AgentPublic/cnil huggingface dataset:
C’est pourquoi l’accès au CASD fait l’objet d’un contrôle strict par le GENES. La personne habilitée doit ainsi signer une charte d’utilisation, composée d’un accord de confidentialité sur les données rendues accessibles et des conditions d’utilisation des outils mis à disposition par le CASD. L’établissement hébergeant le matériel organisant l’accès sécurisé doit également signer un contrat avec le CASD du GENES, tout particulièrement pour contraindre l’emplacement de ce matériel et pour identifier les coordonnées du réseau de l’établissement. Le responsable de traitement doit avoir accompli, le cas échéant, les formalités nécessaires auprès de la CNIL et en justifier auprès du CASD afin d’activer les accès individuels des membres de son équipe de recherche. Enfin, il convient de formuler une demande d’accès pour chaque projet de recherche, même s’il implique une personne bénéficiant déjà de matériel d’accès sécurisé.
Dans ce cadre, le GENES souhaite compléter l’ensemble de ces mesures par un système d’authentification individuelle forte, à savoir l’ajout d’un dispositif biométrique de contrôle d’accès logique.
Au regard de l’ensemble de ces éléments, la Commission estime qu’il existe un fort impératif de sécurité de nature à justifier la mise en œuvre d’un dispositif recourant à la biométrie pour organiser l’accès de personnes individuellement habilitées à des données confidentielles. Elle considère dès lors que la finalité ainsi définie est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Les données à caractère personnel collectées directement auprès de toute personne concernée et traitées pour l’enrôlement sont les suivantes :
les nom, prénom et coordonnées ainsi que les références et coordonnées de sa structure de rattachement ;
le numéro de l’habilitation et les dates de début et de fin de l’habilitation ;
la description du projet de recherche, sa finalité, les données dont l’accès est demandé ;
le suivi des travaux effectués dans son compte dédié à ce projet, créé dans l’espace sécurisé du CASD jusqu’à l’autorisation d’export des résultats ainsi constitués ;
les identifiants des terminaux ;
les identifiants de connexion ;
les informations d’horodatage ;
les traces des accès aux journaux de connexion ;
l’enregistrement du gabarit de deux empreintes digitales au maximum et le certificat d’authentification afférent à cette donnée, stockés uniquement dans le support individuel exclusivement détenu par la personne concernée.
La Commission relève, d’une part, l’existence d’un dispositif de secours (utilisé en cas de défaillance du lecteur biométrique, du système d’enrôlement ou encore lorsque la prise d’empreinte est physiologiquement impossible) et, d’autre part, le stockage des seuls gabarits d’empreintes digitales exclusivement sur un support individuel détenu par la personne habilitée.
Cependant, elle observe que, d’un point de vue technique, le dispositif actuel a la capacité de collecter de multiples gabarits, permettant jusqu’à la représentation des dix empreintes digitales de chaque personne habilitée. La Commission considère à cet égard que seul l’enregistrement de deux gabarits d’empreintes est proportionné à la finalité de contrôle d’accès logique du dispositif. Des moyens techniques permettant de matérialiser cette limitation doivent dès lors être définis.
La Commission considère, sous cette réserve, que les données collectées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies par le traitement.
Sur la durée de conservation des données :
Les données d’identité sont conservées trois mois après l’expiration de l’habilitation de la personne. Les données de connexion générées par le dispositif sont conservées six mois après la date de connexion ou de l’accès au journal. Les données biométriques sont conservées sur le support individuel pendant toute la durée de l’habilitation de la personne sur le projet de recherche concerné.
La Commission rappelle que le GENES doit mettre en œuvre une procédure de destruction, définitive et sécurisée, des supports individuels contenant les données biométriques. Elle demande à être informée des évolutions envisagées pour garantir cette destruction permettant de ne pas conserver de données pendant une durée qui excèderait la finalité poursuivie.
À l’exception de ces modalités de destruction définitive et sécurisée, ces durées de conservation n’appellent aucune observation de la Commission.
Sur les destinataires des données :
Les seuls destinataires des données traitées pour gérer l’accès au CASD sont le directeur du CASD pour les missions de sécurité qui lui sont confiées, ainsi que les personnes déléguées à cet effet. Cela n’appelle pas d’observation particulière de la Commission.
Sur les droits des personnes :
Les personnes concernées reçoivent une information préalable à la collecte de leurs données biométriques. À cet égard, la Commission observe que ces personnes suivent nécessairement un atelier de formation et de sensibilisation, dispensé dans les locaux du CASD, au cours duquel l’enrôlement biométrique sera effectué.
