AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1803891)
La Commission nationale de l’informatique et des libertés ; 
Saisie par le Groupement de Coopération Sanitaire (GCS) du territoire valenciennois d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la coordination des soins nécessaire à la prise en charge des personnes âgées au sein des services d’accompagnement médico-social.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment ses articles L.14-10-5, L.113-3 et L.312-7 ;
Vu la loi n° 2002-2 du 2 janvier 2002 rénovant l’action sociale et médico-sociale ;
Vu la loi n° 2005-102 du 11 février 2005 pour l’égalité des droits et des chances, la participation et la citoyenneté des personnes handicapées ;
Vu le décret n° 2011-1210 du 29 septembre 2011 relatif au cahier des charges des maisons pour l'autonomie et l'intégration des malades Alzheimer. 
Vu le décret n° 2010-862 du 23 juillet 2010 relatif aux groupements de coopération sanitaire ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment l’article 25-I-7 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement.
Formule les observations suivantes :
Sur le responsable du traitement
Le Groupement de Coopération Sanitaire (GCS) du territoire valenciennois est une personne morale de droit public à but non lucratif. Le GCS utilise le dispositif d’intégration MAIA (Méthode d'Action pour l'intégration des services d'aide et de soins dans le champ de l'autonomie) à des fins d’évaluation de la prise en charge des personnes suivies.Ce dispositif permet d’apporter une réponse adaptée aux besoins de la personne âgée (accueil, information, orientation et mise en place de soins, d’aides ou de prestations), de faciliter l'accès aux services adaptés, d’éviter les ruptures de prise en charge et de favoriser un parcours cohérent auprès des personnes suivies.
Sur la finalité
Le traitement permet de poursuivre les finalités suivantes :
le suivi des personnes âgées prises en charge au sein des services d’accompagnement médico-social ;
l’amélioration de l’évaluation des besoins et des difficultés en permettant le partage sécurisé entre les acteurs médicaux, para-médicaux et sociaux des services, des informations nécessaires à un accompagnement et à une prise en charge coordonnées et adaptées aux besoins des personnes suivies.
le suivi des personnes âgées prises en charge au sein des services d’accompagnement médico-social ;
l’amélioration de l’évaluation des besoins et des difficultés en permettant le partage sécurisé entre les acteurs médicaux, para-médicaux et sociaux des services, des informations nécessaires à un accompagnement et à une prise en charge coordonnées et adaptées aux besoins des personnes suivies.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes. 
Sur les données traitées
Les catégories de données collectées concernant les usagers sont relatives : 
à l’identité (nom, prénom, adresse, date et lieu de naissance, téléphone) ;
à la vie personnelle (habitude de vie, situation familiale) ;
à la situation économique et financière (précarité financière, difficulté à gérer un budget) ; 
aux appréciations sur les difficultés sociales (isolement, précarité liée à l’habitat, droits non ouverts, faiblesse du réseau familial ou social, difficulté à gérer les démarches administratives) ;
aux données de santé.
Les données relatives à la santé sont collectées, après le recueil du consentement exprès des personnes concernées. Dans le cas où la personne ne consent pas à la transmission de tout ou partie des informations la concernant, le professionnel remet à la personne les éléments lui permettant de faire elle-même les démarches auprès du ou des services concernés.
La Commission estime qu’il y a lieu de faire application des dispositions de l’article 25-I-7, de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des appréciations sur les difficultés sociales des personnes.
Ces données apparaissent pertinentes au regard de la finalité poursuivie conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Peuvent avoir accès aux données, les personnes et organismes qui, en raison de leurs fonctions et des missions qui leur sont confiées, participent au suivi ou à l’accompagnement des personnes concernées, dans la limite des seuls cas les concernant et des seules informations nécessaires à l'accomplissement de leurs missions. Il s’agit :
du personnel strictement habilité du GCS ;
des professionnels sanitaires, sociaux, médico-sociaux inscrits dans le cadre du dispositif MAIA, prenant en charge les personnes âgées domiciliées sur l’une des 136 communes du Valenciennois-Quercitain, (territoire autorisé pour le déploiement de la MAIA du Valenciennois).
La Commission prend acte que seuls des professionnels de santé sont en mesure de renseigner le volet médical du dossier et de déterminer les données liées à la santé de l’usager qu’ils estiment nécessaire de communiquer à l’équipe médico-sociale, sous réserve du consentement des personnes concernées et dans la stricte limite de leurs missions. 
