CNIL, 19 décembre 2013, 2013-407

(Demande d'autorisation n° 1545709) La Commission nationale de l'informatique et des libertés,

Saisie par

PIXMANIA d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude aux moyens de paiement ;

Vu

la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le dossier et ses compléments ; Sur la proposition de M. Bernard PEYRAT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,

Formule les observations suivantes

: Sur le responsable du traitement La société PIXMANIA commercialise en ligne du matériel informatique. Sur la finalité La société PIXMANIA a saisi la Commission nationale de l'informatique et des libertés d'une demande d'autorisation relative à la mise en œuvre d'un traitement ayant pour finalité la lutte contre la fraude aux moyens de paiement. Afin de lutter contre les tentatives de fraude aux moyens de paiement, elle a recours à un outil d'évaluation des risques présentés par les paiements effectués sur son site internet par carte de paiement, par virement ou lorsque les clients ont recours aux services d'un intermédiaire. Elle souhaite également détecter les utilisations frauduleuses de coupons et bons de réduction. Enfin, elle prévoit, en vue de détecter de nouvelles transactions présentant un risque de fraude, la constitution d'une liste noire comportant les données relatives aux fraudes ayant donné lieu à un impayé. La Commission considère que ce traitement peut avoir pour effet d'exclure des personnes du bénéfice d'un contrat en l'absence de toute disposition légale ou réglementaire le prévoyant en leur ôtant la possibilité de passer une commande sur le site PIXMANIA.com. S'agissant des cartes de paiement, les fraudes recherchées correspondent à des utilisations illégitimes de cartes ou des données qui y sont attachées, lorsque ces utilisations risquent d'avoir des conséquences préjudiciables pour la société PIXMANIA. Les utilisations d'une carte par son titulaire légitime qui sont rendues irrégulières du seul fait d'un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d'alerte. L'ensemble des commandes passées sur le site internet pixmania.com font l'objet d'une analyse par l'outil de détection de fraude de PIXMANIA. En cas de transaction identifiée comme présentant un risque de fraude, le service chargé de la prévention de la fraude procède à une analyse manuelle et approfondie de la commande afin de confirmer ou non le caractère frauduleux de la transaction. Un contact peut être pris avec le client afin de lui demander de confirmer certaines informations, avec le cas échéant communication de pièces justificatives. Si les vérifications complémentaires permettent d'écarter tous risques de fraude, la commande se poursuit normalement. Dans le cas contraire, elle est annulée. Le client est en informé via son compte client et par courrier électronique. Il est mis en mesure de présenter ses observations dans le cadre de la demande d'éléments complémentaires. La Commission prend acte que, conformément aux dispositions de l'article 10 de la loi du 6 janvier 1978 modifiée, les résultats du traitement feront l'objet d'une instruction par le service chargé de la prévention de la fraude au cas par cas, et non automatisée. La Commission considère que cette finalité est déterminée, explicite et légitime. Sur les données traitées Les catégories de données traitées sont les suivantes : identification : nom, prénom, adresse postale et de livraison, numéros de téléphone et adresse électronique, données de connexion : adresse IP, information d'horodatage ; informations d'ordre économique et financier : le mode de paiement, le statut du paiement, le cas échéant, le partenaire monétique ; informations relatives à la commande : le type et la quantité de produits commandés, le montant de la commande, le mode de livraison et l'utilisation d'une promotion ou d'une carte de fidélité, le statut de la commande, l'identité du vendeur, le transporteur. Les critères pris en compte pour l'analyse des risques présentés par la commande prennent en compte les données mentionnées ci-dessus et sont basés sur des règles de fréquence et de récurrence déterminées par PIXMANIA. Une copie de la pièce d'identité et un justificatif de domicile de la personne ayant passé commande peuvent également être collectés dans des conditions permettant de garantir la transmission et la conservation de ces documents de manière sécurisée. En cas de survenance d'un impayé résultant de la fraude, les informations suivantes sont inscrites dans une liste noire : l'identification (nom, prénom), les adresses électroniques et IP, le numéro de téléphone et les adresses de livraison et de facturation. La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie. Sur les destinataires L'accès au traitement est restreint aux seuls collaborateurs habilités du service chargé de la prévention de la fraude. Ces destinataires n'appellent pas d'observations de la part de la Commission. Sur l'information et le droit d'accès Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant dans les conditions générales de vente. Lors de la survenance de l'incident susceptible de donner lieu à une inscription dans la liste noire, les personnes concernées sont informées préalablement par courrier électronique, des conséquences potentielles de cet enregistrement, de ses droits et de la possibilité de présenter ses observations ou de régulariser leur situation dans un délai de 15 jours. Les droits d'accès et de rectification s'exercent auprès de la Direction générale, 43 - 47 avenue de la grande armée, 75116 PARIS. Sur les mesures de sécurité L'ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d'analyser tous accès, modifications et suppressions de données non autorisés. Les mesures de sécurité mises en place n'appellent pas d'observations. Sur les autres caractéristiques du traitement Ces données traitées dans le cadre de l'outil de détection du risque de fraude sont conservées pendant une durée de 3 ans. S'agissant des données relatives aux commandes impayées donnant lieu à une inscription en liste noire, elles sont conservées jusqu'au règlement de la créance et à défaut pendant une durée de trois ans. La Commission prend acte que les données à caractère personnel sont supprimées de la liste noire dès lors que la personne a régularisé son impayé. Les copies des pièces justificatives sont conservées pendant six mois. Ces autres caractéristiques n'appellent pas d'observation.

Autorise, conformément à la présente délibération

, PIXMANIA à mettre en œuvre le traitement susmentionné. La Présidente Isabelle FALQUE-PIERROTIN