AgentPublic/cnil huggingface dataset:
La Commission relève que le responsable du traitement prend les précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.Le dispositif biométrique est constitué d’un logiciel spécifique « Talk To Pay » (solution PW Biometrics) et du téléphone ou ordiphone du participant.Le système informatique est composé de serveurs au sein de l’organisme conservant les données à caractère personnel dont les données biométriques en base centrale.Les réseaux utilisés sont internes à l’organisme et isolés des autres traitements. Leur protection est assurée par un système anti-intrusion. La transmission des données sur Internet est effectuée de manière sécurisée en utilisant le protocole « HTTPS ».L'accès aux locaux est restreint par des mesures de sécurité assurant un contrôle par gardiennage et vidéosurveillance ainsi qu'un contrôle des accès par badge.Concernant le développement de l’application, les personnels sont distincts de ceux assurant la gestion et l’exploitation de l’application, tout comme les environnements de développement et de production. Les interventions de maintenance font l'objet d'une traçabilité.Des sauvegardes quotidiennes sont réalisées. Les sauvegardes sont stockées dans des centres de production sécurisés par un accès restreint.Le matériel remisé est nettoyé de toute donnée à caractère personnel selon une procédure bancaire normalisée. Un procès- verbal
de destruction du matériel est fourni le cas échéant.Une journalisation des opérations de création et modification du traitement est réalisée (horodatage, identifiant de l’utilisateur, opération effectuée, données issues du paiement).La solution ne propose pas de mécanisme contre le re-jeu. Il n’est alors pas possible de détecter si une phrase prononcée durant une authentification est issue de l’enregistrement d’une précédente authentification. La Commission recommande que le Crédit Lyonnais déploie un mécanisme anti-rejeu. Toutefois, l’expérimentation à venir doit permettre de mesurer l’attrait du public concerné et la faisabilité du traitement avant d’initier des développements plus complexes.Enfin, la Commission observe que tous les gabarits sont conservés dans une base centralisée. Aussi, la Commission recommande que le Crédit Lyonnais ne conserve les gabarits biométriques que sous forme chiffrée et que les clés de chiffrement/déchiffrement soient uniquement détenues par les utilisateurs. Ainsi, lors d’une phase d'authentification, il est recommandé qu'un dispositif envoie une composante secrète détenue exclusivement par l’utilisateur, afin de déchiffrer le gabarit. Cet élément de secret ne pourra être conservé que le temps de procéder à l’authentification de l’utilisateur et éventuellement de chiffrer le gabarit mis à jour dans le cas d’une authentification réussie.Les mesures de sécurité mises en place sont conformes à l’exigence de sécurité prévue par l’article 34 de
la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission demande qu'au terme de l’expérimentation, lui soit adressé un bilan des modalités de fonctionnement et d’utilisation du dispositif. Le bilan devra notamment comporter les éléments suivants :- une description des conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté (et notamment : taux de participation, temps moyen d’authentification, nombre de transactions abouties/non abouties, moyenne des transactions, éventuels dysfonctionnements, causes des dysfonctionnements, taux de fausses acceptations, taux de faux rejets) ;- perception utilisateur (phase d’enrôlement sur le téléphone, ergonomie du service, acceptabilité de la biométrie vocale, taux d’utilisation et de non-utilisation) ;- présentation des enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ;- suites envisagées par le responsable de traitement sur la base du bilan effectué : axes d’amélioration, abandon du projet, demande de nouvelle expérimentation, demande d’autorisation de mise en œuvre à titre permanent.La Commission relève que cette expérimentation ne saurait préjuger d’une éventuelle décision de la Commission saisie d’une demande de généralisation du service « Talk To Pay ».
Autorise, conformément à la présente délibération, Le Crédit Lyonnais SA à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1841738)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque Populaire Val de France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Banque Populaire Val de France, ci après dénommée la Banque Populaire.
