Contrôle de l’existence d’un appel en cours pendant l’utilisation d’une application bancaire : comment respecter la réglementation ?

Les fraudes par manipulation, c’est-à-dire par lesquelles des victimes sont poussées à réaliser des opérations bancaires qu’elles n’autoriseraient pas en temps normal, augmentent ces dernières années.

Pour lutter contre ces pratiques, les banques mettent en place différentes mesures. En complément des actions de sensibilisation des clients à ce type de fraudes (rappels périodiques de messages de sensibilisation dans l’application, campagnes nationales, etc.), certaines banques cherchent à détecter si une personne est en ligne au moment d’une opération bancaire comme par exemple lors de l’ajout d’un nouveau bénéficiaire ou de la réalisation d’un virement bancaire.

L’objectif ? Repérer les situations à risque lors desquelles une victime pourrait être en train d’agir sous l’influence d’un fraudeur afin d’afficher un message d’alerte ou bloquer l’opération à temps.

Comment fonctionne ce dispositif ?

Certaines banques souhaitent accéder à certaines informations liées aux appels téléphoniques de leurs clients. Elles souhaitent ainsi détecter si un appel est en cours pendant l’utilisation des services bancaires au moyen de l’application mobile qu’elles proposent.

Ces informations, combinées à d’autres signaux de vigilance (montant de l’opération, ajout d’un nouveau bénéficiaire, virement vers un pays à risque ou activité inhabituelle), permettent à la banque de calculer un score de risque en temps réel. Si ce score dépasse un certain seuil, la banque peut décider d’afficher un message d'alerte ou de bloquer temporairement l’opération afin de prévenir une éventuelle fraude, notamment dans les cas où la victime agirait sous l’influence d’une personne malveillante / un fraudeur au téléphone.

Ce dispositif aide à prévenir les fraudes, mais il ne doit pas permettre d'écouter ni d’enregistrer les conversations téléphoniques. Il ne doit que détecter s'il y a un appel en cours, sans jamais accéder au contenu de la conversation.

Dans quelles conditions ce type de dispositif peut-il être mis en œuvre ?

Lutter contre la fraude

Les professionnels du secteur sont soumis à diverses obligations qui leur imposent de lutter contre la fraude et de protéger leurs clients. Pour cela, ils doivent mettre en place des outils pour repérer les situations frauduleuses et vérifier que les opérations demandées par les clients sont bien autorisées.

L’authentification renforcée pour certaines opérations bancaires, telles que les paiements en ligne, bien qu’essentielle, ne permet pas de protéger l’utilisateur contre certains scénarios de fraude (notamment lorsqu’ils reposent sur une action volontaire de sa part).

Le dispositif décrit précédemment a vocation à compléter ceux existants pour lutter contre la fraude protéger la clientèle.

Recueillir un consentement libre des utilisateurs

Le consentement est nécessaire pour accéder aux informations stockées sur le terminal

La collecte des informations liées aux appels téléphoniques implique d’accéder à des informations stockées sur le terminal mobile de l’utilisateur. Ainsi, les établissements bancaires devront recueillir le consentement des personnes puisque l’accès à ces données, bien que légitime, n’est pas strictement nécessaire à la fourniture du service demandé par l’utilisateur (article 82 de la loi Informatique et Libertés) :

• La sécurisation du service bancaire grâce à l’accès à ces informations vise à détecter en temps réel des situations à risque afin de prévenir une tentative de fraude et de protéger le client contre des escroqueries. Mais ce dispositif n’est pas uniquement conçu pour protéger l’utilisateur : il permet aussi à la banque de garder des informations qui pourront être utilisées plus tard pour vérifier si le client a commis une négligence grave qui l’a conduit à se faire escroquer, lui permettant ainsi de lever son obligation de remboursement.
   
• L’accès aux données ne peut pas être considéré comme strictement nécessaire car le service bancaire demandé peut fonctionner sans cela. La lutte contre la fraude, bien que légitime, ne justifie pas automatiquement l’usage de traceurs. Or, l’accès à ces données n’est ni exigé par la loi ni utilisé de manière systématique par toutes les banques, ce qui confirme qu’il existe d’autres moyens de lutter contre ce type de fraudes.

Une fois le consentement recueilli pour l’accès aux données, l’intérêt légitime peut fonder le traitement des données à des fins de lutte contre la fraude sous réserve que le traitement soit nécessaire et qu’il présente des garanties pour limiter les risques pour les personnes.

Un accès aux données qui ne doit pas être imposé pour accéder à l’application

L’utilisateur doit pouvoir choisir librement de consentir ou non : l’accès à l’application ne doit pas lui être refusé parce qu’il ne veut pas partager ses données d’appel téléphonique.

• Seules les fonctionnalités réellement exposées à la fraude par manipulation peuvent être limitées.
  
  Cela se justifie par l’intérêt de protéger les utilisateurs en les alertant ou en bloquant une fonctionnalité jugée risquée. Ainsi, la collecte des données doit intervenir uniquement quand l’utilisateur souhaite activer une fonctionnalité qui justifie de tenir compte de l’existence d’un appel pour évaluer le risque de fraude. La CNIL recommande d’identifier les finalités les plus exposées en fonction d’une analyse de risques documentée.
  
