Versión clásicaVersión móvil
OpenEdition Books

Un monde sous surveillance ?

 | 
Émilie Labrot
, 
Philippe Ségur

I – La traçabilité croisée de l'individu

La carte bancaire, l’individu sur les comptes

Sébastien Yernaux

Texto completo

  • 1 Allocution prononcée par Raymond Forni, Président de l’Assemblée nationale lors de l’ouverture du (...)
  • 2 http://www.becompta.be/modules/dictionnaire/543-comptable-carte-bancaire.html, le 15 février 2010

1« A moins de vivre comme Diogène ou comme Siméon stylite, l’homme contemporain est maintenant un individu perpétuellement repérable. Avec la carte bancaire et les paiements dont elle est la première fonction, on peut connaître vos habitudes alimentaires, vos goûts en matière de loisirs et, pour peu que vous régliez vos péages d’autoroutes avec ce petit rectangle de plastique, la nature de vos déplacements »1. La carte bancaire est probablement l’un des moyens de paiements les plus utilisés aujourd’hui. Quasiment tout le monde en possède une et l’utilise très fréquemment. Pour autant, même si ce système de paiement est très utilisé, il faut, au préalable, en donner une définition afin de mieux comprendre l’objet même de ce travail. « Une carte bancaire est un type de moyen de paiement sous forme de carte plastique, équipée d’une bande magnétique et/ou puce électronique, qui permet : le paiement d’achats et prestations de services, auprès de fournisseurs possédant un « terminal de paiement » pouvant lire la carte et connecté ou non à sa banque ou dans un appareil de distribution automatique ; les retraits d’espèces aux distributeurs de billets ; le télépaiement internet, etc. »2

  • 3 Loi no 91-1382 du 30 décembre 1991 relative à la sécurité des chèques et des cartes de paiement, N (...)
  • 4 Ibid.
  • 5 Code monétaire et financier, Articles L141-1 et suivants.

2Après cette définition technique de la carte bancaire, il faut maintenant en donner une définition juridique. C’est ainsi que selon la loi du 30 décembre 1991 relative à la sécurité des chèques et des cartes de paiement est inséré un article 57-1 au décret du 30 octobre 1935 qui définit la carte bancaire comme : « Constitue une carte de paiement toute carte émise par un établissement de crédit ou par une institution ou un service mentionné à l’article 8 de la loi 84-46 du 24 janvier 1984 relative à l’activité et au contrôle des établissements de crédit et permettant à son titulaire de retirer ou de transférer des fonds. Constitue une carte de retrait toute carte émise par un établissement, une institution ou un service visé au premier alinéa et permettant exclusivement à son titulaire de retirer des fonds »3. Cette loi insère également un article 57-2 au décret du 30 octobre 1935 qui prévoit que : « L’ordre ou l’engagement de payer donné au moyen d’une carte de paiement est irrévocable. Il ne peut être fait opposition au paiement qu’en cas de perte ou de vol de la carte, de redressement ou de liquidation judiciaire du bénéficiaire »4. Mais la carte bancaire ou carte de paiement était également définie comme étant « un document de format standardisé émis par des banques ou des grands magasins, permettant à son titulaire soit de régler facilement des achats ou des prestations de services chez les commerçants affiliés, soit d’obtenir des espèces auprès des établissements bancaires émetteurs. La carte de paiement est personnelle à son titulaire »5.

3Ainsi, la carte bancaire a été introduite légalement en droit français depuis 1991. Mais son existence remonte à quelques années auparavant. En effet, la première fois où elle fait son apparition est en 1914 aux États-Unis où elle n’est encore qu’un support d’identification. La première véritable carte de crédit apparaît en 1951 et est créée par la Franklin National Bank. Mais la première carte de paiement à proprement parler sort en 1953 où elle n’est encore qu’une carte en carton. Pour voir l’apparition de la carte bancaire en France, il faudra attendre 1967. Au début, la carte bancaire reste un moyen très limité et très peu utilisé et ce pour diverses raisons. En premier lieu, il faut souligner le fait que les bandes magnétiques ne seront installées sur les cartes de paiement qu’à partir des années 1971. Ensuite, au début la carte reste un simple moyen d’identification, car les puces qui sont dorénavant sur chacune des cartes actuelles n’existaient pas. De plus, pour pouvoir lire la carte bancaire, soit avec la bande magnétique soit avec la carte à puce, il faut un terminal qui le permet. Mais ce terminal coûtait très cher et donc peu de commerçants s’en équipaient.

  • 6 Convention européenne des droits de l’Homme, Article 8.