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales figurant sur le formulaire de collecte des données, par un formulaire de consentement et par la remise d’un livret d’accueil.Les droits d’accès, de rectification et d’opposition s’exercent auprès du GCS du Territoire valenciennois – place de la concorde – 59322 Valenciennes cedex.Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs. L’accès est limité à trois personnes uniquement.Le support de sauvegarde est un disque dur externe conservé dans une armoire fermée à clé, situé dans un bureau lui-même fermé à clé.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant toute la durée de la prise en charge et pendant une durée complémentaire de deux ans à compter du dernier contact avec ce dernier. Au terme de cette durée, les données seront soit archivées, soit supprimées, sauf dispositions législatives ou réglementaires contraires. La Commission considère que cette durée de conservation apparaît pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, le Groupement de Coopération Sanitaire du Territoire valenciennois à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1915598)
La Commission nationale de l'informatique et des libertés,
Saisie par Le Crédit Lyonnais SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité à titre expérimental un système d’authentification des titulaires de carte de paiement par biométrie ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2014-375 du 25 septembre 2014 autorisant la mise en œuvre à titre expérimental d’un système d’authentification des titulaires de carte de paiement par biométrie ;
Vu la délibération n° 2015-045 du 29 janvier 2015 modifiant la délibération n° 2014-375 du 25 septembre 2014 autorisant Le Crédit Lyonnais SA à mettre en œuvre à titre expérimental un système d’authentification des titulaires de carte de paiement par biométrie ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Lyonnais SA, ci-dessous désigné LCL.
Sur la finalité
LCL a saisi la Commission d’une nouvelle demande d’autorisation visant la mise en œuvre à titre expérimental d’un système d’authentification des titulaires de carte de paiement par biométrie.
Cette demande fait suite à une précédente autorisation délivrée par la Commission le 25 septembre 2014 puis modifiée le 29 janvier 2015, ayant autorisé la mise en œuvre à titre expérimental d’un système d’authentification des titulaires de carte de paiement par biométrie pour une durée de 15 mois.
Dans le cadre de l’expérimentation « Talk To Pay » (ci-après T2P), basée sur un moyen d'authentification par biométrie vocale autorisé par la Commission, le mécanisme consiste à renforcer la sécurité des transactions en ligne grâce à l'authentification biométrique du titulaire de la carte bancaire couplée à un appel sur son téléphone.
Au stade de l’expérimentation, ce service est une alternative au système 3D-Secure. L’utilisateur aura le choix entre les deux formules et pourra changer de solution à sa demande. Les cartes continueront à être émises avec le cryptogramme visuel, même si celui-ci devient inopérant quand le service T2P est activé. T2P peut être utilisé auprès de tous les cyber-commerçants.
La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour assurer le contrôle de l’identité des personnes. Il relève, à ce titre, du 8° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par la CNIL.
LCL, en partenariat avec PW Consultants, Telecom Sud Paris et une chercheuse en biométrie, souhaite mener une expérimentation basée sur la reconnaissance vocale afin de permettre aux clients de s’authentifier lors de leurs paiements à distance.
La population ciblée par l’expérimentation comprend des collaborateurs et des clients volontaires de la banque LCL, et des collaborateurs du pôle paiement du Groupe Crédit Agricole. Pour que l'expérimentation puisse être statistiquement représentative du fonctionnement de l’algorithme de biométrie vocale, 2.000 personnes seront concernées par cette nouvelle demande.
La procédure de souscription et d’enrôlement est la suivante : un appel à candidatures sera mené auprès des testeurs volontaires, qui signeront les avenants au contrat carte. Dès lors, les comptes utilisateurs seront créés.
Les différentes étapes du processus de souscription des participants au service T2P sont les suivantes :
Le participant télécharge le formulaire à partir du lien d’inscription reçu et renseigne ses nom, prénom et adresse électronique. Le formulaire signé est envoyé à la Direction des paiements de LCL.
Un identifiant et un mot de passe individuels sont adressés par courriel avec les informations permettant au participant de contacter l’assistance (notamment pour se désabonner).
Dans un second temps, une carte bancaire dédiée à l’expérimentation est envoyée par courrier ou remise en main propre au participant. Le système 3D-Secure est désactivé pour ces cartes. L’apposition du cryptogramme visuel est maintenue, mais celui-ci est inopérant.
L’utilisateur s’inscrit via une interface personnelle et sécurisée sur un site internet dédié au projet d’expérimentation, en utilisant son identifiant et son mot de passe reçus par courriel. Il renseigne les coordonnées de la carte et son numéro de téléphone portable, puis se voit offrir la possibilité d’installer l’application T2P sur son ordinateur ou son ordiphone.
Le participant est ensuite appelé par le service pour procéder à son enrôlement sur son téléphone personnel. L’enrôlement consiste à répéter les consignes audio plusieurs fois, pour générer son gabarit vocal.
Pour utiliser T2P, l’utilisateur peut soit se connecter à son interface personnelle sécurisée afin de recueillir manuellement le code temporaire à usage unique généré par T2P, soit télécharger un module additionnel au navigateur internet qui servira d’interface au service.