  Pour que le consentement soit donné librement, ces fonctionnalités doivent cependant rester accessibles par d’autres canaux (site internet, par téléphone, agences, etc.) : les services qui y sont associés doivent être fournis de manière adaptée compte tenu des spécificités de chaque fonctionnalité, des contraintes organisationnelles, des besoins des clients, etc. La CNIL recommande de distinguer les fonctionnalités d’usage courant et les fonctionnalités exceptionnelles :
  • Celles qui sont d’usage courant doivent être accessibles depuis le site internet car elles doivent pouvoir être utilisées avec une facilité comparable.
     
  • Celles qui sont d’usage plus exceptionnel / ponctuel peuvent être accessibles par d’autres moyens que le site internet, par téléphone ou en agence par exemple.
• Les autres opérations (par exemple, consulter ses comptes), doivent rester accessibles au sein de l’application bancaire, même si l’utilisateur refuse l’accès aux données liées aux appels téléphoniques.

Enfin, la CNIL recommande que la demande de permission soit déclenchée pendant l’utilisation de l’application et non lors de son installation, afin de contextualiser les demandes de consentement. Comme indiqué dans la recommandation relative aux applications mobile, les informations liées à cette permission devraient, à titre de bonne pratique, être disponibles avant l’installation de l’application.

Un moyen parmi d’autres de protéger les utilisateurs

L’accès aux informations liées aux appels téléphoniques n’est pas le seul moyen de protéger les clients. Différents outils peuvent être envisagés, à la place ou en complément de ce dispositif : rappel périodique de sensibilisation dans l’application bancaire, campagne nationale pour sensibiliser les clients, écrans spécifiques s’affichant dans l’application lors de la validation d’un paiement afin de demander si le client est au téléphone avec son (prétendu) conseiller bancaire, etc.

Minimiser les données collectées

Pour respecter le principe de minimisation des données, les établissements bancaires ne doivent traiter que les données nécessaires pour évaluer le risque de fraude : il s’agit, en principe, de l’existence d’un appel et sa durée. Cela doit rester le cas même si l’autorisation donnée par le biais la permission technique permet, en théorie, d'accéder à plus d’informations.

En outre, lorsque plusieurs permissions techniques permettent d’accéder à ces données minimales, les établissements bancaires doivent choisir la permission la plus ajustée à ce besoin et non celle qui donnerait accès à plus d’informations « au cas où », pour un usage futur.

Informer les personnes

Les différentes mentions d’information communiquées aux personnes concernées doivent être mises à jour (politique de confidentialité, encarts spécifiques, etc.). Il faut en particulier informer les personnes concernées des conséquences en cas de refus de leur part (blocage de certaines fonctionnalités, par exemple). Elles doivent, dans ce cas, être redirigées vers les autres moyens mis à leur disposition pour accéder aux fonctionnalités éventuellement bloquées.

Permettre le retrait du consentement et un droit d’opposition

Les banques doivent faciliter l’exercice des droits, en mettant à disposition de leurs clients des dispositifs ergonomiques et compréhensibles, comme par exemple un centre de gestion des droits (voir les recommandations design de la CNIL)

Plus particulièrement :

• Les personnes concernées doivent pouvoir retirer le consentement pour l’accès aux données liées aux appels téléphoniques aussi facilement qu’elles l’ont donné.

Un simple renvoi aux paramètres du téléphone n’est pas suffisant : les personnes concernées doivent pouvoir retirer leur consentement directement depuis un lien accessible sur l’application.

Les personnes concernées doivent être informées de la portée de leur choix et notamment des fonctionnalités bloquées suite au retrait du consentement, de même que des alternatives pour réaliser leurs opérations (sur le site internet, par téléphone ou en agence).  

• Les personnes concernées doivent pouvoir s’opposer à la conservation de leurs données personnelles pour des raisons qui leur sont propres, notamment lorsque les données personnelles sont utilisées à des fins d’amélioration du dispositif.

Les banques peuvent toutefois refuser d’y donner suite si elles justifient des motifs légitimes et impérieux.

Respecter les durées de conservation des données

Les données peuvent être conservées pendant 13 mois à compter de la date de paiement ou de débit du compte lorsque l’opération a été autorisée, afin de répondre aux réclamations des clients (article L. 133-24 du CMF) et aux demandes des régulateurs et des autorités compétentes.

Lorsque l’opération n’a pas été bloquée, les banques peuvent vouloir conserver les données personnelles, par exemple pour améliorer le dispositif. Dans ce cas, les données nécessaires pourront être conservées pendant une durée adaptée à l’objectif poursuivi sous réserve, en principe, du consentement des personnes pour cette finalité distincte, conformément à l’article 82 de la loi Informatique et Libertés.

La recommandation relative aux applications mobiles contient de nombreuses recommandations pour accompagner les acteurs dans le développement d’applications respectueuses de la vie privée (par exemple en matière de sécurité, pour contrôler les organismes qui peuvent accéder aux données, etc.).