AgentPublic/cnil huggingface dataset:
l’iris et du visage parlant (image et son).Des algorithmes dits de « fusion multimodale », c’est-à-dire permettant la reconnaissance d’une personne à partir de l’analyse simultanée de plusieurs caractéristiques biométriques, sont également testés.La mise en œuvre du dispositif repose sur la collecte de données qui a été effectuée auprès du personnel du laboratoire et des étudiants du Groupe des Ecoles des Télécommunications (GET) ainsi que des partenaires. Seules les données des personnes volontaires sont traitées. L’association n’a pas accès aux données d’identification. Elle reçoit seulement les bases de données biométriques accompagnées d’un identifiant.Compte tenu de ce qui précède, dans la mesure où seules les données biométriques de personnes volontaires sont traitées et ce dans le seul but d’évaluer des algorithmes de reconnaissance à des fins de recherche, les traitements soumis à la Commission et en particulier, le recours à la constitution de bases de données biométriques, ne comportent pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.La Commission estime que la finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données traitées sont relatives :
aux données biométriques des participants : image du visage, visage parlant audio/vidéo, signature manuscrite, image de l’iris, image d’empreintes digitales, image de la main, associées à un numéro identifiant ;
à la vie professionnelle : indication droitier ou gaucher, travailleur manuel ou non, support visuel (lentilles ou verres de contact), niveau d’anglais (bas/moyen/bilingue).
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité pour laquelle elles ont été collectées.
Sur les destinataires
Les destinataires des informations sont, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels des laboratoires et les services de recherche des membres de l’association.
De même, peuvent être destinataires des informations, à l’exclusion des données d’identification, les organismes publics ou privés bénéficiant d’une licence d’exploitation de la base sous réserve que :
les traitements soient mis en œuvre pour leurs besoins propres de recherche interne et dans le seul but de tester des systèmes de reconnaissance automatiques, à l’exclusion de toute exploitation industrielle ou commerciale de la base ;
la confidentialité des données soit garantie dans les mêmes conditions que pour les membres de l’association.
La Commission rappelle que lorsque les destinataires sont situés dans des pays n’assurant pas un niveau de protection suffisant des données, le transfert de données doit faire l’objet d’un encadrement contractuel soumis pour autorisation préalable à la Commission nationale de l’informatique et des libertés, conformément aux dispositions de l’article 69 de la loi du 6 janvier 1978 modifiée.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Le formulaire utilisé pour la collecte des données a été accompagné d’un formulaire de consentement que les personnes concernées ont signé et dans le cadre duquel elles ont été informées de la possible transmission d’une partie de leurs données à caractère personnel vers des laboratoires de recherche situés en dehors de l’Union européenne.L’ASSOCIATION BIOSECURE s’engage à prévenir individuellement les personnes concernées que la durée de conservation de leurs données a été prorogée de cinq ans pour une finalité d’expérimentation à des fins de recherche et qu’ils peuvent exercer à tout moment leur droit de retrait en envoyant un courriel à une adresse électronique communiquée sur un support écrit. L’information sera aussi diffusée sur le site web de l’association (http://www.biosecure.info).La Commission rappelle que l’association met à disposition une base de 330 personnes qui correspond à 30 personnes pour  chacun des 11 centres d’acquisition.Les droits d’accès et de rectification s’exercent auprès de l’ASSOCIATION BIOSECURE, 46 rue Barrault, 75634 Paris cedex 13.
