Pour correspondre au contexte

Les adeptes des achats sur Internet privilégient le paiement par carte bancaire. Cependant, les escroqueries sur la toile évoluent parallèlement à l’essor du e-commerce. Pour combattre ce fléau, la CNIL a tenu à actualiser ses recommandations dont la publication date déjà d’une dizaine d’années et qui ne correspondent plus au contexte. La nouvelle réglementation concerne toutes les cartes susceptibles d’être utilisées par les consommateurs, qu’elles soient privatives, accréditives ou interbancaires.

Cette commission rappelle en premier lieu que le numéro de la carte bancaire ne doit en aucun cas être considéré comme un identifiant du client. Les commerçants en ligne ne sont autorisés qu’à collecter les données personnelles strictement nécessaires pour réaliser une transaction, c’est-à-dire le numéro de la carte, le cryptogramme visuel et la date d’expiration. Les consommateurs ne sont donc pas obligés de fournir d’autres informations, à moins que les boutiques virtuelles ne démontrent que leur demande est justifiée par une finalité légitime.

La confidentialité des données

Un commerçant en ligne n’est pas en droit d’exiger d’un client une copie de sa carte de paiement, même si certains éléments de ce sésame sont masqués. Par ailleurs, le consentement explicite du consommateur est indispensable pour détenir en mémoire les données de sa carte en vue de faciliter les transactions ultérieures. Dans ce cas, le cyber marchand doit intégrer sur son site un système permettant aux Internautes de retirer leur autorisation à n’importe quel moment.

La CNIL insiste sur le fait qu’un e-commerçant doit veiller sur la confidentialité des informations conservées. Il doit partiellement ou totalement cacher le numéro de la carte pendant le stockage ou au cours d’un affichage. La mise en place d’un système de traçabilité est recommandée par la commission. Ainsi, il sera plus facile de détecter un accès ou un usage illégal des données et de remonter à la personne responsable du piratage. De leur côté, les acheteurs ne doivent pas conserver des informations sur leur carte bancaire sur leur ordinateur ou leur smartphone, ces appareils n’étant pas assez sécurisés pour la préservation de renseignements aussi sensibles.