4Par la suite cela va se généraliser jusqu’à devenir l’un des moyens de paiement le plus utilisé au monde. Cela étant, chaque progrès technologique a son revers de médaille. Actuellement, le respect et la protection de la liberté individuelle est de plus en plus clamée, réclamée et proclamée. Pour autant, avec les innovations technologiques, cette liberté est remise en question à chaque utilisation des technologies. En effet, avec la carte bancaire, un individu peut être repéré à partir du moment où il utilise sa carte. Mais là n’est pas la seule dérive qui est induite par l’utilisation de la carte bancaire. En effet, la puce de la carte reprend une quantité très importante de données à caractère personnel. Normalement, ces données font partie du cadre de la vie privée qui est consacrée par l’article 8 de la convention européenne des droits de l’Homme qui dispose que : « toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance »6. Alors que ces droits sont consacrés au panthéon des droits fondamentaux, ils sont sans cesse et de plus en plus menacés. En effet, le simple fait de souscrire à une carte de paiement opère un transfert des données personnelles à la banque. Grâce à ces données, la banque va créer un fichier nous correspondant et dans lequel on retrouve la situation familiale, les revenus, l’état des comptes et bien d’autres informations personnelles. Mais les banques ne sont pas les seuls organismes à posséder un fichier sur chaque individu. En effet, lorsqu’un individu souscrit à une assurance, le fichier lui correspondant reprend son état de santé, sa situation professionnelle afin de calculer les risques qu’il encourt. Ces données, censées être confidentielles, sont à la merci de tout pirate suffisamment doué ou équipé pour pouvoir la pirater. Ces données pourront alors servir à divers usages. Le pirate pourra soit utiliser les données qu’il a subtilisées et ce pour détourner des fonds soit il pourra les vendre aux plus offrants. Ces pratiques se multiplient de plus en plus et ne cessent de croitre avec les progrès technologiques.

  • 7 http://fr.wikipedia.org/wiki/Scoring, le 15 février 2010.

5En plus de cette menace que représente le piratage, il y a également une autre technique qui relève du seul but commercial. Cette technique est appelée le scoring. « En marketing, le scoring est une méthode qui consiste à affecter une note (un « score ») à chaque client potentiel d’une base de données afin de cibler et prospecter avec une meilleure efficacité. Ce score peut être déterminé à partir de données externes ou de données calculées à partir de comportements. Une des tâches du marketing est de détecter ce futur client pour le convertir en client actuel. La détection passe par un certain nombre d’actions : annonces dans les médias, envoi de messages écrits par publipostage ou démarchages téléphoniques, participation de la force de vente à des foires et des salons. La conversion est recherchée en présentant les produits aux prospects identifiés, en répondant aux questions et aux critiques éventuelles et en finalisant la négociation qui va opérer la conversion du prospect en client »7. Pour arriver à fidéliser le client, les magasins utilisent le scoring afin de déterminer à quel genre de client ils ont à faire. Pour dresser ce fichier ils conservent toutes les opérations qu’un individu a réalisé dans leur magasin, la fréquence, le montant, le type d’achats et ce dans le but de fournir une publicité adaptée à chaque client de manière à le pousser à revenir dans le magasin.

6L’intérêt de ce sujet est donc de monter si l’individu est vraiment libre en raison de la simplicité de sa traçabilité et des menaces réelles qui pèsent sur lui en raison notamment des fraudes mais également en raison des avancées technologiques. Ainsi, il s’agira de se demander si le respect à la vie privée est un droit effectif à une époque où les avancées technologiques ne cessent de croître de façon exponentielle ? Et si chaque acte individuel à caractère financier, aussi banal soit-il, est l’œuvre du libre-arbitre ou s’il est guidé par les entreprises, grandes surfaces ou tout autre organisme tant privé que public ?

7Pour tenter de répondre à cette question, il sera envisagé dans une première partie, la traçabilité de l’individu ou le jeu de piste financier (I) et dans une seconde partie, l’innovation technologique comme menace croissante pour la vie privée (II).

I - La traçabilité de l’individu ou le jeu de piste financier

8Alors que l’utilisation de la carte bancaire, de nos jours, apparaît comme une expression de la liberté de chacun d’acheter et de consommer, cela est vrai mais reste dans le domaine de la théorie. En effet, dans la pratique, de l’utilisation de la carte bancaire découle une surveillance accrue de l’individu de part l’existence de nombreux fichiers recensant une quantité très importante de données personnelles (A). De plus, l’utilisation et l’existence même des ces fichiers peuvent avoir des conséquences très néfastes sur la vie quotidienne (B).

A/ La surveillance de l’individu à l’aide d’une multitude de fichiers financiers

  • 8 CNIL, Banque-crédit : êtes-vous fichés ?, Guide pratique, 2007.

9Pour obtenir le droit de posséder une carte bancaire, chaque individu doit, au préalable, remplir un dossier auprès de l’organisme bancaire de son choix. Dans ce dossier vont apparaître : « des données d’identification : nom, prénoms, date et lieu de naissance, nationalité, adresse postale, numéro de client, coordonnées téléphoniques (facultatif), adresse électronique (facultatif) ; mais également des données liées à la gestion des produits et services souscrits ou demandés : situation professionnelle, situation familiale, revenus, score calculé pour l’obtention d’un crédit, note de risque attribuée au client, segment de clientèle (notamment pour vous adresser des offres commerciales adaptées), opérations effectuées sur vos comptes (pour éditer les relevés de compte par exemple), litiges ou difficultés passés ou en cours (inscription dans un fichier de la Banque de France, saisie sur salaire, surendettement…), existence d’une mesure de protection (tutelle, curatelle), résumé des entretiens avec votre chargé de clientèle »8.