Sur la finalité
Les catégories de données traitées sont relatives : - à l’identité des personnes concernées : le nom, le(s) prénom(s), le sexe, la date et lieu de naissance,- aux documents d’identité : le numéro de document, le numéro de la pièce d’identité, la date d’expiration, les 6 derniers caractères de la bande MRZ de la pièce d’identité et la bande MRZ figurant en bas des documents d’identité.La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement et habilitées à avoir accès aux informations sont :- le réseau commercial,- le service sécurité financière,- le service audit,- le service formation,- le service lutte contre la fraude.Les informations sont transmises sur un serveur hébergé par la société CTMS (Contrôle des échanges et Traitement physique des Monnaies-Sécurité), prestataire de service de la banque populaire.La liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention sur internet ainsi que dans la convention de compte du client. Cette mention rappelle en outre que les droits d’accès et de rectification s’exercent auprès du Service Conformité par courrier à l’adresse suivante : 9, Avenue Newton - 78180 MONTIGNY-LE-BRETONNEUX.La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
S’il n’existe pas de journalisation détaillée des activités sur l’application, un journal d’accès global des collaborateurs de la Banque Populaire aux serveurs CTMS est cependant mis en œuvre. Seules les personnes habilitées ont accès à l’application IDENTT. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique.  Ce mécanisme est actuellement basé sur un identifiant et un mot de passe de 10 caractères comprenant au moins trois des quatre types (minuscules, majuscules, chiffres, caractères spéciaux). Ce dernier doit être renouvelé fréquemment.  En cas de réponse positive, c’est-à-dire si le document d’identité n’est pas validé, ou dans le cas inverse, la réponse est conservée dans le dossier réglementaire du client afin de s’assurer que le contrôle d’identité a bien été réalisé par le collaborateur.  La Banque Populaire s’est engagée à ce que cet élément bénéficie du même niveau de protection que les copies des pièces d’identité actuellement conservées conformément aux dispositions de l’article L561.12 du Code monétaire et financier. Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Les données collectées ne sont utilisées que le temps de la vérification de l’authenticité des documents. En cas de non-conformité des pièces, les documents sont restitués à la personne à l’origine de la demande. Dans l’hypothèse inverse et si la demande est validée, une copie des documents est conservée, conformément à la législation bancaire.Il existe un premier contrôle visuel réalisé par le chargé de clientèle qui reçoit la personne souhaitant entrer en relation avec la banque. Un deuxième contrôle est réalisé via l’outil IDENTT qui permet de détecter des documents présumés frauduleux automatiquement par la lecture de la bande MRZ. Enfin, si l’anomalie persiste, un dernier contrôle manuel avec une analyse est réalisé par les personnes habilitées du service lutte contre la fraude.L’analyse de l’authenticité des pièces se fait en temps réel par l’outil, ce qui permet au chargé de clientèle d’accepter ou de refuser immédiatement l’ouverture du compte ou la demande de crédit du client.Le traitement mis en œuvre n’est qu’un outil d’aide à l’analyse des documents d’identité présentés par la personne concernée lors de l’entrée en relation avec la Banque Populaire. La Commission prend acte qu’en cas de détection d’anomalie, une analyse complémentaire sera effectuée par les personnels habilités du service lutte contre la fraude afin, le cas échéant, de confirmer la tentative de fraude.Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée,
Autorise, conformément à la présente délibération, la Banque Populaire Val de France à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1827724)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Electricité de France (EDF) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès aux locaux professionnels par reconnaissance combinée du réseau veineux des doigts de la main et de l’empreinte digitale ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Responsable du traitement
En tant que producteur et fournisseur d'électricité en France et dans le monde, Electricité de France (EDF) gère plusieurs centrales nucléaires.
