(Demande d’autorisation n° 1695157)
La Commission nationale de l'informatique et des libertés,
Saisie par la société DISTRIBUTION FRANPRIX d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection et la gestion des anomalies générées par l’usage frauduleux des cartes de fidélité Franprix par ses salariés et ses clients ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société DISTRIBUTION FRANPRIX
Sur la finalité
La société DISTRIBUTION FRANPRIX a saisi la Commission d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la détection et la gestion des anomalies générées par l’usage frauduleux des cartes de fidélité Franprix par ses salariés et ses clients.
L’anomalie est caractérisée dès lors qu’une carte de fidélité est identifiée à l’origine de passages multiples en caisse, par jour ou par semaine, de paniers fictifs (paniers effectivement enregistrés mais annulés après passage de la carte de fidélité) et d’un certain montant de cagnottage par jour ou par semaine.
Pour ce faire, la société souhaite mettre en place un dispositif automatisé de détection de ces anomalies, relayé par l’examen manuel de la vérification de conformité aux conditions d’utilisation du système de fidélité Franprix.
Ce traitement ne permet pas d’établir une « liste noire » des adhérents qui ont frauduleusement utilisé leur carte de fidélité.
La Commission considère que cette finalité est déterminée, explicite et légitime.
La Commission constate cependant que, si ce traitement automatisé ne conduit pas à la suspension immédiate de la carte de fidélité, la constatation avérée d’un usage contraire aux conditions générales d’utilisation peut conduire à la suspension de la carte concernée.
Ce traitement peut ainsi exclure une personne de la possibilité de bénéficier du système de fidélité et donc, du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
Dès lors, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Ce traitement concerne tous les adhérents au système de fidélité qu’ils soient clients ou salariés (également clients) de Franprix.
Dans ce cadre, les données collectées sont les suivantes :
Données relatives à l’identification : nom, prénom ;
Données relatives à la carte de fidélité : numéro d’adhérent, numéro de carte de fidélité Franprix ;
Informations d’ordre économique et financière : date des achats, quantité et montant des achats enregistrés par magasin, montant total de la cagnotte cumulé sur la carte de fidélité ;Code magasin associé au nom du magasin dans lequel les actes détectés anormaux ont été réalisés.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens du 3° de l’article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seuls les responsables du service marketing habilités, les responsables des magasins adhérents, des magasins des franchisés FRANPRIX et de la société mère seront informés des anomalies.
La Commission estime que ces destinataires ont un intérêt légitime à avoir communication de ces données.
Sur l’information et le droit d’accès
Les personnes sont informées de ce traitement lors de la collecte de leurs données, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée. L’identité du responsable de traitement, la finalité poursuivie par celui-ci ainsi que les modalités d’exercice des droits d’accès et de rectification sont mentionnés sur le formulaire d’adhésion et dans les conditions générales d’utilisation des cartes de fidélité Franprix.
En outre, les salariés sont informés de l’existence de ce traitement par une mention figurant dans le contrat de travail et par une notice d’information signée. Les salariés en poste ont été informés par un avenant à leur contrat de travail.
Dans le cas où l’analyse manuelle confirme l’usage frauduleux du système de fidélité, la carte concernée pourra être suspendue. Le porteur de la carte en sera alors informé et pourra contester l’anomalie pour demander la réactivation de sa carte.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Seuls les responsables du service marketing habilités pourront accéder à l’application. Ces habilitations seront délivrées par les responsables de la direction des systèmes d’information.
Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application, avec des profils d’habilitation  définis.
Il est prévu que la consultation, la création, la mise à jour et la suppression des données figurant dans le traitement soient journalisées.
Les autres mesures de sécurité mises en place n’appellent pas d’observation de la part de la Commission.
Sur les autres caractéristiques du traitement
En cas de régularisation d’une situation entraînant le blocage de la carte de fidélité ou si, après vérification, les actes remontés en anomalies respectent les conditions générales d’utilisation du système de fidélité, les données collectées pour ce traitement sont immédiatement supprimées.
Les données sont conservées pendant une durée de 2 ans dans la base active, afin de procéder à l’analyse manuelle et approfondie des anomalies avérées. Ces informations ne peuvent être utilisées pour refuser la délivrance d'une nouvelle carte de fidélité aux personnes concernées. Passé ce délai, et dès lors qu’une réactivation de la carte a été mise en œuvre, les données sont détruites.
La Commission prend acte du fait que le dossier du salarié ne comporte aucune information relative aux alertes ou aux investigations réalisées.
Autorise, conformément à la présente délibération, la société DISTRIBUTION FRANPRIX à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
