Protection des données bancaires dans la vente à distance : conservation, sécurité et consentement

La CNIL précise les garanties applicables au stockage et à l’utilisation du numéro de carte bancaire dans la vente à distance. La finalité première est la réalisation du paiement. Toute autre utilisation, notamment à des fins d’identification commerciale après la transaction, suppose le consentement de la personne concernée lorsqu’une conservation est maintenue au-delà du temps nécessaire.

Le traitement doit être déclaré à la CNIL conformément à l’article 16 de la loi du 6 janvier 1978, et les personnes doivent recevoir une information complète sur les finalités, les destinataires, le caractère obligatoire ou facultatif de la collecte et leurs droits, conformément aux articles 25, 26 et 27 de cette loi. Un fichier antifraude peut être légitime s’il fait l’objet d’une déclaration spécifique, d’une information claire et d’un droit d’opposition pour motifs légitimes. Il ne peut toutefois fonder à lui seul une décision privée appréciant le comportement humain, en application de l’article 2 de la même loi.

La sécurité doit être adaptée aux risques, conformément à l’article 17 de la directive 95/46 et à l’article 226-17 du Code pénal. La CNIL recommande notamment de ne pas conserver le cryptogramme visuel, de limiter les habilitations, de tronquer les numéros et de chiffrer irréversiblement les données après paiement.

La conservation ne peut excéder la durée nécessaire à la transaction ou à la lutte contre la fraude. Le dépassement de la durée déclarée est sanctionné par l’article 226-20 du Code pénal. Les numéros périmés doivent être supprimés régulièrement.

⬇️Télécharger la décision version officielle

La recommandation encadre la collecte, la conservation et l’utilisation des numéros de carte bancaire par les professionnels de la vente à distance. Elle distingue le paiement des usages commerciaux et de lutte contre la fraude, et précise les obligations d’information, de consentement, de sécurité et de recours à des sous-traitants. Elle préconise notamment de ne pas conserver le cryptogramme visuel, de limiter les accès, de chiffrer les données et de supprimer les numéros périmés.

La Commission nationale de l’informatique et des libertés adopte une recommandation concernant la collecte, le stockage et l’utilisation du numéro de carte bancaire par les professionnels de la vente à distance. Le texte vise les cartes « CB » utilisées pour payer un bien ou un service sans présence physique simultanée des parties.

La recommandation distingue la finalité de paiement des usages d’identification commerciale et de lutte contre la fraude. Elle encadre la déclaration du traitement, l’information des personnes, le consentement, le droit d’opposition, la sécurité des données et le recours à des sous-traitants.

Elle préconise notamment l’absence de conservation du cryptogramme visuel, la limitation des accès, le chiffrement irréversible après transaction et la suppression des numéros périmés. La durée de conservation doit rester nécessaire à la transaction ou à la prévention de la fraude.

• Déclarer précisément le traitement et sa finalité à la CNIL.
• Recueillir le consentement pour l’identification commerciale après transaction.
• Informer clairement les personnes sur la collecte et leurs droits.
• Permettre l’opposition pour motifs légitimes dans un fichier antifraude.
• Mettre en œuvre des mesures de sécurité adaptées aux risques.
• Limiter la conservation à la durée nécessaire à la finalité.

• Déclaration spécifique du fichier de lutte contre la fraude.
• Information claire des personnes fichées sur le traitement.
• Consentement recueilli pour l’identification commerciale prolongée.
• Mesures techniques et organisationnelles de sécurité documentées.
• Procédures de suppression des numéros périmés.

Les professionnels doivent limiter l’utilisation du numéro de carte bancaire au paiement ou à une finalité déclarée et justifiée. Les personnes concernées bénéficient d’une information complète, de droits d’accès, de rectification et d’opposition, tandis que les traitements insuffisamment sécurisés ou conservés trop longtemps exposent leur responsable à des sanctions.

• Déclaration CNIL adaptée à chaque finalité
• Consentement pour l’identification commerciale prolongée
• Suppression du CVV2 et chiffrement irréversible
• Accès limité aux seuls salariés habilités
• Effacement des numéros périmés ou devenus inutiles

À faire

• Déclarer chaque traitement avec sa finalité précise.
• Informer clairement les personnes et recueillir leur consentement nécessaire.
• Mettre en place un droit d’opposition facilement accessible.
• Limiter les habilitations et tronquer les numéros affichés.
• Supprimer les données dès expiration de la finalité.

À éviter

• Conserver le cryptogramme visuel de la carte.
• Utiliser le numéro comme identifiant sans consentement.
• Fonder un refus de vente sur un profil automatisé.
• Stocker les données sans mesures de sécurité adaptées.
• Conserver les numéros au-delà de la durée déclarée.

Les finalités du traitement du numéro de carte bancaire

La finalité première est le paiement d’une transaction. Une conservation au-delà de cette opération à des fins d’identification commerciale est subordonnée au consentement de la personne concernée. Un fichier antifraude peut être légitime sous réserve d’une déclaration spécifique, d’une information claire et d’un droit d’opposition pour motifs légitimes.

Les obligations d’information et de déclaration

Le traitement doit être déclaré à la CNIL conformément à l’article 16 de la loi du 6 janvier 1978. Les personnes doivent être informées des finalités, du responsable, des destinataires, du caractère obligatoire ou facultatif des réponses, ainsi que des droits d’accès, de rectification et d’opposition, conformément aux articles 25, 26 et 27 de cette loi et à l’article 10 de la directive 95/46.

Les exigences de sécurité et de conservation

L’article 17 de la directive 95/46 impose des mesures techniques et organisationnelles adaptées aux risques. La CNIL recommande de ne pas conserver le CVV2, de limiter les habilitations, de tronquer les numéros et de les chiffrer irréversiblement après paiement. La conservation ne doit pas excéder la durée nécessaire à la transaction ou à la lutte contre la fraude.

Article 9 du Code civil, Article L. 121-16 du Code de la consommation, Articles 225-1 à 225-3 du Code pénal, Article 226-1 du Code pénal, Articles 226-16 à 226-24 du Code pénal, Article 226-17 du Code pénal, Article 226-20 du Code pénal, Loi n° 78-17 du 6 janvier 1978