AgentPublic/cnil huggingface dataset:
Seul aura accès aux données le personnel spécifiquement habilité au sein de la société BPCE, des caisses participantes au projet, du GIE informatique de la banque Caisse d'Epargne (ITCE), ainsi que de ses prestataires sous-traitants Alias Lab et la société Telecom Italia Sparkle Grèce.
Sur l'information et les droits des personnes :
Les personnes concernées sont informées de leurs droits d’accès, de rectification et d’opposition par des mentions d’information figurant sur le formulaire de souscription à l’expérimentation du service adressé par messagerie interne à l’espace personnel de banque en ligne qui doit être retourné à la Caisse signé par le client.
Les personnes ayant accepté de participer à l’expérimentation disposent toujours de la possibilité d’opter pour une procédure alternative d’authentification par la saisie d’un identifiant et d’un mot de passe sur l’application mobile ou par questions de sécurité sur le plateau téléphonique.
Par ailleurs, les personnes concernées peuvent demander à tout moment et sans frais la suppression de leur modèle vocal biométrique si elles ne souhaitent plus utiliser ce mode d’authentification et participer à l’expérimentation.
Sur la sécurité des données et la traçabilité des actions :
La solution VocalPassword de la société Nuance repose sur la conservation des modèles vocaux en base centrale. Les modèles sont signés avec une clé de licence spécifique au système Nuance déployé, ceci complique l'extraction des gabarits par un tiers, ainsi que la réalisation de transfert de contenu d’une base de gabarits vocaux Nuance dans une autre. 
La base des modèles vocaux est conservée chiffrée chez la société Telecom Italia Sparkle Grèce. L'accès à ces locaux est restreint aux seules personnes autorisées au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.
Les données audio ayant servi à l’enrôlement ainsi que celles servant à l’authentification recueillies ne sont conservées que le temps de réaliser les opérations de création du modèle et de comparaison. Elles sont ensuite effacées.
Des dispositifs anti-rejeu sont mis en œuvre, afin se prémunir d’attaques par usurpation d’identité. Le paramétrage de ces dispositifs, et de la solution VocalPassword dans son ensemble, est réalisé avec le concours de la société AliasLab.
Les échanges réalisés entre le serveur vocal hébergeant le plateau téléphonique et celui hébergeant la solution VocalPassword et les modèles sont sécurisés au moyen du protocole HTTPS. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. Les permissions d'accès sont supprimées pour tout  utilisateur n'étant plus habilité. Une revue globale des habilitations est opérée. Les personnes habilitées s’authentifient par mot de passe.
A ce sujet, la Commission rappelle que, conformément à sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe, elle demande que ces derniers fassent une longueur minimale de douze caractères et soient composés de lettres majuscules, minuscules, chiffres et symboles ou qu’ils fassent entre huit et onze caractères, soient composés de trois des quatre possibilités précitées et associés à une restriction d’accès en cas d’erreurs successives (blocage temporaire de compte, possibilité de nouvelles tentatives après une durée d’attente incrémentielle, etc.). Ils doivent en outre être définis, ou modifiés dès la première connexion,  par l’utilisateur, puis régulièrement renouvelés et ne doivent pas être stockés en clair.
 
Une journalisation des opérations de consultation, création, modification et suppression du traitement est réalisée. La Commission recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et lever des alertes.
Des sauvegardes quotidiennes sont réalisées et sont stockées dans un endroit garantissant leur sécurité et leur disponibilité.
La Commission considère que les mesures de sécurité décrites sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Par ailleurs, la Commission prend note que la BPCE s’engage à lui fournir, à l’issue de l’expérimentation, un bilan de l’expérimentation qui devra notamment comporter les éléments suivants : 
une description des conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté (taux de participation, temps moyen d’authentification, éventuels dysfonctionnements, causes des dysfonctionnements, taux de fausses acceptations, taux de faux rejets) ;
un rapport sur la perception utilisateur (phase de l’enrôlement, ergonomie du service, acceptabilité de la biométrie vocale, taux d’utilisation et de non utilisation ;
une présentation des enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ; 
les suites envisagées par le responsable de traitement sur la base du bilan effectué : axes d’amélioration, abandon du projet, demande de nouvelle expérimentation, demande d’autorisation de mise en œuvre à titre permanent.
