AgentPublic/cnil huggingface dataset:
Enfin, le projet de décret prévoit que les membres des commissions de contrôle, mentionnées à l' article L. 19 du code électoral dans sa version issue de la loi n° 2016-1048 du 1er août 2016 susvisée, ont accès aux données contenues dans les demandes d'inscription déposées auprès de la commune, aux fins de statuer sur les recours mentionnés au III de l'article L. 18 du code électoral et de vérifier la régularité de la liste électorale en application de l'article L. 19 du même code, ce qui apparaît justifié à la commission.
S'agissant des personnes pouvant être destinataires de tout ou partie de données et informations du traitement dans le cadre de leurs attributions légales et dans la limite du besoin d'en connaître, le projet de décret mentionne en premier lieu les agents des postes diplomatiques et consulaires individuellement habilités et les agents individuellement désignés de l'Institut de la statistique et des études économiques (ISEE) de la Nouvelle-Calédonie, pour les seules données et informations nécessaires à la gestion des listes électorales de la Nouvelle-Calédonie, ainsi que les membres des commissions de contrôle précitées.
Il mentionne également, conformément à l' article 2-5 du décret n° 79-160 précité, les autorités électorales des pays de l'Union européenne pour les seules données et informations relatives à l'identité de leurs ressortissants inscrits sur une liste électorale complémentaire.
Dans ces conditions, la communication d'informations à l'ensemble de ces agents et autorités apparaît justifiée à la commission.
Le projet de décret prévoit que pourraient également être destinataires de données les fournisseurs de téléservices relatifs à l'accès à la situation électorale . Les téléservices mentionnés sont ceux dont la création est prévue par le projet de décret pour permettre aux électeurs d'avoir accès aux données et informations du REU les concernant. Sur ce point, le ministère a précisé que les fournisseurs des téléservices prévus par le projet de décret auront accès à un web-service dédié qui, en réponse à l'envoi d'identification d'un électeur, renverra, selon les cas, soit les informations sur la situation électorale et le bureau de vote, soit l'ensemble des informations de la liste électorale le concernant. Si la commission en prend acte, elle ne se prononcera sur les conditions exactes de la communication d'informations via ces téléservices que lorsque lui sera soumis le projet d'arrêté autorisant leur mise en œuvre.
Enfin, pour la réalisation d'études statistiques, le projet de décret prévoit que des informations et données du traitement pourraient être communiquées à l'INSEE et aux services statistiques ministériels dans les conditions prévues par la loi du 7 juin 1951 susvisée, ce dont la commission prend acte.
Sur l'information et les droits des personnes concernées :
En ce qui concerne l'information des intéressés, la commission prend acte que les formulaires CERFA d'inscription sur les listes électorales comporteront l'ensemble des mentions prévues au I de l'article 32 de la loi du 6 janvier 1978 modifiée et que les intéressés seront en particulier informés sur le caractère facultatif des coordonnées de contact.
Elle relève toutefois que des opérations réalisées par le système de gestion du traitement interviendront de manière automatique, sans que les intéressés n'en soient nécessairement informés. Il en est ainsi des rectifications des éléments d'identité susceptibles d'être automatiquement réalisées suite à la confrontation des données contenues dans une demande d'inscription avec celles enregistrées dans le RNIPP. Si la commission juge légitime le souhait d'automatiser certains contrôles pour accélérer et renforcer la fiabilité des vérifications effectuées, elle estime qu'une information des intéressés doit être prévue lorsque l'état civil enregistré se distingue de l'état civil déclaré, cette information pouvant intervenir au moment de la notification de la décision d'inscription. L'information des électeurs apparaît également nécessaire à la commission pour toute opération dans le REU relative à la situation électorale des personnes et qui ne résulterait pas d'une démarche de leur part, ce qui lui semble permettre de réduire le risque d'erreurs.