Une note leur est également remise pour les informer de leurs droits « Informatique et Libertés » ainsi que de leurs obligations découlant de la manipulation de données détaillées couvertes par le secret statistique ou d’autres secrets exigeant de respecter une confidentialité particulière.
La Commission souligne que le caractère solennel et individuel de l’enrôlement des personnes concernées contribue à la prise de conscience quant aux enjeux de protection des données et aux modalités pratiques pour traiter ces données. Ces modalités d’information sont conformes aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle au GENES la nécessité de définir, avec tout autre producteur de données concernées par une telle demande d’accès, une procédure analogue à celle suivie pour les données couvertes par le secret statistique et adaptée aux obligations légales incombant plus particulièrement à ce producteur.
Les droits d’accès et de rectification s’exercent directement auprès du GENES, par courrier adressé au Service CASD, 18, Boulevard Adolphe PINARD – 75675 PARIS Cedex 14 ; ou par courriel.
La Commission prend acte de la mise en œuvre d’un dispositif d’accès de secours utilisable uniquement par les personnes ne pouvant pas prétendre, pour des raisons physiologiques, à l’authentification par ce dispositif biométrique (carte à puce avec mot de passe fort).
Sur la sécurité des données et la traçabilité des actions :
La Commission relève l’existence de bilans réalisés à la suite d’audits de sécurité organisés par le GENES ainsi que les perspectives d’amélioration continue des mesures de sécurité du dispositif pour lesquelles des bilans lui seront régulièrement communiqués.
Elle observe que ces documents précisent le niveau de fiabilité du dispositif biométrique. Les gabarits des empreintes digitales sont chiffrés et stockés uniquement sur le support individuel conservé par la personne habilité. Aucune donnée biométrique n’est extraite du traitement ou exploitée par le CASD en dehors du contrôle d’accès au CASD. En cas de perte ou de destruction du support individuel, une nouvelle séance d’enrôlement est nécessaire pour permettre la délivrance d’une nouvelle carte d’accès.
Des agents du CASD sont formés à la gestion des enrôlements, au traitement des données et à leur effacement. Seules ces personnes sont habilitées à effectuer la collecte des données biométriques durant l’enrôlement. L’accès du personnel au CASD se fait par boitier sécurisé après authentification forte (certificat sur carte à puce et mot de passe robuste).
Une journalisation des accès et des tâches d’administration du dispositif est mise en place. La traçabilité des mouvements d’entrée et de sortie est conservée en mémoire durant une durée de six mois glissants. Ces données sont conservées sur un espace sécurisé et dédié à cet usage.
Dès lors, la Commission observe que les mesures retenues par le responsable de traitement sont de nature à garantir la sécurité du dispositif d’accès distant à des données confidentielles et sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Dans ces conditions, la Commission autorise le GENES à mettre en œuvre un traitement de données à caractère personnel reposant sur un dispositif biométrique et ayant pour finalité de sécuriser l’accès, aux données mises à disposition dans un centre d’accès sécurisé distant (CASD).
La Présidente
I. FALQUE-PIERROTIN
(demande d’autorisation n° 1688274)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Orange d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès physique aux locaux par reconnaissance du réseau veineux du doigt ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés (CNIL) a été saisie par la société Orange d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel de contrôle de l’accès à des salles et des équipements situés à l’intérieur du datacenter Orange en Normandie.
Le dispositif sera mis à disposition en plus du système de contrôle d’accès par badge actuellement utilisé. Il concernera uniquement, d’une part, des salariés permanents des filiales du groupe Orange en charge des services de sécurité et de proximité informatique du site et, d’autre part, des salariés ponctuellement habilités en temps que tiers de confiance pour accéder de manière non accompagnée aux salles contrôlées, que ceux-ci soient des salariés d’Orange ou des employés de ses sous traitants (soit environ 50 à 100 salariés). 
Dans la mesure où le contrôle de l’accès aux locaux est réalisé par un dispositif biométrique, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation de la Commission les traitements automatisés comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Sur la finalité du traitement :
La société Orange souhaite mettre en œuvre un traitement automatisé de données biométriques ayant pour finalité le contrôle d’accès à des salles et des équipements présentant un risque dit d’« impact vital » sur les activités de l’entreprise ou de ses clients via la reconnaissance du réseau veineux du doigt.
