La CNIL fera-t-elle baisser la fraude à la carte bancaire

La Commission nationale à l'informatique et aux libertés a-t-elle perçu l'impact d'un de ses derniers communiqués faisant suite au contrôle d'un hôtelier qui conservait de manière "longue" (sur plus de 15 années) les données de ses clients ?

Faisons simple ! Le contexte : l'un des problèmes rencontrés principalement par les cyber-marchands demeure la fraude à la carte bancaire, c'est à dire une utilisation par un internaute d'un numéro de carte bancaire sans que ce dernier ait l'autorisation du porteur de ladite carte bancaire. Cette utilisation est constitutive d'un acte d'escroquerie - ce que rappelle fréquemment les magistrats français en condamnant des internautes à des peines de prison avec sursis et au remboursement des cyber-marchands floués.

Dans l'imaginaire collectif, les numéros de cartes bancaires sont obtenus sur l'internet. Cela demeure excessivement rare (sauf pour des numéros étrangers) compte tenu du mécanisme français (absence de conservation par défaut du numéro par le cyber-marchand, etc.). En fait, la majorité des numéros de cartes bancaires utilisés frauduleusement provient d'une interception dans la vie "réelle" : numéro emprunté à papa ou maman, numéro intercepté auprès d'un centre d'appel téléphonique ou numéro inscrit sur la facturette conservée par le marchand (restaurant, etc.).

En effet, l'un des points "faibles" du dispositif demeure donc le monde physique, c'est à dire les lieux où les numéros de cartes bancaires peuvent être conservés. Le cas classique est l'hôtel et la CNIL vient de rappeler que ceux-ci ne doivent pas conserver ces données. Mieux, elle précise ceci :

La Commission insiste sur la nécessité d’effacer les données bancaires une fois la transaction réalisée, c’est-à-dire après le paiement effectif. Cette exigence est destinée à limiter les cas d’utilisation frauduleuse de numéros de cartes bancaires. Seul le consentement exprès du client, préalablement informé de l’objectif poursuivi (faciliter le paiement par les clients réguliers de l’hôtel) peut justifier que les données soient conservées plus longtemps

En clair : suppression du numéro dès l'enregistrement de la transaction. Si l'on transpose ce principe à l'ensemble du secteur marchand, cela ouvre de belles possibilités. Ainsi, ça interdit dorénavant tous les marchands physiques d'entrer en possession du numéro de carte bancaire une fois que la transaction est enregistrée (ce qui est classiquement le cas lors d'un paiement par carte). Ainsi, la facturette du marchand où figure le numéro de carte bancaire, qui est classiquement conservée par ce dernier, doit faire l'objet d'une anonymisation !

Cela a toujours été refusé au motif que cette inscription en clair est destinée à permettre à un marchand de ressaisir les données bancaires de ses clients en cas de "plantage" de l'outil de paiement. Qu'en sera-t-il ? La CNIL va-t-elle aller jusqu'à imposer au GIE Cartes bancaires cette obligation d'anonymisation ? Affaire à suivre !

Le droit d'accès, de rectification et de modification de la loi de 1978 encadré

Perdu au fin fond d'un décret passé inaperçu, le Gouvernement vient d'encadrer l'exercice par un particulier de son droit d'accès, de modification et de rectification des données le concernant. Il fixe également, des règles complémentaires concernant l'obligation d'information incombant aux responsables de traitements.

L'obligation d'information incombant aux responsables de traitements

Le responsable du traitement doit porter directement à la connaissance des personnes auprès desquelles sont recueillies des données à caractère personnel les informations énumérées au I de l'article 32 de la loi du 6 janvier 1978 sur le support de collecte ou, à défaut, sur un document préalablement porté à leur connaissance en caractères lisibles.

En application du 6° du I du même article, il les informe également, dans les mêmes conditions, des coordonnées du service compétent auprès duquel elles peuvent exercer leurs droits d'opposition, d'accès et de rectification.