  • 9 Code monétaire et financier, Articles L141-1 et suivants.

10Maintenant que l’individu a ouvert son compte, il va faire l’objet d’une très grande traçabilité non seulement par l’utilisation de sa carte bancaire, grâce à laquelle la banque pourra suivre tous ces mouvements de compte, le type de dépenses réalisées,… Mais en plus de cette traçabilité due à l’utilisation de la carte bancaire, il y a aussi un suivi réalisé suite à l’usage des chèques émis et/ou reçus. Suite à l’observation de tous ces mouvements, la banque, en cas de problème, peut décider d’inscrire son client à la Banque de France. La banque de France est : « l’institution centrale du système monétaire et bancaire français. La Banque de France fait partie intégrante du Système européen de banques centrales, institué par l’article 8 du traité instituant la Communauté européenne, et participe à l’accomplissement des missions et au respect des objectifs qui sont assignés à celui-ci par le traité. Dans ce cadre, et sans préjudice de l’objectif principal de stabilité des prix, la Banque de France apporte son soutien à la politique économique générale du Gouvernement. Dans l’exercice des missions qu’elle accomplit à raison de sa participation au Système européen de banques centrales, la Banque de France, en la personne de son gouverneur ou de ses sous-gouverneurs, ne peut ni solliciter ni accepter d’instructions du Gouvernement ou de toute personne »9. Donc si une banque décide d’inscrire un de ces clients à la Banque de France, cette dernière ne pourra pas vérifier le bien fondé de cette inscription.

  • 10 CNIL, Banque-crédit : êtes-vous fichés ?, op. cit.

11La Banque de France possède différents types de fichiers sur chaque individu qui y est inscrit. Ces dossiers sont : « Le Fichier Central des Chèques (FCC) centralise les interdictions d’émettre des chèques, prononcées par votre banque ou par la Justice, à la suite de l’émission de chèques sans provision. Le Fichier Central des Chèques – volet « carte bancaire » est un « sous fichier » du FCC. Il met à la disposition des banques des informations sur les personnes dont les cartes bancaires ont été retirées à la suite d’incidents qui résultent directement de l’utilisation abusive de la carte (absence de provision disponible sur le compte au moment du débit). Les informations enregistrées sont les noms, prénoms, sexe, date et lieu de naissance de la personne fichée, le nom de l’organisme ayant demandé l’inscription, la date et la nature de l’incident. Ces informations sont conservées pendant 2 ans à défaut de régularisation de l’incident »10.

  • 11 Ibid.

12En plus de ces différents fichiers directement en rapport avec la carte bancaire, la Banque de France possède d’autres fichiers dont le rapport avec la carte bancaire est de prime abord indirect mais où les interdits bancaires figurent quand-même. C’est ainsi que : « le Fichier National des Chèques Irréguliers (FNCI) recense les oppositions sur chèques pour perte ou vol, les comptes clôturés et les interdictions bancaires ou judiciaires d’émettre des chèques. Le Fichier national des Incidents de remboursement des Crédits aux Particuliers (FICP) recense les informations sur les « incidents de remboursement caractérisés » liés aux crédits accordés aux particuliers. Ces informations sont conservées pendant 5 ans pour un incident de remboursement, sauf régularisation de l’incident. En cas de régularisation de l’incident, les informations doivent être supprimées du fichier par la Banque de France dès qu’elle en est informée par le créancier »11.

  • 12 X. Delpech, « Sanction d’une banque par la CNIL pour inscription abusive de clients aux fichiers d (...)

13Au regard de cette multitude de fichiers existant sur chaque individu et des conséquences qui peuvent en découler, tant au sein de leur banque qu’à la Banque de France, il est étonnant que cette dernière ne vérifie pas le bien fondé de l’inscription d’un client dans ses fichiers. C’est pourquoi, la CNIL a énoncé que « l’inscription d’une personne au FICP n’est régulière que si « elle est liée à des incidents de fonctionnement du compte qui résultent directement desdites cartes, nonobstant la faculté réservée à chaque établissement de crédit de prévoir contractuellement des conditions plus larges de blocage de l’utilisation d’une carte bancaire, ce blocage devant être strictement limité à un blocage interne à l’établissement de crédit concerné et non mutualisé à l’ensemble des établissements ayant accès au fichier mis en œuvre par la Banque de France »12.

14Mais pour autant, afin de ne pas diaboliser ce fichage de l’individu par les banques, il est nécessaire d’avancer le fait que ce fichage peut parfois s’avérer nécessaire afin d’assurer un ordre public économique mais surtout une sécurité économique. En effet, toute l’économie actuelle tant à l’échelle nationale que mondiale, passe par le secteur bancaire. Donc si un client d’une banque ne rembourse pas les emprunts qu’il a contracté au près de sa banque, cela pourrait, si le cas se généralisait à d’autres clients, conduire la banque à la faillite. Voilà pourquoi un certain nombre de données et de critères sont nécessaires à la banque afin de pouvoir octroyer un crédit. De plus, grâce au suivi des banques, celles-ci peuvent déterminer si le crédit demandé sera susceptible d’être remboursé. Par exemple, la consultation de la Banque de France par une banque permettra à cette dernière de s’assurer que le client n’est pas interdit bancaire.