Dés lors, la société Orange souhaite compléter l’ensemble des mesures de sécurité de contrôle d’accès par badge qu’elle a adopté pour la sécurité des locaux considérés « sensibles » par un système d’authentification forte, à savoir l’ajout d’un dispositif biométrique de contrôle du réseau veineux Biovein, visant ainsi un double objectif :
assurer la protection des biens et installations d’Orange ; 
protéger les informations appartenant aux clients d’Orange ou à Orange, dont la divulgation, le détournement ou la destruction pourraient leur porter des préjudices graves. 
Sur la base de l’identification des risques et en complément d’autres mesures de gestion des risques, la société a établi la stricte nécessité de recourir à un dispositif biométrique de reconnaissance du réseau veineux du doigt.
La Commission considère que la finalité ainsi définie est déterminée, explicite et légitime. 
Sur la nature des données traitées :
Les données nécessaires concernant les salariés, clients et prestataires sous-traitants (environ 100 personnes) sont des données d’identification (nom, prénom, photographie), professionnelles (nom de la société d’appartenance et service concerné) et biométriques (gabarit du réseau veineux du doigt).
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs. 
Sur la durée de conservation des données :
Ces données sont collectées directement auprès de la personne concernée et sont conservées 5 années au maximum, puis supprimées automatiquement à l’issue de cette période. Des mesures sont également prises pour minimiser la durée de conservation des données lorsque ces dernières ne sont plus utiles au traitement.
Un paramétrage garantit une suppression automatique de la donnée biométrique au bout d’un an.
La durée de conservation et les mesures associées n’appellent aucune observation de la Commission. 
Sur les destinataires des données :
Seules les personnes habilitées du service du personnel et du service gérant la sécurité des locaux auront accès aux données collectées en fonction de leurs missions, ce qui n’appelle pas d’observation de la Commission. 
Sur l'information des personnes :
La société Orange informe ses salariés de la mise en œuvre du dispositif de reconnaissance biométrique via la consultation de son comité d’entreprise. Elle leur remet, de manière individuelle, une note d’information spécifique et détaillée. 
La Commission prend également note que le CHSCT sera consulté. 
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès, de rectification et d’opposition s’exercent par voie postale auprès de la Direction du Pilotage des Sites Stratégiques et de la Direction des Ressources Humaines. 
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès. 
Le dispositif biométrique fonctionne en authentification conjointement à une identification par badge classique, c'est-à-dire qu’il compare la donnée biométrique de la personne souhaitant accéder aux locaux à celle qui a été préalablement enregistrée par le porteur du badge identifié durant l’enrôlement et conservée dans la base centrale.
Une formation est dispensée par le fournisseur de la solution de contrôle d'accès sur le fonctionnement du dispositif biométrique ainsi que sur le contexte technique et juridique de sa mise en œuvre. Des mesures complémentaires sont également prévues pour les personnes ne pouvant pas s’enrôler et pour la politique de gestion des rejets. 
Le contrôle d’accès logique à l'application concernant les données biométriques est effectué par mot de passe (10 caractères d’au moins 3 types, renouvelé tous les 3 mois) avec des mots de passe serveur et base de données distincts. Le nombre d’administrateurs du système est fortement limité et le mot de passe est changé lors de tout changement d’administrateur.
Une traçabilité est présente par une journalisation des accès à l’application (consultation, création, mise à jour, suppression des données). A ce titre, les informations collectées sont un horodatage de connexion et de déconnexion ainsi que l’identifiant de l’utilisateur.
Un suivi mensuel est réalisé et le cas échéant, le responsable de la sûreté ordonne au logiciel sur le serveur la suppression de toutes les données non utiles, y compris du gabarit biométrique.
Enfin, compte tenu de l’objectif de sécurité recherché, des exigences fortes de fiabilité du système et de sécurité des données traitées ont été définies. A titre principal, il s’agit :
du paramétrage spécifique du lecteur biométrique limitant les risques de fausse acceptation (personne faussement reconnue et autorisée à accéder de manière illégitime) ; 
de la vérification de la présence d’une mesure « anti-fraude » (anti-spoofing) intégrée au dispositif biométrique ; 
du signalement de toute tentative d’accès aux lecteurs (débranchement ou arrêt) ;
du chiffrement immédiat des données biométriques lors de l’enrôlement ;
de la limitation à deux responsables de sécurité pour gérer les actions de programmation (enrôlement, administration) de la plate-forme. 