Sur la finalité et les caractéristiques du traitement
Dans le contexte d’élévation de la menace et du niveau de sécurité des zones sensibles des centres nucléaires de production d’électricité, le ministère de l’écologie, du développement durable, des transports et du logement a adopté, le 10 juin 2011 un arrêté relatif à la protection physique des installations abritant des matières nucléaires dont la détention relève d’une autorisation, prévoyant la mise en place de contrôle d’accès biométriques aux zones sensibles. Avant de décider de la technologie retenue, EDF souhaite tester différents dispositifs biométriques. Le dispositif biométrique bimodal, fondé sur la reconnaissance de l’empreinte digitale et du réseau veineux d’un doigt de chaque main, soumis à la présente autorisation, est mis en œuvre dans le cadre des tests réalisés sur le site de la centrale nucléaire de Golfech, afin de répondre aux exigences règlementaires précitées et ainsi lutter contre le risque d’usurpation d’identité et d’intrusion non autorisée lors de l’accès aux zones sensibles du site de Golfech.Le dispositif biométrique bimodal permet de maintenir un niveau de sécurité constant, compte tenu de la fréquence des passages sur le site, de la nécessité de pouvoir accéder aux installations protégées à toute heure du jour comme de la nuit. Le dispositif intervient en complément des mécanismes de contrôle d’accès par badge.Le dispositif fonctionne en authentification. Il est composé de plusieurs lecteurs permettant de lire le réseau veineux d’un doigt d’une
personne ainsi que l’empreinte digitale du même doigt de manière quasi simultanée. La reconnaissance biométrique utilisée est fondée sur la comparaison d‘informations issues à la fois de l’empreinte digitale et du réseau veineux de l’individu à un gabarit unique. Le gabarit est stocké sur une base centrale dédiée au contrôle d’accès, isolée du réseau de l’entreprise. Il est associé au numéro de badge de la personne concernée.
L’enrôlement est réalisé lors de la création et la validation du badge d’accès au site, par du personnel d’EDF spécifiquement formé. Le recours à la biométrie multimodale améliore les performances globales des dispositifs biométriques en offrant plus de critères de contrôle, en renforçant ainsi le niveau d’authentification et en compensant les faiblesses, avérées ou supposées, d’une biométrie par une autre. La solution utilisée permet de limiter les risques sur les individus.La Commission considère que la finalité ainsi définie est déterminée, explicite et légitime.  
Sur les données traitées
Les données concernent les salariés habilités.
Il s’agit : 
des données d’identification : nom et prénom des personnes concernées ;
de l’historique d’accès aux locaux : horodatage des accès et identifiant du lecteur ;
des données biométriques de l’empreinte digitale et du réseau veineux de deux doigts. 
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées. 
Sur la durée de conservation des données
Les données relatives à l’historique d’accès et les données d’identification sont conservées sur une période de trois mois glissants.Les gabarits ne sont conservés que le temps de l’habilitation d’accès de la personne concernée, dans la base. En cas de départ de cette dernière, le  gabarit biométrique est immédiatement supprimé. Si le dispositif bimodal testé n’est pas retenu comme solution définitive par EDF, les gabarits biométriques stockées seront supprimés.
Sur les destinataires
Seul le personnel spécifiquement habilité de la centrale nucléaire de Golfech peut accéder aux données d’identification ainsi qu’à l’historique d’accès, ce qui n’appelle pas d’observation de la Commission.
Sur l’information et le droit d’accès 
Le dispositif a fait l’objet d’une consultation des instances représentatives du personnel. Les personnes concernées sont informées de manière individuelle, par un message électronique d’information spécifique et détaillé et lors d’une réunion d’information.Les droits s’exercent auprès des services du responsable de traitement. La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
Une formation est dispensée par l’intégrateur à toutes les personnes habilitées. En cas de faille de sécurité, le personnel de sécurité présent sur site est formé pour réagir rapidement selon la situation. 
En cas de défaillance, le fournisseur du dispositif intervient sur place sous le contrôle du responsable du traitement. En cas d’échec d’authentification, la personne concernée saisit un code et l’échec d'authentification sera comptabilisé. Cette première étape provisoire permet d'estimer le volume des blocages. L'étape suivante ne débutera que si le taux est bas et que le système s’avère donc performant. Cette étape conduira à bloquer définitivement l’accédant. Une alarme apparaîtra au poste de contrôle sécurité et une visualisation automatique de l'accédant se fera. Le poste de contrôle sécurité se mettra en liaison phonique avec l'accédant (interphone) et décidera alors des actions à réaliser (nouvel enrôlement notamment). 