L'article 10 du projet de décret prévoit que les droits d'accès et de rectification prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent directement auprès de l'Institut national de la statistique et des études économiques. Le même article précise qu'il s'exerce auprès de l'Institut de la statistique de la Polynésie française pour les listes électorales de la Polynésie française et auprès de l'administrateur supérieur pour les îles Wallis et Futuna pour les listes électorales de Wallis-et-Futuna.
Enfin, l'article 11 du projet de décret prévoit que le droit d'opposition prévu à l'article 38 de la même loi ne s'applique pas au traitement, ce qui n'appelle pas d'observation de la part de la commission dans la mesure où le traitement répond à une obligation légale.
Sur la sécurité des données et la traçabilité des actions :
La commission relève que les échanges de données seront réalisés via des canaux de communication chiffrés et assurant l'authentification de la source et du destinataire. Elle recommande, concernant le recours au protocole SSL/TLS, d'utiliser la version de TLS la plus à jour possible.
Elle relève également que des profils d'habilitation sont prévus afin de gérer les accès aux données au regard des besoins des agents et que les données ne pourront être consultées que via un serveur de rebond. Chaque utilisateur disposera d'un identifiant personnel.
La commission rappelle en outre que, conformément à ses recommandations dans ce domaine, les mots de passe doivent avoir une longueur minimale de douze caractères et être composés de lettres majuscules, minuscules, chiffres et symboles ou comporter entre huit et onze caractères, composés de trois des quatre possibilités précitées et associés à une restriction d'accès en cas d'erreurs successives (blocage temporaire de compte, possibilité de nouvelles tentatives après une durée d'attente incrémentielle, etc.).
Elle prend également acte qu'une journalisation des opérations de consultation, création et modification des données est prévue, avec une durée de conservation des journaux de trois mois. La commission rappelle toutefois que les données de traçabilité du traitement ne doivent être utilisées qu'en cas de suspicion d'opérations illégitimes sur les données et que les utilisateurs doivent être informés des mesures de traçabilité prévues. Elle recommande de réaliser un contrôle régulier des traces, de manière automatique, afin de détecter les comportements anormaux et de générer des alertes.
Le ministère a en outre indiqué qu'une procédure d'homologation du système était en cours.
Il ressort par ailleurs du dossier que les mises à jour des logiciels seront installées de manière régulière, que des mesures spécifiques sont prévues pour garantir la disponibilité des données et services et que des sauvegardes quotidiennes seront réalisées. Ces sauvegardes seront testées régulièrement afin de vérifier leur intégrité. Le transfert des sauvegardes sera également sécurisé, étant précisé que les sauvegardes seront stockées dans un endroit garantissant leur sécurité et leur disponibilité. Enfin, un plan de reprise d'activité pour limiter l'impact d'un incident majeur sur le site principal a été prévu.
Une suppression sécurisée des données est prévue afin d'assurer la confidentialité des données qui peuvent être contenues dans les supports de stockage en cas de panne ou de mise au rebut.
L'effectivité et l'adéquation des mesures seront contrôlées par un audit de sécurité avant le déploiement généralisé du dispositif. Cet audit comprendra à la fois un test de conformité et des tests d'intrusion. Le ministère a également prévu un contre-audit afin de vérifier l'application des éventuelles mesures de correction qui s'avéreraient nécessaires.
Dans ces conditions, la commission considère que les mesures prévues par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que le respect de cette exigence nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Saisie par la société MEMENTO d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’identification biométrique de personnes prises en photographie pour leur permette d’accéder directement à celles qui les concernent ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-8 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations, 
Formule les observations suivantes :
La société MEMENTO a mis au point une solution qui vise à permettre aux clients d’un club ou séjour de vacances d’accéder directement aux photographies sur lesquelles ils apparaissent au moyen d’une application mobile dédiée afin de les partager et/ou commander auprès du photographe. 
Outre son aspect pratique et dématérialisé, cette solution a, selon la société, pour objectif d’éviter que ne soit exposé à tous l’ensemble des photographies prises au cours du séjour.
