article 32-II de la loi précitée correspond au  consentement  défini à l’article 2 (h) de la directive 95/46/CE, c’est-à-dire  toute manifestation de volonté, libre, spécifique et informée .
La Commission considère que le consentement ne peut être valable que si la personne concernée est en mesure d’exercer valablement son choix et n’est pas exposée à des conséquences négatives importantes si elle refuse de donner son consentement.
En l’espèce, la personne qui refuse la technologie du  device fingerprinting  peut poursuivre sa commande dès lors que l’analyse manuelle opérée par la cellule fraude n’identifie aucun autre élément lié à la commande présentant un risque de fraude. A défaut, un justificatif d’identité sera demandé dans les conditions fixées par la délibération susvisée du 7 juin 2012.
Dans ces conditions, la Commission autorise, conformément à la présente délibération, la société SEPHORA SA à modifier le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