Sur les mesures de sécurité
Le stockage des gabarits ou des données brutes est effectué sur un serveur situé dans un local à accès restreint (fermé à clé et à digicode), accessible uniquement dans la journée.Une partie des données peut être distribuée à des chercheurs pour effectuer des traitements (algorithmes biométriques) après validation du responsable du projet.La correspondance entre l’identité des personnes (nom, prénom et coordonnées) et le code identifiant figurant dans la base de données biométriques s’effectue grâce à un fichier distinct qui est sauvegardé sur un CD-ROM et conservé dans un coffre-fort sous le contrôle de chaque personne responsable du projet au sein du réseau. Il en va de même pour les formulaires remplis par les participants à la campagne d’acquisition des données.Les mesures de sécurité mises en place sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, l’ASSOCIATION BIOSECURE à mettre en œuvre le traitement susmentionné.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS
(Demande d’autorisation n° 1909336)
La Commission nationale de l'informatique et des libertés,
Saisie par la Société THALES SERVICES d’une demande d’autorisation portant sur un traitement automatisé de données à caractère personnel portant sur un projet de recherche dont la finalité est le développement et l’amélioration des algorithmes d’un système de surveillance par reconnaissance faciale et comportementale ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société THALES SERVICES coordonne un projet collaboratif de recherche nommé Virtualis (système global de sécurité physique et logique pour les infrastructures critiques) initié à la suite de l'appel à projet FUI15 (fonds unique interministériel) financé par la BPI France. Le projet s’appuie sur un consortium composé de THALES RESEARCH & TECHNOLOGY, THALES COMMUNICATION & SECURITY, l’Université de Lille 2, le CNRS, le Commissariat à l’énergie atomique et aux énergies alternatives (CEA), l’AFNOR, la RATP, SISPIA, EGIDIUM et l’Université de Technologie de Troyes.Le projet Virtualis vise à améliorer la sécurité des infrastructures critiques (bâtiments publics, sites industriels), par la création d’un système de gestion intégrale de la sécurité physique et logique des bâtiments. Plus précisément, l’objectif est d’optimiser les techniques d’analyses de risque en exploitant les flux de données issus des capteurs positionnés dans les bâtiments sur une zone délimitée et en environnement réel.Ce projet s’inscrit dans le cadre des activités de Thales Services, société spécialisée dans les activités de conception, développement et maintenance de systèmes informatiques sécurisés, particulièrement présente sur les problématiques de sécurité des infrastructures critiques.
Sur la finalité
La finalité du traitement est de développer et d'expérimenter à des fins de recherche un prototype de système de sécurité, passant par l’acquisition de données personnelles, dont des données biométriques d’un nombre limité de volontaires, captées en environnement réel.Il s’agit de tester la fiabilité des capteurs et de logiciels de reconnaissance notamment biométrique, en centralisant l’analyse de ces données sur une plateforme aux fins d’optimisation de la gestion des risques. Les tests seront effectués dans une aile des bâtiments occupés par THALES SERVICES dédiée à l’expérimentation. Le projet implique de traiter les données biométriques des participants volontaires, d’une part, pour renforcer l’authentification des personnes par badge lors du contrôle d’accès à une salle sécurisée et, d’autre part, pour corréler les pistes d’une caméra à une autre dans un réseau de caméras , afin de ré-identifier les individus sur un parcours donné, notamment par une reconnaissance faciale « à la volée ».Le suivi des personnes est permis par l’installation d’une dizaine de caméras positionnées dans l’aile du bâtiment dont les flux seront analysés aux fins de ré-identification des personnes filmées, en temps réel. THALES SERVICES traite les images de manière à associer différentes trajectoires fournies par le système de suivi, en créant et en exploitant la signature visuelle des personnes (représentation de la personne extraite de l’image brute). La création et la reconnaissance de la
signature visuelle d’une personne ne nécessite pas l’enrôlement de cette dernière, les données de représentation permettant de générer la signature étant acquises lors du passage des volontaires dans le champ  des caméras. La signature visuelle est produite grâce à un algorithme confidentiel.Le stockage et la comparaison entre différents flux d’images issues des caméras s’effectuent sur des serveurs dans un réseau local. Par ailleurs, THALES recourt à la reconnaissance faciale dans deux cas. En premier lieu, un traitement de reconnaissance faciale s’ajoute à la reconnaissance de la signature visuelle afin d’améliorer le dispositif de suivi des trajectoires des volontaires passant dans le champ des caméras. Aucun enrôlement des personnes volontaires n’est prévu dans ce cadre. La capture de l’image de référence et la construction du gabarit sont effectuées à la volée, lors du passage des personnes dans le champ des caméras. En deuxième lieu, la reconnaissance faciale vient renforcer le contrôle d’accès par badge à une zone déterminée. Dans ce cas, les personnes volontaires devront se présenter devant une caméra afin d’enrôler leur visage. Le contrôle d’accès par badge peut également être conjugué à une reconnaissance de l’iris des volontaires. L’enrôlement des personnes est dans ce cas effectué grâce à un capteur dédié, permettant de générer le gabarit comparé lors du contrôle d’accès.A titre d’exemple, ces différents dispositifs peuvent être combinés de la manière suivante :
un volontaire entre dans la zone dédiée à l’expérimentation, présente un badge délivré pour les besoins et pour la durée du projet de recherche, puis circule dans les couloirs. Son parcours pourra être suivi au moyen de la ré-identification présentée plus haut, effectuée via la reconnaissance du visage et de la signature visuelle. Ces parcours sont analysés afin d’identifier les trajets peu fréquents et ceux récurrents. Par ailleurs, le volontaire se présente à l’entrée d’un local sécurisé par badge et reconnaissance biométrique : il badge et s’authentifie en présentant son iris ou son visage devant le capteur dédié. Chacune de ces opérations est tracée par la seule collecte de l’identifiant rattaché au gabarit ou à la signature visuelle captée. Elle ne donne pas lieu à la conservation des données brutes ou des gabarits associés aux opérations de suivi. Au regard de l’objectif du traitement et de son caractère expérimental, la Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur les données traitées
Les données traitées concernent les personnes participant au projet de recherche sur la base du volontariat. Il s’agit, d’une part, des membres du personnel de la société THALES SERVICES et, d’autre part, de salariés de membres du consortium agissant également sur la base du volontariat.  