Compte tenu de l’objectif de sécurité recherché, des exigences fortes de fiabilité du système et de sécurité des données traitées ont été définies. A titre principal, il s’agit :
du choix spécifique du dispositif biométrique limitant les risques de fausse acceptation (personne faussement reconnue et autorisée à accéder de manière illégitime) ;
du chiffrement du gabarit (format propriétaire) avec une clé spécifique au traitement ;
du signalement de toute tentative d’accès aux lecteurs (dispositif anti-arrachement) ;
du signalement de toute tentative d’accès par une personne dont le gabarit d’empreinte ne se trouve pas dans le lecteur ;
du nombre limité de personnes habilitées à la gestion (enrôlement, administration) du dispositif.
le gabarit ne peut pas permettre de créer un gabarit utilisable pour une seule des deux biométries ;
le gabarit ne permet pas de recalculer l’image correspondante du réseau veineux ou de l’empreinte digitale.
Enfin, la Commission souligne que le dispositif utilisé apporte les deux garanties suivantes :
du choix spécifique du dispositif biométrique limitant les risques de fausse acceptation (personne faussement reconnue et autorisée à accéder de manière illégitime) ;
du chiffrement du gabarit (format propriétaire) avec une clé spécifique au traitement ;
du signalement de toute tentative d’accès aux lecteurs (dispositif anti-arrachement) ;
du signalement de toute tentative d’accès par une personne dont le gabarit d’empreinte ne se trouve pas dans le lecteur ;
du nombre limité de personnes habilitées à la gestion (enrôlement, administration) du dispositif.
le gabarit ne peut pas permettre de créer un gabarit utilisable pour une seule des deux biométries ;
le gabarit ne permet pas de recalculer l’image correspondante du réseau veineux ou de l’empreinte digitale.
Les mesures de sécurité mises en place sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, la société Electricité de France à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1251216 v2)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Eutelsat d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès aux locaux professionnels par reconnaissance combinée du réseau veineux des doigts de la main et de l’empreinte digitale ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Responsable du traitement
La société Eutelsat est une société de télécommunications gérant des infrastructures critiques notamment dans le cadre de son activité de contrôle de satellites. Afin de répondre à différentes contraintes règlementaires, et se conformer à la norme ISO/IEC 27001 imposant une authentification forte pour l’accès aux zones sensibles, Eutelsat souhaite élever le niveau de sécurité lors du contrôle d’accès, d’une part, physique au zones sensibles de la direction de l’exploitation et, d’autre part logique aux postes de travail du centre de contrôle des satellites. Le contrôle d’accès logique aux postes du centre a déjà fait l’objet de deux décisions de la CNIL (délibérations n° 2008-050 et n° 2010-464) dans un premier temps pour autoriser la mise en place d’un contrôle d’accès par reconnaissance des empreintes digitales, dont le gabarit était stocké sur chaque poste puis, dans un second temps, pour autoriser la modification de ce premier dispositif en intégrant de nouvelles modalités de stockage du gabarit sur un serveur central relié à l’ensemble des postes informatiques concernés. 
Sur la finalité et les caractéristiques du traitement
Eutelsat souhaite renforcer le niveau de sécurité, d’une part, des accès logiques aux postes informatiques du centre de contrôle des satellites et, d’autre part, des accès physiques aux zones sensibles de la direction de l’exploitation par la mise en place, dans les deux situations, de dispositifs biométriques bimodaux, fondés sur la reconnaissance de l’empreinte digitale et du réseau veineux d’un doigt de la main. Eutelsat veut compléter le système de contrôle des accès par badge, par un contrôle d’accès par reconnaissance de l’empreinte digitale combinée au réseau veineux de la main. La mise en place de ces dispositifs permet de lutter contre le risque d’usurpation d’identité lors de l’accès aux terminaux permettant de réaliser des opérations de contrôle d’une flotte de satellite et aux zones sensibles des locaux hébergeant l’activité d’un opérateur d’importance vitale. Par ailleurs, la modification du dispositif de contrôle d’accès aux postes informatiques du centre de contrôle des satellites, recourant initialement à la reconnaissance des seules empreintes digitales est motivée par la volonté de fiabiliser le système et de limiter les risques de faux positifs (reconnaissance par les systèmes d’une personne comme étant habilitée, alors qu’elle ne l’est pas) et de faux négatifs (non-reconnaissance par le système d’une personne habilitée). Le dispositif bimodal apporte un niveau de sécurité additionnel au contrôle d’accès par rapport, d’une part, au moyen de la seule