  • 13 CNIL, Banque-crédit : êtes-vous fichés ?, op. cit.

15Mais ce fichage de l’individu est également rendu nécessaire afin de lutter contre la fraude telle que le blanchiment d’argent ou toute autre activité illicite. D’ailleurs, à ce sujet, la CNIL pose un certain nombre d’obligation aux banques et ce afin d’assurer la sécurité juridique de tout individu mais également de l’Etat. Dans ce sens, la CNIL précise que : « Les organismes financiers ont un devoir de vigilance, de surveillance et de dénonciation des faits dont ils ont connaissance en matière de trafic de stupéfiants, de corruption, d’activités criminelles organisées ou de financement du terrorisme. Afin de s’assurer de l’identité de leurs clients, ils doivent leur demander, lors d’une ouverture de compte ou d’une opération financière particulière (par exemple, l’envoi d’un mandat cash), de présenter une pièce officielle munie d’une photographie prouvant leur identité, et ils en prennent copie. Ces photocopies doivent être conservées pendant 5 ans après la fin des relations avec l’organisme financier »13.

16Cependant, en dehors de ces cas d’atteintes à l’ordre public économique et à la sécurité économique, la CNIL a quand-même dû intervenir pour réglementer les agissements des banques quant aux fichiers des clients car l’existence même de ces fichiers peut entrainer de très lourdes conséquences sur chaque individu.

B/ Les conséquences néfastes du fichage financier sur la vie quotidienne

17Devant une telle multiplication de fichiers contenant des nombreuses informations sur chaque individu, les conséquences qui en découlent peuvent être extrêmement néfastes.

  • 14 CNIL, Banque-crédit : êtes-vous fichés ?, op. cit.

18Pour rester compétitif sur un marché de plus en plus ouvert et donc étant de plus en plus soumis à la concurrence, de nombreuses banques multiplient leurs domaines d’action. C’est ainsi qu’un organisme qui, à la base n’exerçait que les fonctions d’un banque, va se retrouver à proposer des assurances et ce de manière plus ou moins directe. En effet, soit c’est la banque qui propose directement une assurance afin de protéger, par exemple, le client en cas de problème soit c’est une de ses filiales qui, suite à l’ouverte d’un compte ou à une demande d’octroi d’un crédit, va proposer au client des offres qui vont lui permettre de s’assurer en cas de problème. C’est ainsi le cas de l’assurance maladie, de l’assurance vie, d’une assurance chômage qui rembourserait un prêt en cas de licenciement. Si jamais, l’organisme assureur est une entité totalement distincte de la banque, cela représente, en soi, une menace de moindre importance que l’assureur qui est une filiale d’un grand groupe bancaire. En effet, le transfert d’informations personnelles d’une banque vers un assureur est soumis à différentes obligations dont la plus importante est le consentement de l’individu qui est concerné. En effet, la CNIL a indiqué que : « Les informations vous concernant qui sont enregistrées par votre banque ou votre organisme de crédit sont couvertes par le secret bancaire et ne peuvent être divulguées. De même, elles ne peuvent pas être utilisées pour autre chose que pour la gestion de vos comptes ou de vos crédits. Mais, votre banque ou votre organisme de crédit peut être la filiale d’un groupe financier, comportant d’autres banques, des sociétés de crédit, des compagnies d’assurance, etc. Sous certaines conditions, vos données peuvent être transmises aux autres sociétés du groupe afin de mieux gérer « le risque client » (ex. : possibilité qu’un client ne rembourse pas un crédit). Cette pratique n’est pas illégale, mais elle est encadrée »14. Donc, si la banque et l’assureur ne sont pas des filiales du même groupe, alors il y a de fortes chances que la demande d’autorisation et de consentement de l’intéressé soit réalisée.

19En revanche, si la banque et l’assureur font partie d’une même filiale, le risque que la banque transmette des données confidentielles à l’assureur est plus grand. Même si en théorie l’appartenance ou non à la même filiale est soumise aux mêmes règles, que se passerait-il si les informations personnelles étaient transmises de manière délibérée ou si les données qui ont été recueillies soit par la banque soit par l’assureur étaient mises dans un dossier accessible par tous dans l’intranet de la filiale dans un souci de plus grande efficacité afin de rester le plus compétitif possible.

  • 15 Convention européenne des droits de l’Homme, Article 8.

