Conservation des données bancaires : consentement, durée de conservation et sécurité exigés par la CNIL

La conservation des coordonnées bancaires au-delà de la transaction ne relève pas de l’exécution du contrat de vente prévue par l’article 7, 4° de la loi du 6 janvier 1978 lorsqu’elle constitue un service autonome de portefeuille électronique. L’intérêt légitime de l’article 7, 5° impose une mise en balance renforcée en raison de la sensibilité des données. L’information et la faculté d’effacement ultérieur ne suffisent pas : le consentement doit être recueilli.

L’article 6, 5° impose une durée de conservation n’excédant pas celle nécessaire à la finalité poursuivie. L’absence de durée précise et de mécanisme de purge caractérise le manquement pour les comptes inactifs et les données bancaires. Le stockage temporaire des cryptogrammes peut être légitime jusqu’à l’autorisation de paiement, mais leur conservation massive après transaction ne l’est pas.

L’article 34 impose toutes précautions utiles au regard de la nature des données et des risques. Le stockage en clair, dans une même base, des numéros, dates d’expiration et cryptogrammes, associé à une mesure de protection facilement réversible et à des habilitations insuffisamment délimitées, ne satisfait pas cette obligation. L’absence d’intrusion avérée ne constitue pas une défense probante. Ces manquements justifient un avertissement et la publicité de la décision sur le fondement des articles 45 et suivants.

⬇️Télécharger la décision version officielle

Une société de vente à distance conservait des données bancaires, des comptes clients anciens et plus de 780 000 cryptogrammes visuels. Les données étaient regroupées en clair, protégées de manière réversible et accessibles selon des habilitations insuffisamment définies. La CNIL a également relevé l’absence de consentement spécifique et de purge effective des comptes inactifs. Elle a prononcé un avertissement public pour plusieurs manquements.

La société X, spécialisée dans la vente à distance, exploitait des bases relatives aux commandes et aux comptes clients. Un contrôle de la CNIL a révélé la conservation de coordonnées bancaires, de comptes clients anciens et de cryptogrammes visuels.

La société conservait les données bancaires pour proposer un portefeuille électronique, sans recueillir de consentement spécifique. Elle détenait également des comptes inactifs depuis plusieurs années, sans durée de conservation précise ni mécanisme de purge définitive. Plus de 780 000 cryptogrammes étaient encore enregistrés.

Les données bancaires étaient regroupées en clair dans une même base, avec une protection facilement réversible et des habilitations insuffisamment définies. La société invoquait notamment l’information des clients, l’effacement possible, l’absence d’intrusion et la migration vers un prestataire spécialisé.

Après contrôle, rapport et observations écrites et orales, la formation restreinte de la CNIL a retenu plusieurs manquements et prononcé un avertissement, rendu public.

• Identifier une conservation des données au-delà de la transaction commerciale.
• Vérifier que le traitement constitue un service autonome de portefeuille électronique.
• Recueillir le consentement lorsque l’information et l’effacement ex post sont insuffisants.
• Définir une durée adaptée à chaque finalité de traitement.
• Mettre en œuvre une purge manuelle ou automatisée des données devenues inutiles.
• Adapter les mesures de sécurité à la sensibilité et au volume des données.
• Délimiter précisément les habilitations et empêcher les accès non autorisés.

• Bases contenant les noms, numéros et dates d’expiration des cartes bancaires.
• Environ 19,5 millions de comptes clients, dont certains inactifs depuis 1999.
• Plus de 780 000 cryptogrammes visuels conservés après des transactions révolues.
• Absence de purge définitive ou de durée de conservation précisément définie.
• Regroupement en clair des données bancaires dans une même base.
• Reconstitution aisée des numéros par conversion des valeurs hexadécimales.

La société encourt un avertissement et la publicité de la décision lorsqu’elle conserve des données bancaires sans consentement, sans durée précise et avec des protections insuffisantes. Les clients concernés disposent d’une protection renforcée de leurs données, tandis que l’entreprise doit revoir ses bases, ses habilitations et ses mécanismes de purge.

• Exclusion de l’exécution du contrat de vente comme fondement suffisant.
• Obligation de recueillir un consentement spécifique pour le portefeuille électronique.
• Définition de durées de conservation adaptées aux finalités poursuivies.
• Purge des comptes inactifs et des cryptogrammes après le délai nécessaire.
• Renforcement du cloisonnement, du chiffrement et des habilitations d’accès.

À faire

• Recueillir un consentement distinct pour la conservation bancaire prolongée.
• Définir une durée de conservation pour chaque catégorie de données.
• Automatiser la purge des comptes et cryptogrammes devenus inutiles.
• Externaliser ou sécuriser le traitement des paiements auprès d’un prestataire spécialisé.
• Documenter les habilitations, accès et contrôles de sécurité.

À éviter

• Conserver les données bancaires sur le seul fondement du contrat de vente.
• Stocker numéros, dates et cryptogrammes en clair dans une base unique.
• Se limiter à une information et à un effacement ex post.
• Maintenir des comptes inactifs sans durée ni purge définies.
• Invoquer l’absence d’intrusion pour justifier des mesures insuffisantes.

Le consentement à la conservation des données bancaires

La conservation au-delà de la transaction alimentait un service autonome de portefeuille électronique, distinct de la vente initiale. L’article 7, 4° de la loi du 6 janvier 1978 ne pouvait donc être invoqué. L’intérêt légitime de l’article 7, 5° ne suffisait pas : compte tenu de la sensibilité des données, l’information et l’effacement ex post ne constituaient pas des garanties renforcées. Le consentement des personnes était requis.

La durée nécessaire de conservation des données

L’article 6, 5° de la loi du 6 janvier 1978 impose une durée n’excédant pas celle nécessaire aux finalités poursuivies. La société n’avait défini aucune durée précise ni mis en place de purge pour les comptes inactifs et les données bancaires. La conservation pouvait dépasser treize mois pour permettre la défense contre les recours bancaires, mais l’absence de règle interne précise constituait néanmoins un manquement. Les cryptogrammes ne pouvaient être conservés que pendant le délai nécessaire à l’autorisation de paiement.

La sécurité et la confidentialité des données bancaires

L’article 34 de la loi du 6 janvier 1978 impose les précautions utiles au regard de la nature des données et des risques. Le regroupement en clair des numéros, dates d’expiration et cryptogrammes, leur accessibilité potentielle et une protection facilement réversible révélaient un risque excessif. La société ne précisait pas suffisamment le périmètre des habilitations. L’absence d’intrusion antérieure ne démontrait pas le respect de cette obligation.

Article 7 de la loi n° 78-17 du 6 janvier 1978, Article 6, 5° de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Articles 45 et suivants de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Article 75 du décret n° 2005-1309 du 20 octobre 2005, Article 79 du décret n° 2005-1309 du 20 octobre 2005, Article L. 133-24 du Code monétaire et financier