En outre, la Commission prend acte que ce dispositif a été conçu dans un contexte expérimental et que les conditions présentées dans ce dossier ne présagent nullement de celles qui pourraient être établies dans l’hypothèse où la pérennisation d’un tel dispositif était envisagée. Dans un tel cas, la Commission recommande que soit examinée la possibilité de  déployer un dispositif qui assure aux personnes concernées de conserver le contrôle sur leurs données biométriques, en étudiant par exemple un stockage sous forme chiffrée des gabarits biométriques dont les clés de chiffrements/déchiffrement sont uniquement détenues par les utilisateurs.
Dans ces conditions, la Commission autorise la société BPCE à mettre en œuvre à titre expérimental, pour une durée de 12 mois, un système d’authentification de ses clients par reconnaissance vocale sur les services de banque à distance.
Enfin, la Commission rappelle que l’entrée en vigueur du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE interviendra le 25 mai 2018. L’article 35-3 de ce texte dispose qu’ « une analyse d’impact relative à la protection des données [...] est, en particulier, requise dans les cas suivants : [...] le traitement à grande échelle de catégories particulières de données visées à l’article 9, paragraphe 1 [...] » parmi lesquelles les données biométriques aux fins d’identifier une personne physique de manière unique.
Aussi, la Commission prend acte de l’engagement pris par la BPCE de réaliser une analyse d’impact relative à la protection des données dans le cas où un projet de pérennisation de cette expérimentation était envisagé à son issue, ainsi que de consulter la Commission, sur la base de cet examen et ce, quel qu’en soit le niveau de risques évalué.
La Présidente
Isabelle FALQUE-PIERROTIN
Délibération n° 2017-147 du 9 mai 2017 autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un outil dénommé « SIAS » permettant l’accompagnement et le suivi social des ressortissants du ministère de la défense.
(Demande d’autorisation n° 2041484)
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de la défense d’une demande d’autorisation concernant la mise en oeuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un outil dénommé « SIAS » permettant l’accompagnement et le suivi social des ressortissants du ministère de la défense ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2007-51 du 11 janvier 2007 relatif à l’action sociale des armées ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Loïc Hervé, commissaire en son rapport, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable du traitement est la direction des ressources humaines du ministère de la défense.
Le service chargé de la mise en œuvre est la sous-direction de l’action sociale de la direction des ressources humaines du ministère de la défense.
Sur la finalité
Le système d’information de l’action sociale « SIAS » est l’outil de l’accompagnement social et de la délivrance d’aides et de prestations au profit des ressortissants du ministère de la défense.
Il permet de poursuivre les finalités suivantes :
instruire et suivre les demandes des prestations sociales ;
élaborer des statistiques aux fins de pilotage de la politique d’action sociale et du réseau social du ministère de la défense en vue d’améliorer la qualité du service à destination des ressortissants du ministère de la défense ;
gérer les crédits des prestations sociales ainsi que les crédits de gestion à la main des centres territoriaux d’action sociale (CTAS), des directions locales de l’action sociale (DLAS), des centres d’action sociale d’outre-mer (CASOM), et des échelons sociaux interarmées (ESIA).
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes conformément aux dispositions de l’article 6-2° de la loi Informatique et Libertés du 6 janvier 1978 modifiée en août 2004.
Sur les données traitées
Dans la mesure où les données collectées dans le cadre des traitements mis en œuvre dans le champ social varient en fonction des particularités des situations sociales rencontrées, du type de prestation ou de l'aide sollicitée ainsi que de la nature des actions individuelles et collectives à accomplir, la Commission rappelle que l’ensemble des données visées ci-dessous n’a pas vocation à être systématiquement recueilli.
Seules devront être collectées et traitées, les données strictement nécessaires à la mise en œuvre de l'accompagnement et du suivi social de la personne concernée. Il appartiendra, le cas échéant, au responsable de traitement de justifier du caractère nécessaire et proportionné des données à caractère personnel pour les besoins du travail poursuivi.