Lorsque la collecte des données est opérée oralement à distance, il est donné lecture de ces informations aux intéressés en leur indiquant qu'ils peuvent, sur simple demande, même exprimée oralement, recevoir postérieurement ces informations par écrit.

Ces informations peuvent être communiquées aux intéressés, avec leur accord, par voie électronique. Lorsque les informations sont portées à la connaissance de l'intéressé par voie d'affichage, il lui est indiqué qu'il peut, sur simple demande orale ou écrite, recevoir ces informations sur un support écrit.

Les droits des personnes à l'égard des traitements de données à caractère personnel

Dispositions communes

Les demandes tendant à la mise en oeuvre des droits prévus aux articles 38 à 40 de la loi du 6 janvier 1978, lorsqu'elles sont présentées par écrit au responsable du traitement, sont signées et accompagnées de la photocopie d'un titre d'identité portant la signature du titulaire. Elles précisent l'adresse à laquelle doit parvenir la réponse.

Lorsqu'il existe un doute sur l'adresse indiquée ou sur l'identité du demandeur, la réponse peut être expédiée sous pli recommandé sans avis de réception, la vérification de l'adresse ou de l'identité du demandeur s'effectuant lors de la délivrance du pli.

Lorsque le responsable du traitement ou, en application des articles 49 et 50, le correspondant à la protection des données n'est pas connu du demandeur, celui-ci peut adresser sa demande au siège de la personne morale, de l'autorité publique, du service ou de l'organisme dont il relève. La demande est transmise immédiatement au responsable du traitement.

Lorsqu'une demande est présentée sur place, l'intéressé justifie par tout moyen de son identité auprès du responsable du traitement. Il peut se faire assister d'un conseil de son choix. La demande peut être également présentée par une personne spécialement mandatée à cet effet par le demandeur, après justification de son mandat, de son identité et de l'identité du mandant. Lorsque la demande ne peut être satisfaite immédiatement, il est délivré à son auteur un avis de réception, daté et signé.

Les codes, sigles et abréviations figurant dans les documents délivrés par le responsable de traitement en réponse à une demande doivent être explicités, si nécessaire sous la forme d'un lexique.

Le responsable du traitement répond à la demande présentée par l'intéressé dans le délai de deux mois suivant sa réception.

Si la demande est imprécise ou ne comporte pas tous les éléments permettant au responsable du traitement de procéder aux opérations qui lui sont demandées, celui-ci invite le demandeur à les lui fournir avant l'expiration du délai de deux mois. Le responsable du traitement y procède par lettre remise contre signature ou par voie électronique. La demande de compléments d'information suspend le délai de deux mois.

Sauf lorsque la demande est manifestement abusive, les décisions du responsable du traitement de ne pas donner une suite favorable à la demande qui lui est présentée sont motivées et mentionnent les voies et délais de recours ouverts pour les contester.

Le silence gardé pendant plus de deux mois par le responsable du traitement sur une demande vaut décision de refus.

Ce décret applique ainsi à des acteurs du secteur public et du secteur privé des logiques jusqu'alors de pur droit administratif. Ainsi, des personnes privées devront mentionner dans leurs décisions de refus les voies et délais de recours. De même, le silence gardé par une personne privée sera assimilé à une décision de refus.

On a donc une transposition des logiques de droit public au sein de la sphère privée, ce qui risque de rendre difficile l'application de ce régime.

Dispositions particulières au droit d'opposition

Pour faciliter l'exercice du droit d'opposition, l'intéressé est mis en mesure d'exprimer son choix avant la validation définitive de ses réponses. Ce point laisse entendre que l'internaute devra être mis en mesure d'indiquer son refus de voir ses données être traitées.

Lorsque la collecte des données intervient par voie orale, l'intéressé est mis en mesure d'exercer son droit d'opposition avant la fin de la collecte des données le concernant.

Le responsable du traitement auprès duquel le droit d'opposition a été exercé informe sans délai de cette opposition tout autre responsable de traitement qu'il a rendu destinataire des données à caractère personnel qui font l'objet de l'opposition.