De surcroît, le service T2P propose la conservation des identifiants et mots de passe de l’usager concernant les sites de commerce en ligne.
Lorsque le participant souhaite payer en ligne par carte bancaire en utilisant le système T2P, il existe plusieurs parcours de paiement :
- Cas n° 1 / l’application T2P n’est pas installée :
l’utilisateur qui choisit un paiement par carte bancaire se connecte à son interface personnelle sécurisée T2P ;
ensuite, il demande au système d'initier l’appel d’authentification ;
pour s’authentifier, il répond à cet appel en répétant la phrase qui lui est dictée par téléphone ;
après validation de son authentification, le système T2P génère un code temporaire à usage unique, qui s’apparente au cryptogramme visuel à 3 chiffres ;
l’utilisateur s’identifie sur le site de commerce en ligne avec son identifiant et son mot de passe et remplit les informations relatives au paiement (type de carte, numéro, date d’expiration, et pseudo-cryptogramme à usage unique) avant de le confirmer.
- Cas n° 2 / l’application T2P est déjà installée :
si l’utilisateur choisit le paiement par carte bancaire, alors le formulaire de paiement s’affiche avec la fenêtre d’application T2P ;
dès lors, l’identifiant T2P de l’utilisateur est pré-rempli et celui-ci n’a plus qu’à le confirmer ;
il répond ensuite à l’appel d’authentification, en répétant la phrase qui lui est dictée par téléphone ;
après validation de son authentification, le système T2P génère un pseudo-cryptogramme ;
l’utilisateur s’identifie sur le site de commerce en ligne avec son identifiant et son mot de passe. Si le formulaire de paiement n’est pas automatiquement complété, il remplit les informations relatives au paiement avant de le confirmer.
- Cas n° 3 / l’application T2P est installée et le service de gestion des mots de passe est activé :
l’utilisateur a préalablement enregistré son identifiant et son mot de passe pour le site de commerce en ligne via l’application T2P ;
il clique sur l’icône du greffon (plug-in) T2P dans le navigateur et déclenche une authentification par biométrie vocale ;
il se connecte sur le site du e-commerçant et l’application T2P détecte qu’un identifiant et mot de passe sont connus pour ce site web. La fenêtre T2P s’affiche ;
le formulaire d’authentification d’accès au site de commerce est complété automatiquement avec l’identifiant et le mot de passe de l’utilisateur, qui valide alors la connexion au site ;
il remplit son panier et choisit son mode de paiement (carte bancaire ou chèque) ;
s’il choisit le paiement par carte bancaire, la page du formulaire de paiement s’affiche et le formulaire est rempli automatiquement avec un pseudo-cryptogramme à usage unique, sans nouvelle authentification de l’utilisateur. L’utilisateur peut alors confirmer le paiement.
Le porteur peut utiliser ce service de paiement en France ou à l’Etranger, pour le commerçant de son choix, dès lors que ce dernier l’accepte le règlement par carte bancaire.
Au stade de l’expérimentation, les commerçants ne sont pas associés au service T2P ; aucun développement spécifique les concernant n’est nécessaire.
La Commission relève que cette expérimentation a été autorisée par la délibération du 25 septembre 2014 puis étendue à deux nouveaux cas d’usage par la délibération du 29 janvier 2015. A cet égard, la procédure d’enrôlement est la suivante.
En premier lieu, il sera procédé à un appel à candidature auprès des clients. Les personnes volontaires signeront un avenant aux conditions générales du service de la banque. Une fois le compte client créé, un identifiant et un mot de passe seront adressés au participant qui pourra accéder au site internet pour effectuer son enrôlement en saisissant son identifiant et mot de passe T2P. Il recevra ensuite un appel téléphonique pour générer son modèle vocal en répétant les phrases qui lui seront dictées par téléphone.
En second lieu, une fois enrôlé, le participant pourra choisir d’adhérer ou non à l’ensemble des services utilisant cette méthode d’authentification.
Les deux cas d’usage autorisés par la délibération du 29 janvier 2015 concernaient :
1- une authentification des personnes effectuant une opération sensible (virement) sur le portail de la banque par Internet. Cette méthode d’authentification se substitue à la méthode autorisée par la délibération du 25 septembre 2014 (saisie à nouveau du mot de passe d’accès à la banque par Internet ou saisie d’un mot de passe à usage unique reçu sur un numéro de téléphone préalablement enregistré).
Le mécanisme d’authentification de la banque par Internet prévoit que le participant s’authentifie sur le portail au moyen de ses identifiant et mot de passe. Il saisit une demande de virement, qui déclenche un appel adressé à l’utilisateur qui prononce alors sa phrase d’authentification.