Sous ces réserves, et pour répondre aux finalités du traitement « SIAS », peuvent être collectées et traitées les données relatives : 
à l’identité : nom, nom de jeune fille le cas échéant, prénom, date et lieu de naissance, sexe, adresse du domicile, numéro de téléphone du domicile ou numéro de téléphone portable, courriel personnel ou professionnel, identifiant du ministère de la défense ;
à la vie personnelle : situation familiale, nom du conjoint, nom de jeune fille du conjoint, prénom du conjoint, date et lieu de naissance du conjoint, nombre de personnes vivant au sein du foyer familial, composition de la famille, nom et prénom du ou des enfants, date et lieu de naissance du ou des enfants, adresse postale de l’enfant, nom de l’établissement scolaire, type de formation ou études, libellé de la formation ou études, nom de la structure d’accueil de l’enfant, adresse de la structure d’accueil de l’enfant ;
à la vie professionnelle : numéro de téléphone, grade, affectation, armées d’appartenance, autorité d’emploi, organisme et adresse d’affectation, position administrative et statutaire, date d’entrée en service, date de fin prévisible de l’activité, date de départ à la retraite, ancienneté de service, date d’ouverture et de fin de droit aux prestations d’action sociale, catégorie d’ayant droit, catégorie professionnelle, grade ou emploi de la première affectation, première affectation, organisme et adresse de la première affectation, date de la première affectation, numéro de décision de la première affectation, grade d’emploi de l’ancienne affectation, ancienne affectation, organisme et adresse de l’ancienne affectation, date de l’ancienne affectation, numéro de décision de l’ancienne affectation, date de placement en pré-mutation, date de mutation ;
aux informations d’ordre économique et financier : coordonnées bancaires, nom de l’organisme de sécurité sociale, organisme de versement des prestations familiales, code de la mutuelle, nombre de personnes à charge fiscale, quotient familial de la famille, revenu fiscal de référence, revenu fiscal du concubin, ressources mensuelles du foyer, charges mensuelles du foyer, chèque emploi-service universel ; 
aux aides et prestations : décision d’accord ou de refus des aides ou prestations, montant des aides accordées ;
aux appréciations sur les difficultés sociales des personnes : motifs d’intervention des  assistants du service social et des agents de soutien de l’action sociale, rapport d’évaluation sociale des assistants du service social.
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée en août 2004.
Sur les destinataires
Dans les limites de leurs attributions respectives, et chacun pour ce qui le concerne, peuvent accéder aux données enregistrées dans le traitement, les personnels chargés de l’instruction et de la gestion des demandes d’aides sociales. 
Dans le cadre de leurs missions de versement des prestations, et le cas échéant, de contrôle, peuvent être destinataires des données enregistrées dans le traitement, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître, les organismes suivants :
le service parisien de soutien de l’administration centrale ;
l’institution de gestion sociale des armées.
La Commission estime que ces destinataires présentent un intérêt légitime à connaitre de ces données.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004, par :
des mentions légales sur le formulaire de demande de prestations d’action sociale ; 
la mise à disposition de supports d’information dédiés au sein des locaux de chacune des antennes d’action sociale du ministère de la défense ;
la publication de l’arrêté au Journal officiel de la République française portant création du traitement.
La Commission considère que ces modalités d’information des personnes sont satisfaisantes.
Les droits d’opposition, d’accès et de rectification prévus aux articles 38, 39 et 40 de la loi précitée s’exercent auprès de la direction des ressources humaines/sous-direction de l’action sociale du ministère de la défense.
La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
L’accès à la plateforme par les agents habilités est sécurisé au moyen du protocole https. Concernant le recours à ce protocole, la Commission rappelle qu’elle recommande d’utiliser la version de TLS la plus à jour possible.
Des profils d’habilitation définissent  les fonctions ou les types d’informations accessibles à un utilisateur. Ceux-ci ainsi que leurs droits respectifs sont spécifiés et documentés de manière détaillée, et prennent en compte les accès différentiés aux informations en fonction du besoin d’en connaître.
Les profils sont attribués par les administrateurs fonctionnels de la sous-direction de l’action sociale en fonction des mouvements des personnels, et sur demande des centres territoriaux d’action sociale (CTAS), des directions locales d’action sociale (DLAS), des centres d’action sociale d’outre-mer (CASOM), et des échelons sociaux interarmées (ESIA). 