20Pour éclaircir ce point, il faut savoir que les informations demandées par les banques et par les assureurs sont différentes. En effet, une banque aura plutôt tendance à demander la situation professionnelle et familiale de l’individu alors que l’assureur demandera plutôt un bilan de santé, les risques que l’individu encourt de part sa localisation, son travail,…. Donc la menace qui pèse ici sur l’individu est qu’en cas de mise en commun de toutes ces données, tant l’organisme bancaire que l’organisme assureur connaitra quasiment tout de la vie de l’individu. Si une telle hypothèse se produisait, cela serait donc une atteinte ouverte et délibérée à l’article 8 de la convention européenne des droits de l’homme qui prévoit que « toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance15.

21A côté de ce risque de partage de données personnelles entre divers organismes financiers, il y a aussi le problème lié à l’inscription d’un individu à la Banque de France. En effet, à partir du moment où un individu est fiché à la banque de France pour des raisons de crédits impayés, ce dernier ne pourra plus prétendre à aucun emprunt tant qu’il n’aura pas régularisé sa situation. Même s’il va voir une autre banque que la sienne, cette dernière a peu de chance de lui octroyer le crédit demandé en raison du fait qu’il est fiché à la Banque de France et que ce fichier est consultable par tous les organismes prêteurs de fonds. Généralement, ce point ne soulève que peu de remarques car il est présenté comme étant dans l’intérêt du client afin de lui éviter le surendettement. Mais si la réflexion est poussée un peu plus loin, il s’agit d’un fichage de plus. Et qui dit fichage supplémentaire, dit une traçabilité accrue. En effet, si un individu est interdit bancaire, toutes les autres banques seront au courant de sa situation financière et donc cela représente une nouvelle atteinte à sa vie privée.

22En plus de ces points qui constituent des atteintes ouvertes au respect de la vie privée de tout individu, il y a une technique (utilisée non seulement par les banques mais également par les assureurs, par les commerçants…) qui représente un risque majeur pour chaque personne. Cette technique est le scoring. Grâce à cette technique, chaque organisme va pouvoir attribuer un chiffre à une personne afin de mesurer soit le risque qu’elle représente en cas d’octroi d’un crédit ou d’une assurance, soit pour permettre une adaptation des produits commerciaux en fonction de chaque individu de manière à les pousser à la consommation. Grâce à cette technique, l’individu est déshumanisé et est réduit à l’état d’un simple chiffre. En plus de ce problème tant éthique que philosophique, il y en a un autre qui lui est beaucoup plus concret et qui se pose au moment de l’élaboration du score. Ce problème réside dans les critères entrant dans la création du score.

  • 16 Dominique Legeais, « Scoring. Encadrement de la technique du score par la CNIL », RTD Com., 2007, (...)

23Pour élaborer un score, il y a deux sortes de critères. La première sorte est plus ou moins objective car elle repose sur les revenus, la situation professionnelle… (par exemple un cadre qui gagne 3000 euros par mois représente moins de risque pour une banque qu’un chômeur qui ne perçoit que l’allocation chômage). Mais la deuxième catégorie de critères est, quant à elle, beaucoup plus subjective. Dans cette deuxième catégorie vont entrer les critères reposant sur la situation familiale de l’intéressé, « celles concernant les données bancaires, celles concernant les personnes membres du foyer ainsi que les coobligés et garants ; celles relatives aux caractéristiques de l’opération de crédit ».16

  • 17 Conseil d’État, 30 octobre 2001, Recueil Dalloz 2002, p. 1869.

24Le problème avec ces données est qu’elles sont analysées, soumises au simple jugement et à la simple appréciation du banquier. Donc en fonction du vécu même du banquier, ou encore des objectifs qu’il s’est fixé ou que la banque lui a fixé, une même donnée pourra entrainer deux notes différentes. Avant 2001, le critère de la nationalité ne pouvait pas entrer dans les critères de l’élaboration du scoring. Mais dans un arrêt du 30 octobre 2001, le Conseil d’État a considéré que « la prise en compte de la nationalité d’un demandeur de prêt comme élément d’appréciation d’éventuelles difficultés de recouvrement des créances correspond à la finalité d’un tel traitement ; qu’il ne ressort pas des pièces du dossier relatives aux conditions dans lesquelles cet élément est combiné avec les autres données du calcul automatisé du risque que cette prise en compte soit disproportionnée à son objet ; qu’ainsi c’est à tort que la CNIL s’est fondée sur ce que la nationalité du candidat à un crédit ne constituerait pas une donnée « pertinente, adéquate et non excessive » au regard de la finalité du traitement »17. Avec cet arrêt, le Conseil d’État a ouvert une porte très large à une possible discrimination raciale. En effet, comme les notes attribuées relèvent de la seule appréciation du banquier, il pourra octroyer un mauvais score à une personne de part le seul fait de sa nationalité en justifiant son action par la difficulté que cette personne pourrait représenter dans le remboursement du crédit.

25Face à l’importance de ces données et des conséquences qui pourraient découler d’une mauvaise utilisation de ces moyens technologiques, il y a eu une véritable volonté d’améliorer les technologies afin d’assurer une plus grandes sécurité des individus et de la protection des données personnelles. Pour autant, pour protéger les données personnelles, certaines mesures sont apparues comme inévitables.