Disposition particulière au droit d'accès direct

La demande d'accès peut être effectuée par écrit.

Lorsque le responsable du traitement permet la consultation des données sur place, celle-ci n'est possible que sous réserve de la protection des données personnelles des tiers. Sauf disposition législative ou réglementaire contraire, une copie des données à caractère personnel du demandeur peut être obtenue immédiatement. Afin que le demandeur puisse en prendre pleinement connaissance, le responsable de traitement met à la disposition de l'intéressé toutes les données qui le concernent et pendant une durée suffisante.

Lors de la délivrance de la copie demandée, le responsable de traitement atteste, le cas échéant, du paiement de la somme perçue à ce titre.

Dispositions particulières au droit de rectification

Lorsque des données à caractère personnel ont été transmises à un tiers, le responsable du traitement qui a procédé à leur rectification en informe sans délai ce tiers. Celui-ci procède également sans délai à la rectification.

Outre la justification de son identité, l'héritier d'une personne décédée qui souhaite la mise à jour des données concernant le défunt doit, lors de sa demande, apporter la preuve de sa qualité d'héritier par la production d'un acte de notoriété ou d'un livret de famille.

La CNIL publie sa sanction contre LCL

On en avait parlé voici plusieurs semaines. La CNIL a prononcé à l’encontre du Crédit Lyonnais ( LCL), le 28 juin dernier, une amende de 45 000 euros pour entrave à l’action de la Commission et inscription abusive de plusieurs clients dans le fichier central dit "retraits CB" géré par la Banque de France.

On apprend ainsi que cette décision a été prise à la suite de plusieurs plaintes adressées à la CNIL par des clients de cette banque qui contestaient leur inscription dans les fichiers centraux de la Banque de France . Un plaignant ayant pourtant payé sa dette, avait été maintenu à tort dans le fichier des incidents de remboursements de crédits aux particuliers (FICP). Ce n’est qu’après un an de démarches et deux contrôles sur place que la CNIL a enfin obtenu des explications sur les raisons de ce dysfonctionnement. D’autres plaignants avaient été inscrits dans le fichier de centralisation des retraits de cartes bancaires en l’absence semble-t-il d’incidents liés à l’utilisation de leur carte bancaire. Là encore la CNIL n’a pu obtenir d’explications claires et précises de la banque quant à la conformité de ces inscriptions à la réglementation bancaire applicable.

La délibération est accessible ici.

Première mise en oeuvre des pouvoirs de sanction de la CNIL ?

Depuis la loi du 6 août 2004, la Commission nationale de l'informatique et des libertés (CNIL) est dotée de pouvoirs de sanctions administratives.

En application de l'article 45 et 47 de la loi du 6 janvier 1978 modifiée, la CNIL peut, après une mise en demeure restée infructueuse, prononcer à l'encontre de toute personne physique ou morale de droit privée une sanction pécuniaire. Celle-ci ne peut excéder 150.000 euros lors du premier manquement.

En outre, l'article 46 de la loi prévoit que "en cas de mauvaise foi du responsable du traitement", la CNIL peut ordonner l'insertion des sanctions qu'elle prononce dans des publications, journaux et supports qu'elle désigne.

Or, selon Les Echos et La Tribune datés d'hier, un tel avis vient d'apparaître dans le Figaro du 15 août 2006. Selon les deux quotidiens financiers, la CNIL aurait condamné le Crédit Lyonnais à une amende de 45.000 euros. Selon cet avis, la banque était accusée d'avoir "entravé l'action de la CNIL" en lui adressant des informations erronées. En outre, la CNIL semble avoir relevé l'inscription de façon abusive de plusieurs des clients de la banque dans le fichier centralisant le nom des personnes dont la carte bancaire a été retirée pour usage abusif.

Le site de la CNIL est pour l'heure silencieux sur cette sanction. Mais si l'information se confirme, il semblerait que ce soit la première fois que la CNIL fait usage de ses pouvoirs de sanction pécunaire (et elle le fait savoir !).