Les catégories de données concernées sont : 
les gabarits de l’iris et du visage associés à un pseudonyme ;
la position des personnes dans l’image du flux vidéo, se présentant sous forme de boite englobante ;
la signature visuelle de la personne suivie, dans un format conçu par le CEA et chiffrée : elle n’est donc pas interprétable par un tiers ;
l’âge de la personne.
Le lien entre l’identité des personnes et le code identifiant figurant dans la base de données est contenu dans un fichier distinct conservé dans une zone d’accès restreint.
Dans ces conditions, la Commission considère que la collecte des données est proportionnée à la finalité du traitement.
Sur la durée de conservation 
Les données seront conservées pendant la durée du projet Virtualis dont le terme est prévu le 31 mars 2018, afin de pouvoir recalculer les associations et ainsi améliorer les algorithmes.
Sur les destinataires
THALES SERVICES transmet :
les flux vidéo au CEA, à l’Université de Troyes et à EGIDIUM ;
les informations de signature visuelle au CEA ;
Les destinataires des informations signent un engagement de confidentialité précisant leurs obligations respectives, notamment en termes de limitation de l’utilisation des données au seul cadre du projet Virtualis, et de sécurisation logique et physique des données transmises.
Les données leur sont transmises par voie matérielle, à savoir la remise d’un disque dur externe chiffré.
Les destinataires s’engagent à détruire les données précitées au terme du projet Virtualis.
Sur l’information et le droit d’accès
Le consentement des personnes concernées par  l’expérimentation est recueilli préalablement à leur participation au projet. Un formulaire spécifique leur est délivré à cet effet.Ce formulaire à signer comprend notamment une explication sur la nature du projet de recherche, la durée de conservation des données, les destinataires des données et les modalités d’exercice des droits, y compris la possibilité de demander la suppression des données à tout moment auprès de THALES SERVICES.Les personnes ayant accepté de participer à l’expérimentation pourront à tout moment, et sans motif, mettre fin à leur participation. Une information complète sur l’expérimentation, la zone concernée et la manière d’exercer les droits garantis par la loi sera affichée aux entrées de la zone dédiée. Afin d’éviter d’acquérir les données de personnes dont le consentement n’aura pas été recueilli, un chemin annexe non concerné par l’expérimentation sera affiché aux entrées de manière à permettre aux salariés et aux visiteurs d’éviter de voir leur image captée et exploitée dans le cadre du projet de recherche.Les formulaires signés sont conservés aux fins de preuve jusqu’au terme du projet de recherche. La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Le terminal de lecture-comparaison biométrique est équipé d’un dispositif anti-arrachement. Les flux vidéo sont traités par un logiciel interne Thales, hébergé sur un ordinateur muni d’un dispositif anti-arrachement, situé dans une salle à accès restreint et connecté à un réseau local dédié au projet Virtualis. La Commission prend acte que l’accès aux systèmes sera restreint par un identifiant et un mot de passe fournis aux salariés des destinataires des données, membres du consortium constitué pour réaliser le projet Virtualis, et que les habilitations seront fournies par le responsable du projet Virtualis.Le lien entre l’identité des personnes et le code identifiant figurant dans la base de données biométriques est contenu dans un fichier distinct, sauvegardé sur une clé USB chiffrée et conservée dans une zone d’accès restreint auquel n’a accès que le seul responsable du traitement.Les gabarits ne sont pas liés aux noms des personnes mais à des pseudonymes générés aléatoirement. Il n’y a pas de lien avec les formulaires de consentement.Toutes les données sensibles sont chiffrées par un algorithme AES 128 bits. Un programme dédié, sur un serveur séparé muni d’une sécurité différente de la base de données, assure le chiffrement/déchiffrement des données stockées, la comparaison des gabarits en mémoire locale et leur effacement une fois les comparaisons effectuées.Les mots de passe contiennent au moins 8 caractères contenant une majuscule, un chiffre et un symbole, ils sont à
modifier lors de la première connexion et sont valables 3 mois. Toutefois, la Commission recommande que les mots de passe soient composés de 12 caractères minimum, comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux.En outre, la Commission demande que les mots de passe et clés de chiffrement pour les systèmes manipulant les données biométriques (ordinateur, base de données, programme de comparaison, clé USB, disque dur externe) soient communiqués, et le cas échéant stockés, de manière sécurisée et que toutes les personnes amenées à en être destinataires aient préalablement signé un engagement de confidentialité spécifique. Sous ces réserves, la Commission estime que les mesures de sécurité mises en place sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Le projet prendra fin le 31 mars 2018L’hébergement de la base de données contenant les flux vidéo est assumé par Thales Services, par le CEA, par l’Université de Technologie de Troyes et par Egidium.L’hébergement des signatures visuelles est assuré par Thalès Services et par le CEALa Commission demande qu’un bilan d’évaluation de l’expérimentation lui soit présenté dans les trois à six mois après la fin du projet. La Commission rappelle que la présente autorisation ne préjuge en aucune manière de l’éventuelle délivrance d’une autorisation pérenne.