II - L’innovation technologique : une menace grandissante pour la vie privée

26Vu l’importance des données contenues sur la carte bancaire, les menaces de fraudes se sont multipliées afin d’obtenir ces informations. C’est pourquoi des systèmes de sécurité pour la protection de ces données sont apparus comme étant nécessaires (A). Mais l’innovation technologique faisant, de nouvelles solutions vont commencer à faire leur apparition pour une meilleure protection des données concernant l’individu (B).

A/ Des systèmes de sécurité nécessaires pour la protection des données personnelles

27La possession des données personnelles représente un véritable enjeu tant stratégique que financier. C’est pourquoi des menaces de plus en plus importantes pèsent sur les cartes bancaires. Depuis plusieurs années, les fraudes à la carte bancaire se multiplient afin de détourner les informations qu’elle contient de manière à pouvoir réaliser des achats à l’insu des propriétaires des cartes.

  • 18 Le figaro, Fausses cartes, vols de codes… les pirates à la manœuvre, Article paru le 22 janvier 20 (...)
  • 19 Philippe Rioux, Comment protéger votre carte bancaire de la fraude ?, Publié le 22/01/2010 in La D (...)
  • 20 Revue Banque, octobre 2009, 717, page 48, sources : wikipédia.

28Avant l’essor du paiement en ligne, les fraudeurs avaient mis en place un système quasiment indétectable. Il s’agissait de poser une mini caméra sur les automates de distribution de billet ou encore sur les automates des stations essence. « En 2002, une incroyable escroquerie high-tech avait laissé les gendarmes du Rhône pantois après avoir démantelé un réseau international de falsification de cartes. Le système était ingénieux, les malfrats de véritables stratèges. Il s’agissait de caméras fixées sur les pompes à essence automatiques de stations-service. Elles permettaient d’espionner à distance les codes secrets des clients : 143 automobilistes avaient été piégés pour un préjudice global estimé à 260 000 euros »18. Mais pour autant, ce type de fraude tend à diminuer avec la multiplication des paiements en ligne : « Selon le dernier rapport de l’Observatoire de la sécurité des cartes de paiement, le taux de fraude sur les paiements de proximité et sur automate continue de diminuer (0,015 % en 2008 soit 44,5 M €), tout comme le taux de fraude sur les retraits (0,018 % soit 19,1 M €). En revanche, la fraude sur les paiements à distance est en hausse (0,252 % soit 67,2 M €). L’origine de la fraude la plus importante est désormais celle liée à l’usurpation de numéros de carte en vue de paiements frauduleux à distance »19. Il existe une autre fraude pesant sur tous les automates. C’est le skimming. Son but est « d’enregistrer la piste magnétique de la carte bancaire au moment où elle est introduite dans l’automate »20.

  • 21 Ibid.

29Deux autres procédés, assez courant avec la multiplication des paiements en ligne, menacent également la carte bancaire. Il s’agit du « carding » et du « phishing ». « Le carding consiste à générer automatiquement des numéros de cartes de paiement pour les utiliser sur des sites web. Cette méthode tend à disparaître avec la multiplication des systèmes de sécurités additionnels. Ensuite il y a le phishing. Avec ce procédé, les criminels adressent des messages d’alertes sous forme de spam. Les destinataires sont invités à entrer leurs données personnelles sur des sites bancaires factices. Le site, dont l’adresse est très voisine du site copié (ambanqueperso. fr au lieu de mabanqueperso. fr) capture les données saisies21.

  • 22 http://www.rfidfr.org/actualites-rfid-20080323.php, dernière consultation le 09 mars 2010.

30En mars 2008, « le blog Boing Boing a récemment fait la démonstration qu’avec cinq euros d’équipement et un petit passage sur le site de vente en ligne eBay pour acheter le bon lecteur il était possible de lire les informations présentes sur une carte bancaire : nom du propriétaire, numéro de la carte et date d’expiration. Il serait par contre intéressant de savoir si le cryptogramme est également extrait par ce procédé (ce que l’article ne mentionne pas explicitement, parlant vaguement de ‘‘ whatever else your bank embeds in this manner’’), ce qui permettrait alors effectivement d’utiliser ces informations pour passer commande en ligne »22.

  • 23 Voir à ce sujet le site : « http://www.parodie.com/monetique/listevulnerabilites.htm » qui dresse (...)

31Face à la menace très importante qui pèse donc sur les cartes bancaires23, la nécessité de protéger les données bancaires est apparue comme fondamentale. C’est ainsi que la nécessité d’avoir des systèmes de sécurité fiables a été placée au cœur de nombreux débats. En effet, les fraudes à la carte bancaire peuvent avoir des conséquences très néfastes tant pour l’individu que pour les banques. En ce qui concerne l’individu, en plus de se voir usurper des données très personnelles, il risque de perdre de l’argent. Pour les banques, la menace principale qui pèse sur elles réside dans la perte de confiance de leurs clients envers elles.