Les mesures de sécurité mises en place sont donc conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société Orange à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité le contrôle d’accès physique aux locaux par reconnaissance du réseau veineux du doigt.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1772406)
La Commission nationale de l'informatique et des libertés,
Saisie par LOUIS VUITTON MALLETIER d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités l’évaluation des risques et la prévention de la fraude au paiement et à la livraison lors des achats sur son site internet;
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° ;
Vu le décret n°2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la décision DF-2011-251 autorisant la société LOUIS VUITTON MALLETIER à transférer des données à caractère personnel vers les Etats-Unis aux fins de fourniture de services de paiements sécurisés pour les achats effectués sur le site internet de Louis Vuitton Malletier ; 
Vu le dossier et ses compléments ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société LOUIS VUITTON MALLETIER fabrique et distribue des produits de luxe et notamment des articles de maroquinerie, bagagerie, joaillerie et prêt à porter.
Sur la finalité
La société LOUIS VUITTON MALLETIER a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité la prévention de la fraude à la carte de paiement ou au compte Paypal lors d’un achat à distance. Afin de lutter contre les tentatives de fraude aux moyens de paiement, elle a recours à un outil d’évaluation des risques présentés par les paiements effectués sur son site Internet. La Commission considère que ce traitement peut avoir pour effet d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant en leur ôtant la possibilité de passer une commande sur le site internet de la société LOUIS VUITTON MALLETIER. Les fraudes recherchées correspondent à des utilisations illégitimes de cartes ou des données qui y sont attachées et de comptes Paypal lorsque ces utilisations risquent de générer un impayé pour la société LOUIS VUITTON MALLETIER. Les utilisations d’une carte par son titulaire légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alerte.L’ensemble des commandes passées sur le site internet LOUIS VUITTON MALLETIER.com font l’objet d’une analyse par l’outil de détection de fraude proposé par la société Cybersource Corp. En cas de transaction identifiée comme présentant un risque de fraude, le service chargé de la
prévention de la fraude procède à une analyse manuelle et approfondie de la commande afin de confirmer ou non le caractère frauduleux de la transaction. Un contact peut être pris avec le client afin de lui demander de confirmer certaines informations, avec le cas échéant communication de pièces justificatives. Si les vérifications complémentaires permettent d’écarter tout risque de fraude, la commande se poursuit normalement. Dans le cas contraire, elle est annulée.Aucune liste recensant les personnes à risque n’est mise en œuvre. La Commission prend acte que, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, les résultats du traitement feront l’objet d’une instruction par le service chargé de la prévention de la fraude au cas par cas, et non automatisée. La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données traitées dans le cadre de l’outil de prévention de la fraude sont les suivantes : 
nom, prénom, adresse de facturation et de livraison ;
courriel ;
numéro de compte client ;
numéro de téléphone ;
informations relatives à la commande : date, montant, produits, devise ;
données relatives à la carte bancaire : type de carte bancaire, numéro de carte tronqué (4 derniers chiffres), date de validité, nombre de tentatives infructueuse ;
numéro de compte Paypal ;
adresse IP ;
« host name » de l’ordinateur, information d’horodatage
Identifiant machine (« device fingerprinting »).
La Commission relève que, parmi ces données, certaines seront collectées directement sur le terminal de l’acheteur  (« device fingerprinting »). L’empreinte numérique du terminal correspond à un code généré à partir des données techniques du terminal  et du navigateur. Ainsi, lors de commandes successives, cette donnée permettra de déterminer si elles ont été effectuées à partir du même poste informatique. La collecte de cette donnée a pour seule finalité de permettre à LOUIS VUITTON MALLETIER de protéger le compte de ses clients contre les risques d’usurpation d’identité et de piratage dans le cadre de la finalité objet de la présente délibération.
Les critères pris en compte pour l’analyse des risques présentés par la commande prennent en compte les données mentionnées ci-dessus et sont basés sur des règles de fréquence et de récurrence déterminées par LOUIS VUITTON MALLETIER. 
Une copie de la pièce d’identité et un justificatif de domicile de la personne ayant passé commande peuvent également être collectés dans des conditions permettant de garantir la transmission et la conservation de ces documents de manière  sécurisée.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
L’accès au traitement est restreint aux seuls collaborateurs habilités de la cellule de la prévention de la fraude de la société LOUIS VUITTON MALLETIER. Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant dans les conditions générales de vente devant être accepté par le client avant de valider sa commande.