Afin présenter directement les photographies aux seules personnes qui y apparaissent, la société MEMENTO souhaite baser le fonctionnement de son service sur une identification par reconnaissance faciale. 
Le projet de traitement automatisé, parce qu’il prévoit le recours à des données biométriques pour assurer le contrôle de l’identité des personnes, relève du paragraphe I, 8°, de l’article 25 de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par la CNIL.
La société MEMENTO a ainsi saisi la Commission d’une demande d’autorisation de mettre en œuvre un tel traitement. 
Sur la finalité du traitement :
 
Afin notamment d’éviter que les photographies prises lors d’un séjour ou d’évènement ne soient exposées à tous via des tableaux géants ou des bornes numériques, la société MEMENTO a développé une plateforme permettant que ces photographies soient accessibles directement aux personnes qui y figurent dans un espace numérique personnel dédié et sécurisé.
Au-delà de l’aspect pratique que cette plateforme peut recouvrir pour les personnes concernées qui pourront dès lors aisément partager et commander les photographies de leur choix et du souci de préservation de toute exposition publique des photographies, cette solution a vocation à permettre aux personnes concernées de mieux contrôler et gérer leur droit à l’image. 
A leur arrivée sur le lieu d’un séjour de vacances ou d’un évènement, chaque personne potentiellement concernée se voit remettre un formulaire d’information relatif à la solution déployée, formulaire sur lequel il leur sera demandé de consentir ou non à la mise en œuvre du dispositif de reconnaissance faciale que cette solution implique. 
Les photographes sur place ne transmettent à la société MEMENTO que les seules photographies sur lesquelles figurent les personnes ayant signé cette autorisation (ou dont les représentants légaux ont signé cette autorisation) ; celles-ci sont identifiées par un bracelet de couleur pour permettre aux photographes de clairement les distinguer. Les photographies représentant les personnes qui n’auraient pas consenti à un tel traitement se sont pas enregistrées par les photographes sur la plateforme MEMENTO et peuvent être consultées par les personnes concernées par les moyens classiques (tableau d’affichage, bornes, etc.).
Les personnes ayant consenti à un tel dispositif peuvent accéder aux photographies sur lesquelles elles figurent à partir de l’application MEMENTO, après avoir procédé à leur enrôlement. 
Pour s’inscrire sur l’application, les utilisateurs fournissent une adresse courriel, un identifiant et un mot de passe. 
A l’installation de cette application, les utilisateurs sont informés des traitements de données à caractère personnel mis en œuvre et invités à consentir au traitement de reconnaissance faciale, notamment lors de la phase d’enrôlement. Pour ce faire, ils doivent réaliser jusqu’à trois autoportraits avec leur téléphone mobile.
Une comparaison biométrique des gabarits calculés à partir de ces autoportraits est ensuite réalisée afin que les photographies transmises par le photographe soient affectées, en temps réel, à l’utilisateur correspondant. 
Les utilisateurs de l’application ne pourront accéder aux photographies sur lesquelles ils figurent sans avoir préalablement et spécifiquement consenti à la mise en œuvre du dispositif biométrique. 
Au sein de l’application, l’utilisateur dispose de la possibilité d’activer ou de désactiver la reconnaissance faciale grâce à un bouton inséré dans le menu de l’application. La durée de conservation des données biométriques est fixée à quinze jours à compter de l’enrôlement de l’utilisateur sur l’application mobile.
L’utilisateur est informé que son compte utilisateur et ses données seront conservés par défaut pendant une durée de trois semaines à compter de la date de création du compte sur l’application mobile ou, à défaut, de la date d’envoi sur la plateforme MEMENTO d’une première photographie.
Les utilisateurs seront néanmoins notifiés à l'avance de la suppression prochaine de leur compte, et il leur sera possible, à tout moment, d'étendre, s'ils le souhaitent, la période d'utilisation de la solution dans le paramétrage du compte utilisateur. 