32Cela se vérifie d’autant plus avec le développement du « e-commerce ». De plus en plus d’achats sont réalisés en ligne et donc de plus en plus de transactions bancaires sont réalisées sur la toile. Si un individu a peur de se voir voler des informations personnelles à cause du manque de sécurité offert par sa banque, alors il ira vers une autre banque qui lui proposera des garanties de sécurité bien supérieures à son ancienne banque. Cela constituerait donc une importante perte de revenus pour la banque en question.

  • 24 Revue Banque, op. cit, page 35.
  • 25 Ibid., page 43.

33Pour empêcher une perte de confiance de l’individu dans les banques et dans l’utilisation de la carte bancaire, diverses solutions ont été apportées. Par exemple, une loi de 2004 modifiée par la loi du 12 mai 2009 « de simplification et de clarification du droit précise les modalités de délivrance d’un label par la CNIL qui pourrait intéresser le secteur bancaire. La CNIL pourra faire appel à des experts indépendants pour évaluer la conformité d’un produit ou d’une procédure à la loi Informatique et Libertés, même si au final, la CNIL conserve la décision d’attribuer ou non le label. Cette décision était attendue de longue date tant par la CNIL que par les entreprises qui y voient un outil pour valoriser la qualité de leurs produits »24. En effet, « le label assurerait qu’un produit satisfait à plusieurs garanties. Dans le secteur bancaire, un système numérique ou informatique labellisé indiquerait que le programme informatique offre toutes les garanties empêchant des pertes de données clients »25.

34En plus de ce label, il y a aussi le cryptage des données qui est apparu comme devant faire l’objet d’une attention de plus en plus poussée. Car le cryptage peut limiter les attaques mais n’est pas infaillible. Tout d’abord, des pirates suffisamment doués peuvent toujours arriver à décrypter les données mais le problème qui peut se poser se trouve aussi dans les personnes qui cryptent les données. Pour peu qu’elles n’aient pas un sens du professionnalisme très poussé, de jour elles pourraient œuvrer pour le bien des individus et la nuit agir pour leur compte en utilisant leurs compétences professionnelles pour détourner les informations. C’est pourquoi le recours à la technologie est apparu comme une nouvelle solution. Dans un avenir proche, de nouvelles techniques seront développées afin d’assurer une plus grande sécurité aux individus.

B/ Les solutions pour l’avenir : une menace d’atteinte à la sécurité

  • 26 Anaïs Paulay, Enjeux et perspectives d’un marché en plein essor, spécial cartes à puce, Les cahier (...)

35Dans un avenir proche, en France, il est possible de voir apparaître un nouveau mode de paiement. Ce nouveau mode sera celui des cartes dites « sans contact ». Ce nouveau mode de paiement va permettre « des transactions sans insertion de carte, ni code PIN à pianoter sur un lecteur, cette technologie pourrait satisfaire à la fois les banques, les commerçants et les utilisateurs. A la clé, notamment, la possibilité de régler de petites sommes pour les consommateurs (chez le boulanger, le marchand de journaux…) et l’augmentation du nombre de transactions pour les opérateurs »26.

36Cela signifie donc que dans peu de temps, il sera possible de régler des achats de petits montants sans même devoir sortir des billets ou des pièces mais juste en passant une carte au dessus d’un lecteur. Ensuite, par un système de fréquence radio, les données seront échangées entre la banque et le commerçant de façon à concrétiser l’achat.

  • 27 Ibid.

37Ce type de paiement est déjà très répandu aux États-Unis et au Japon. En France, il n’est encore qu’à l’état de test. Le dispositif « a été testé avec succès à Caen et à Strasbourg dans 500 commerces par près de 1000 clients. Prochaine étape : la communauté urbaine Nice Côte d’Azur qui à partir d’avril 2010, expérimentera à grande échelle le paiement sans contact des titre de transport auprès de 3000 abonnés des trois principaux opérateurs de téléphonie mobile. Quant à la région Île-de-France, elle a promis que les usagers des ses transports pourraient faire de même d’ici à la fin 2010 »27. Le marché des cartes à puces « sans contact » est donc en plein essor. En 2006, un test a été réalisé sur le campus de Caen où les étudiants peuvent payer leurs achats à l’aide d’une clé USB mêlée au système RFID. La mairie de Bordeaux en a fait de même.

38Si ces tests sont concluants, il se pourrait que la technologie NFC (Near Field Communication), qui intègre téléphone, clé, titre de transport et carte bancaire, soit introduite dans la vie de tous les Français. Mais cela étant, il faut rester vigilant. En effet, même si les opérateurs assurent que le système du NFC sera aussi sûr que les cartes bancaires à code PIN, le fait de payer sans même devoir insérer un code pourrait faciliter le piratage des données. Le fait de taper un code PIN, au moment de réaliser un achat est une garantie assez importante de la sécurité de la transaction (même si elle n’est pas infaillible). Donc à partir du moment où se code PIN va disparaître, quelles sécurités seront offertes aux usagers pour leur assurer une transaction sans problème ?