Autorise, conformément à la présente délibération, la société THALES SERVICES à mettre en œuvre le traitement susmentionné.
Pour La Présidente
Le Vice-Président Délégué
Marie-France MAZARS
(demande d’autorisation n° 1627297)
La Commission nationale de l'informatique et des libertés,
Saisie par la société RueduCommerce SA d’une demande d’autorisation portant modification d’un traitement de données à caractère personnel ayant pour finalité la détection des transactions présentant un risque de fraude ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, modifiée par la directive 2009/136/CE du 25 novembre 2009 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 25-I-4°, 32-II et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-045 du 28 février 2013 autorisant la société RueduCommerce SA à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la détection des transactions présentant un risque de fraude ;
Vu la délibération n° 2013-358 du 14 novembre 2013 portant adoption d’une recommandation concernant le traitement des données relatives à la carte de paiement en matière de vente de biens ou de fourniture de services à distance et abrogeant la délibération n° 03 034 du 19 juin 2003 ;
Vu la délibération n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux cookies et autres traceurs visés par l’article 32-II de la loi du 6 janvier 1978 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
La société RueduCommerce SA, ci-dessous dénommée RueduCommerce, commercialise des produits informatiques et électroniques grand public exclusivement par Internet (« pure player »).
Afin de lutter contre les tentatives de fraude à la carte bancaire effectuées lors d’achats à distance, elle a recours à un outil d’évaluation des risques présentés par ce type de transaction. Ce traitement a pour objet de détecter les transactions présentant un risque de fraude et susceptibles de générer un impayé.
La Commission considère que ce traitement peut avoir pour effet d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant, en leur ôtant la possibilité de recourir librement à ce mode de paiement à distance. Ce traitement relève donc du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la Commission.
A ce titre, la société RueduCommerce a été autorisée par la délibération n° 2013-045 du 28 février 2013 à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la détection des transactions présentant un risque de fraude.
Ce traitement comporte deux modules. Le premier module permet d’évaluer si les transactions de clients dits « à risque » – tels que les personnes résidant à l’étranger ou déclarant une adresse de livraison distincte de leur adresse de résidence – présentent ou non de réels risques de fraude, notamment via l’étude de documents justificatifs de leur identité et de leur domicile. Le second module permet d’enregistrer les données relatives aux clients suspectés de fraude et qui sont effectivement à l’origine d’un impayé, afin d’identifier, lors d’une prochaine commande, que leur dossier présente un risque particulier de fraude.
Les fraudes recherchées correspondent uniquement à des utilisations illégitimes de cartes bancaires ou de données qui y sont attachées, lorsque ces utilisations risquent d’avoir des conséquences préjudiciables pour la société RueduCommerce. Les utilisations d’une carte par son porteur légitime rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude visés.
La société RueduCommerce a saisi la Commission d’une demande de modification de l’autorisation octroyée pour le traitement précité. Les modifications concernent la nature des données traitées et les caractéristiques du traitement.
En complément des données de connexion mentionnées dans la délibération n° 2013-045 du 28 février 2013, la société RueduCommerce souhaite collecter l’empreinte numérique du terminal (« device fingerprinting ») ayant permis de réaliser la commande.
L’analyse de l’empreinte numérique du terminal est une fonctionnalité de l’outil de détection de fraude proposé par le prestataire de services auquel la société RueduCommerce souhaite avoir recours, la société Cybersource Corporation. La société RueduCommerce souhaite que l’ensemble des commandes effectuées sur son site web fasse l’objet d’une analyse par cet outil.