Le caractère novateur d’une telle solution et le cadre strict applicable aux traitements de données biométriques sous l’égide du RGPD a conduit la société MEMENTO à opter pour la mise en œuvre d’une phase expérimentale. Celle-ci permettra d’évaluer la fiabilité du système dans un cadre opérationnel, d’analyser les performances de l’outil et d’apprécier l’appétence des clients pour ce type de service. La durée prévue de l’expérimentation est de six mois. A partir d’estimation sur l’affluence et sur le taux d’utilisation du service, la société MEMENTO évalue que l’expérimentation est susceptible de concerner entre 100 et 700 utilisateurs.
La Commission considère que la finalité du traitement mis en œuvre à titre expérimental est déterminée, explicite et légitime.
Sur le fondement juridique du traitement :
La Commission rappelle que, conformément aux dispositions de l’article 7 de la loi du 6 janvier 1978 modifiée, le consentement ne peut servir de base légale valable au traitement que s’il est libre, spécifique et informé.
 
Dans le cas présent, les personnes concernées sont invitées par deux fois à consentir ou non au traitement de leurs données biométriques :
dès leur arrivée sur le lieu du séjour ou de l’évènement, elles sont invitées à accepter ou non le calcul d’un gabarit biométrique nécessaire à la recherche de correspondances entre les visages figurant sur les photographies enregistrées sur la plateforme MEMENTO et les utilisateurs qui s’y seront enrôlés ;
lors de l’installation de l’application MEMENTO, au stade de leur enrôlement, les utilisateurs sont à invités à manifester ou non leur accord à la réalisation d’une comparaison biométrique entre les gabarits issus de leurs autoportraits et ceux des visages figurant sur les photographies enregistrées sur la plateforme MEMENTO. Dans la mesure où les gabarits extraits des visages présents sur les photographies sont exploités en temps réel pour effectuer la comparaison et permettre l’éventuel rapprochement avec les gabarits des utilisateurs de l’application, ceux-ci ne se verront affecter dans l’application que les photographies sur lesquelles ils figurent prises postérieurement à leur enrôlement.
Les personnes conservent la possibilité de ne pas consentir ou de retirer leur consentement à tout moment du processus, ainsi que d’obtenir la suppression des modèles biométriques constitués et de choisir d’accéder aux photographies sur lesquelles ils figurent par les moyens usuels (tableau d’affichage, borne, etc.). 
Dans le cadre de l’expérimentation, les photographies des personnes ayant consenti à la biométrie continueront d'être accessibles par défaut par le procédé classique. Si une personne exprime le souhait contraire, les outils MEMENTO permettront au photographe de distinguer automatiquement les photographies la représentant afin qu’elles n’apparaissent pas sur les moyens d’accès aux photographies classiques. 
La mise à disposition d’un moyen alternatif n’impliquant pas de dispositif biométrique, sans surcoût ni contrainte particulière pour les personnes concernées, est essentielle afin de garantir la liberté du consentement. La Commission rappelle donc que l’alternative existante doit être présentée aux personnes potentiellement concernées avant qu’elles n’expriment leur choix et être maintenue, sans contrainte additionnelle, en tant qu’option permettant d’accéder aux photographies sur lesquelles elles figureraient. 
Sous ces réserves, le traitement soumis à la présente autorisation repose sur le consentement préalable des personnes concernées, conformément à l’article 7 de la loi du 6 janvier 1978.
 
Sur la nature des données traitées :
Le traitement envisagé par la société MEMENTO implique la collecte des données suivantes :
les coordonnées des personnes concernées ;
des photographies et autoportraits des personnes concernées ;
des modèles biométriques calculés.
La Commission considère que la collecte de ces données est proportionnée à la finalité poursuivie.
Sur la durée de conservation des données :
Le gabarit issu des autoportraits des utilisateurs de l’application mobile est conservé pendant une durée de quinze jours à compter de l’enrôlement de la personne concernée sur l’application. Passé ce délai, les gabarits issus des autoportraits sont automatiquement détruits. Néanmoins, l’utilisateur dispose de la faculté de définir la durée exacte de son autorisation d’exploitation en paramétrant l’application et/ou en révoquant le cas échéant son consentement au traitement biométrique.