Lorsque son authentification est réussie, sa demande de virement est prise en compte. En cas d’échec, il peut utiliser la méthode d’authentification existante déjà autorisée par la délibération du 25 septembre 2014.
2- une authentification des personnes appelant le serveur vocal interactif (SVI). Le mécanisme d’authentification est le suivant : le participant appelle le numéro du SVI et saisit son identifiant sur son clavier de téléphone. Il est reconnu comme participant et répète la phrase pour s’authentifier.
Si son authentification est réussie, il peut accéder au service. En cas d’échec, il peut recourir à la méthode alternative décrite ci-dessus.
L’expérimentation présentée ci-dessus est venue à échéance le 31 décembre 2015.
LCL a adressé à la Commission un premier bilan de l’expérimentation pour laquelle les premiers tests concernaient des populations réduites composées de collaborateurs volontaires :
- 47 participants pour la première phase portant sur l’authentification des titulaires de carte bancaire par biométrie vocale (pendant 6 mois et demi à compter du 12 décembre 2014),
- et 71 participants pour la seconde phase portant sur l’authentification des personnes effectuant des virements externes sur le portail banque par Internet ainsi que les personnes appelant le SVI (pendant 3 mois à compter du 27 mai 2015).
L’objectif de ces premiers tests était de :
- familiariser l’ensemble des acteurs du projet avec la solution T2P et ses différents usages ;
- détecter les points de progrès des différentes composantes du dispositif sur l’ensemble des usages avant de l’expérimenter à plus grande échelle ;
- concevoir une offre globale couvrant l’ensemble des usages retenus à l’issue de cette expérimentation et définir l’infrastructure permettant de mener une expérimentation à plus grande échelle avec des participants non-initiés.
Les enseignements des tests ont été déterminants, notamment pour améliorer la fluidité de l’expérience client. 
L’expérimentation a permis à LCL ainsi qu’à ses partenaires techniques PW Consultants et CA-CP (Crédit Agricole Cards & Payments) de construire un processus d’enrôlement dématérialisé.
Par conséquent, LCL sollicite la Commission pour une nouvelle demande d’expérimentation d'une durée de 18 mois à compter de la présente autorisation, et visant une population de 2.000 clients.
Sur les données traitées
Les données collectées auprès des participants sont les suivantes :
nom, prénom, civilité ;
numéro de téléphone ;
adresse électronique ;
type, numéro, date d’expiration et cryptogramme de la carte de paiement ;
identifiants de connexion ;
identifiants et mots de passe de sites Internet de l’utilisateur ;
information d’horodatage ;
enregistrements audio à partir desquelles est élaboré un gabarit biométrique.
Le cryptogramme de la carte est demandé au moment de l’enrôlement pour vérification, mais n’est pas mémorisé dans le traitement.
Dans le cadre de l’expérimentation envisagée, la Commission considère que la collecte de ces données est proportionnée à la finalité poursuivie.
Les données à caractère personnel sont conservées jusqu’à la fin de l’expérimentation, prévue pour une durée de 18 mois.
Sur les destinataires
Pour expérimenter cette solution, la banque LCL fait appel à un prestataire sous-traitant, la société PW Consultants, spécialisée dans l’ingénierie des moyens de paiement et l’amélioration des processus de gestion de risques. Par ailleurs, Crédit Agricole - Cards and Payments (CA-CP) intervient en qualité d’opérateur des transactions de paiement du Groupe crédit Agricole.Une dizaine de personnes habilitées de la direction des paiements de LCL auront accès aux données précitées à l’exception des données de connexion, horodatage et biométriques.Une vingtaine de collaborateurs de l’équipe projet de LCL sont destinataires des données du compte client.Les fichiers audio de toutes les interactions des participants à l’expérimentation avec le système T2P seront accessibles par 3 personnes du cabinet PW Consultants.Enfin, une équipe habilitée de 4 à 6 personnes au sein de CA-CP aura accès aux données, à l’exception de l’adresse électronique et des identifiants et mots de passe de l’utilisateur.La Commission observe que les destinataires sont en nombre limité et que ces personnes n’ont accès qu’aux seules données strictement nécessaire à leur mission professionnelle.
Sur l’information et le droit d’accès
Les personnes sont informées par mention qui figure dans le formulaire d’enrôlement.La Commission prend acte que les personnes ayant accepté de participer à l’expérimentation ne seront jamais obligées d’utiliser le service d’authentification biométrique T2P.Ainsi, les participants pourront à tout moment choisir d’utiliser leurs cartes de paiement « classiques » et demander l’effacement de leurs données biométriques en contactant le service support T2P. Dès lors, le service « back office » de la banque LCL procèdera à la suppression de toutes les données les concernant.
Sur les mesures de sécurité