39De plus, si la carte bancaire est insérée dans un téléphone portable ou dans une clé USB, le code PIN n’étant plus nécessaire, que va-t-il se passer si le téléphone ou la clé sont dérobés ? En effet, si le téléphone est volé alors qu’il n’est pas éteint, le voleur pourra réaliser des transactions à notre compte. Cela pose d’énormes soucis même si les montants qui pourront être réalisés sont inférieurs à 15 ou 20 euros. De plus avec la standardisation des chargeurs de téléphone, le voleur pourra conserver le téléphone en état de fonctionnement suffisamment longtemps jusqu’à ce qu’opposition soit faite.

40Un autre problème qui se pose ici est la protection des données personnelles. Au regard des données qui sont contenues sur une carte bancaire, le voleur pourrait s’en emparer assez aisément sans même devoir pirater des sites internet. Il en est de même si la clé USB, à laquelle a été inséré le système NFC, est dérobée. De plus à l’avenir, en plus de la carte bancaire, il est envisagé de rassembler la carte d’identité, le passeport et les cartes de fidélités au sein du téléphone portable. Cela signifie donc que toute une vie sera contenue dans un petit objet qui est employé actuellement à de simples fins de communications.

41Un autre problème qui surgit avec l’innovation technologique est l’augmentation du piratage. En effet, plus la technologie avance et plus les attaques se multiplient et ce pour différentes raisons. Les pirates veulent prouver qu’ils sont les meilleurs en arrivant à pirater et détourner toutes sortes d’innovations technologiques réputées comme étant les plus sûres. De plus, ils y trouvent un intérêt économique à pirater les données car ils peuvent soit les utiliser à leurs propres fins soit ils peuvent les revendre. A l’heure actuelle, toutes les données concernant un individu sont séparées dans divers objets. Mais que se passerat-il si toutes ces données sont rassemblées en un seul objet ?

42Enfin, grâce au téléphone portable, un individu peut être repéré quasiment instantanément à partir du moment où le téléphone est en état de fonctionnement. Avec la carte bancaire, un individu peut être repéré dès lors qu’il l’utilise. Si les deux systèmes sont combinés, alors un individu pourra être tracé 24 heures sur 24.

43Donc l’innovation technologique est-elle toujours bénéfique pour un individu ou finalement, si en la faisant passer pour une avancée considérable dans la simplicité et le confort, ce n’est pas un moyen de limiter encore plus les libertés individuelles voir même liberticide ?

Notas

1 Allocution prononcée par Raymond Forni, Président de l’Assemblée nationale lors de l’ouverture du colloque « L’anonymat dans la société de l’inform@tion: fichage et démocratie » au Grand auditorium de la Maison du Barreau, le mercredi 26 avril 2000.

2 http://www.becompta.be/modules/dictionnaire/543-comptable-carte-bancaire.html, le 15 février 2010

3 Loi no 91-1382 du 30 décembre 1991 relative à la sécurité des chèques et des cartes de paiement, NOR : JUSX9100069L, JORF n° 1 du 1 janvier 1992, page 12.

4 Ibid.

5 Code monétaire et financier, Articles L141-1 et suivants.

6 Convention européenne des droits de l’Homme, Article 8.

7 http://fr.wikipedia.org/wiki/Scoring, le 15 février 2010.

8 CNIL, Banque-crédit : êtes-vous fichés ?, Guide pratique, 2007.

9 Code monétaire et financier, Articles L141-1 et suivants.

10 CNIL, Banque-crédit : êtes-vous fichés ?, op. cit.

11 Ibid.

12 X. Delpech, « Sanction d’une banque par la CNIL pour inscription abusive de clients aux fichiers de la Banque de France », Dalloz actualité, 5 octobre 2006.

13 CNIL, Banque-crédit : êtes-vous fichés ?, op. cit.

14 CNIL, Banque-crédit : êtes-vous fichés ?, op. cit.

15 Convention européenne des droits de l’Homme, Article 8.

16 Dominique Legeais, « Scoring. Encadrement de la technique du score par la CNIL », RTD Com., 2007, p. 208.

17 Conseil d’État, 30 octobre 2001, Recueil Dalloz 2002, p. 1869.

18 Le figaro, Fausses cartes, vols de codes… les pirates à la manœuvre, Article paru le 22 janvier 2010.

19 Philippe Rioux, Comment protéger votre carte bancaire de la fraude ?, Publié le 22/01/2010 in La Dépêche.fr

20 Revue Banque, octobre 2009, 717, page 48, sources : wikipédia.

21 Ibid.

22 http://www.rfidfr.org/actualites-rfid-20080323.php, dernière consultation le 09 mars 2010.

23 Voir à ce sujet le site : « http://www.parodie.com/monetique/listevulnerabilites.htm » qui dresse un récapitulatif de l’ensemble des fraudes possibles à l’égard des cartes bancaires.

24 Revue Banque, op. cit, page 35.

25 Ibid., page 43.

26 Anaïs Paulay, Enjeux et perspectives d’un marché en plein essor, spécial cartes à puce, Les cahiers de la compétitivité in Le monde, 18 novembre 2009, 20160.

27 Ibid.

© Presses universitaires de Perpignan, 2011

Condiciones de uso: http://www.openedition.org/6540