 
S’agissant des gabarits biométriques issus des visages présents sur les photographies transmises par les photographes, ils ne sont calculés qu’au moment où une photographie est transmise sur la plateforme MEMENTO afin de permettre le rapprochement avec un gabarit issu des autoportraits. Ces gabarits sont traités en temps réel et ne sont pas conservés une fois cette comparaison effectuée. Dans le cadre de l’expérimentation, les utilisateurs ne pourront récupérer les photographies qui auraient été prises avant leur inscription et enrôlement sur l’application.
Les autres données collectées (compte utilisateur, coordonnées, photographies, etc.) sont conservées par défaut pendant une durée de trois semaines à compter de la création du compte sur l’application mobile ou, à défaut, de la date d’envoi sur la plateforme MEMENTO d’une première photographie. L’utilisateur dispose néanmoins de la possibilité de définir une durée de vie du compte et de conservation de ses données qui soit inférieure ou supérieure à trois semaine en indiquant dans les paramètres de l’application la date de son choix. 
Sur les destinataires des données :
 
Seul aura accès aux données le personnel spécifiquement habilité à cet effet de la société MEMENTO.
Sur l'information des personnes :
Les personnes concernées sont informées de manière granulaire des opérations de traitement conformément aux dispositions de l’article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée et ce notamment, dès leur arrivée sur le lieu du séjour ou de l’évènement puis au stade de l’enrôlement à l’ouverture de l’application MEMENTO.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les personnes concernées peuvent exercer leur droit d’accès auprès de MEMENTO. 
 
Elles peuvent à tout moment demander la suppression des données qui les concernent, y compris de leur gabarits, en suivant la procédure prévue à cet effet sur l’application ou en contactant directement la société MEMENTO par courriel ou téléphone.
Sur la sécurité des données et la traçabilité des actions :
La création d’un compte MEMENTO est accessible à partir de l’espace personnel créé sur l’application mobile Club Med Villages (disponible à partir de l’Apple Store ou du Play Store). Ce procédé prévient ainsi les créations de compte par des personnes non-autorisées, c'est‑à‑dire n’ayant pas été sur les lieux de vacances et n’ayant donc pas été prises en photographie.
L’accès à l’espace personnel est conditionné à l’utilisation d’un couple identifiant/mot de passe. Les règles régissant la composition des mots de passe et leur stockage sont conformes aux exigences fixées par la Commission dans la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
Les échanges de données entre l’espace personnel et les serveurs de la société MEMENTO se font via le protocole HTTPS/TLS, qui permet de garantir la confidentialité des données échangées ainsi que l'authentification. Les recommandations techniques publiées par l’ANSSI dans sa note technique recommandations pour la sécurisation des sites web  sont mises en œuvre.
Une fois l’espace personnel MEMENTO créé, un gabarit biométrique est dérivé à partir de photographies (entre un et trois autoportraits). Plusieurs vérifications assurent (i) que chaque photographie montre bien un unique visage ; (ii) que cette photographie n’a pas déjà été utilisée dans le cadre du traitement mis en œuvre par la société MEMENTO ; (iii) que toutes les photographies fournies appartiennent bien à la même personne ; et (iv) que la personne n’est pas déjà enrôlée. 
Une fois le gabarit extrait, les images sources sont supprimées. En revanche, une version dégradée de celles-ci – rendant l’extraction fiable de caractéristiques biométriques inopérante – est conservée pour être affichée dans l’espace personnel du client.
Les gabarits biométriques sont conservés dans une base séparée, isolée du reste du traitement. Les accès à cette base sont restreints aux applications bénéficiant d’un certificat logiciel approprié. Enfin, les gabarits sont chiffrés avec des algorithmes à l'état de l'art et des procédures de gestion de clés appropriées sont mises en œuvre.