La Cnil a audité les dix principaux sites de banques françaises. Si sept offrent un niveau suffisant de sécurité et de protection des données personnelles, elle conseille toutefois aux internautes de ne pas négliger quelques précautions d’usage.
La majorité des sites internet des banques françaises offre un niveau «correct» en termes de confidentialité et de sécurité des données, conclut un audit publié par la Commission nationale de l'informatique et des libertés (Cnil).
Au cours du premier semestre 2005, la Cnil a contrôlé les dix principaux services de banque en ligne afin de vérifier le respect des dispositions de la loi Informatique et Libertés. Mais aussi pour répondre aux interrogations des internautes-clients sur le degré de protection de leurs données personnelles et bancaires, a observé la Commission.
Ces services permettent notamment de gérer ses comptes à distance, de commander des chéquiers ou encore de simuler des propositions de crédit. Dans son audit, la Cnil estime que «sept respectent globalement la confidentialité et la sécurité des données, même si des améliorations restent à prévoir». Elle ne cite aucun nom d'établissement financier.
Dans le détail, l'étude montre d'abord que les internautes disposent d'un bon niveau d'information. Cela se concrétise par des recommandations, de l'aide en ligne et un affichage du passage en mode sécurisé.
La Commission considère que la sécurité de la connexion est «globalement satisfaisante». Le protocole sécurisé (HTTPS) est largement utilisé ainsi que des mesures de protection telles que la déconnexion automatique après un délai de non-utilisation. Enfin, il existe pour l'internaute, le plus souvent, la possibilité de vérifier le bon déroulement des opérations bancaires effectuées, à l'écran ou par impression papier.
Les mots de passe et identifiants peuvent être mieux protégés
Au chapitre des améliorations à apporter, la Cnil a principalement noté le renforcement de la gestion et de la transmission des mots de passe et identifiants permettant d'accéder aux plates-formes.
S'agissant du mot de passe, «il est rarement remis sous pli confidentiel ou envoyé en recommandé avec accusé de réception lorsqu'il est transmis par courrier postal», déplore l'audit. Par ailleurs, il est le plus souvent inférieur à sept caractères alphanumériques et sa durée de validité est illimitée.
Plus grave, sur les dix services audités, quatre n'utilisent pas de transaction sécurisée "https" lors de l'envoi des identifiant et mot de passe durant l'authentification de l'internaute. «La bascule en mode sécurisé ne se faisant qu'après l'envoi de ces informations en clair sur le Net», note la Cnil. Autre bémol: la gestion des cookies (comme leur effacement après utilisation du service )n'est satisfaisante que pour la moitié des sites audités.
Enfin, en ce qui concerne la «prospection commerciale», l'audit révèle que 30% des sites de banques audités exploitent les données collectées à des fins marketing. Les «informations relatives aux prospects» sont conservées jusqu'à la désinscription du client pour 33% des services, et 17% les gardent pendant une période de deux ans. En outre, le régime du consentement préalable ("opt-in") n'est pas en vigueur partout. La moitié des services ne demande pas l'avis du client pour que leur adresse e-mail puisse recevoir de messages commerciaux.
Dans ce contexte, la Cnil donne quelques conseils simples aux internautes qui gèrent leurs comptes en ligne:
- assurez-vous de la sécurité de votre ordinateur (mises à jour récentes du système d'exploitation, installation d'un logiciel antivirus et d'un logiciel pare-feu);
- attention également aux spywares (logiciels espions);
- accédez à votre site de banque de manière sécurisée et vérifiez l'orthographe de l'adresse;
- contrôlez la date et l'heure de votre dernière connexion ainsi que la durée. Vous serez ainsi aussitôt avisé d'une connexion effectuée à votre insu;
- vérifiez que la connexion est sécurisée;
- terminez obligatoirement votre connexion à votre site bancaire en utilisant le bouton "déconnexion"
- ne cliquez jamais sur un lien dans un e-mail reçu pour accéder à votre site de banque en ligne (phishing)
- réservez vos accès banque en ligne à votre domicile à l'exclusion de tout autre lieu.
pour le rapport entier cest par ici :
http://www.cnil.fr/fileadmin/documents/approfondir/dossier/banque/Operation-banqueenligne.pdf