La Commission rappelle qu’elle recommande que les permissions d'accès soient attribuées pour une durée déterminée, qu’elles soient supprimées pour tout utilisateur n'étant plus habilité et qu’une revue globale des habilitations soit opérée régulièrement.
Elle relève ainsi que la politique de mots de passe élaborée par le ministère pourrait nécessiter une mise à jour afin de maintenir sa conformité aux recommandations de la CNIL suite à la publication de sa délibération 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe. La Commission prend acte que le ministère travaille à sa mise en œuvre.
L’article 5 de l’arrêté prévoit qu’une journalisation des opérations de consultation, création, modification et suppression du traitement est réalisée. La Commission prend note de l’engagement du ministère de modifier le projet d’arrêté afin de prévoir une durée de conservation de 2 ans qui, au vu de l’impact potentiel sur les personnes concernées, est considérée comme proportionnée par la Commission.
La Commission rappelle qu’elle recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et lever des alertes.
Des sauvegardes régulières sont réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission tient à rappeler l’importance de tester régulièrement les sauvegardes.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur les autres caractéristiques du traitement
Les données collectées et traitées pour les besoins du suivi social des personnes concernées sont conservées deux ans dans la base active à compter du dernier contact avec la personne ayant fait l’objet de ce suivi.
Lorsqu’il existe un recours contre un tiers ou un contentieux, les données sont conservées jusqu’à l’intervention de la décision définitive.
À l’expiration de ce délai, les données sont détruites de manière sécurisée ou archivées dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d’archivage des informations du secteur public.
La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, le ministère de la défense à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit du Nord d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre à titre expérimental un système d’authentification de ses clients par reconnaissance vocale sur le serveur de son centre d’appels ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, notamment son article 87 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes
Le Crédit du Nord a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation de mettre en œuvre à titre expérimental un système d’authentification de ses clients collaborateurs par reconnaissance vocale sur le serveur de son centre d’appels.
Ce système vise à sécuriser les opérations faites à distance par le biais du centre d’appels du groupe Crédit du Nord grâce à l'authentification biométrique des clients, couplée à la saisie de leur identifiant et la vérification du numéro entrant (qui doit être l’un des trois enregistrés dans le dossier client).
Cette expérimentation a pour but d’évaluer la fiabilité du système dans un cadre opérationnel, d’analyser les performances de l’outil de reconnaissance vocale par la mesure des faux positifs et faux négatifs et d’apprécier l’appétence des clients pour ce système d’authentification.
Ce projet d’expérimentation est porté par le Crédit du Nord en partenariat avec la Société Générale. Par délibération n° 2014-093 du 13 mars 2014, celle-ci avait été autorisée par la Commission à mettre en œuvre, à titre expérimental, auprès de collaborateurs volontaires, un même système d’authentification vocale.
Ce système repose sur la solution de reconnaissance vocale développée par la société Nuance Communications, VocalPassword.
La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour assurer le contrôle de l’identité des personnes. Il relève, à ce titre, du 8° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par la CNIL.
Sur la finalité du traitement :
Aujourd’hui, les utilisateurs des services du Crédit du Nord ont la possibilité de consulter leurs comptes et de réaliser des opérations bancaires à distance via l’Internet ou en contactant un serveur vocal interactif Etoile Direct . Par téléphone, l’authentification est réalisée par la saisie d’un couple identifiant/mot de passe ou, en cas d’oubli ou perte de mot de passe, par une phase de vérification à l’américaine (questions de sécurité posées par un conseiller multimédia). Le nombre d’opérations pouvant être effectuées à distance dépend du niveau d’authentification du client (accès à un nombre restreint en cas de non saisie du mot de passe).
Le Crédit du Nord souhaite expérimenter, pour une durée d’un an, une méthode d’authentification alternative par reconnaissance vocale.
L’information de mise en place du service expérimental sera transmise aux clients collaborateurs du groupe Crédit du Nord, en activité ou retraités, et leur famille directe (conjoints et enfants majeurs) rattachés à leur périmètre de compte. Seuls les 1000 premiers inscrits pourront participer à cette expérimentation.