AgentPublic/cnil huggingface dataset:
Lors de la première utilisation de l'extension LBP Pay, le client saisit l'identifiant à huit chiffres communiqué par courrier postal et choisit le mode d'authentification permettant de déclencher le paiement. Trois options lui sont alors offertes entre l'authentification vocale, la saisie d'un code à usage unique envoyé par message texte (3DS) ou encore l'authentification par le biais d'une application préalablement téléchargée sur son ordiphone et enrôlée. S'il choisit la reconnaissance vocale, le client est appelé sur son téléphone mobile pour s'enrôler ; il est alors invité à prononcer les phrases dictées par des consignes vocales afin de créer un modèle vocal. Lors des authentifications suivantes, le client est de nouveau appelé et invité à répéter une phrase d'authentification, qui sera comparée au modèle vocal constitué lors de son enrôlement.
La reconnaissance du locuteur se base sur la modélisation physique des caractéristiques du conduit vocal de la personne concernée. Un modèle de voix est créé en enrôlant des échantillons vocaux de la personne. Le système détermine si c'est bien le locuteur qui parle ou non dans l'enregistrement.
Une des propriétés du modèle vocal constitué lors de l'enrôlement est qu'il est non réversible ; les traits biométriques - ici la voix de l'utilisateur - ne peuvent pas être reconstitués à partir du modèle. En effet, ce modèle représente une distribution de probabilités d'un certain nombre de caractéristiques de la voix et n'est pas un enregistrement de celle-ci.
Sur le fondement juridique du traitement :
Le traitement de reconnaissance vocale repose, conformément à l'article 7 de la loi du 6 janvier 1978, sur le consentement spécifique, libre et éclairé de la personne concernée, qui choisit de recourir à ce mode d'authentification lors de l'utilisation de l'extension LBP Pay. La solution offre des dispositifs d'authentification alternatifs à la reconnaissance vocale, sans surcoût ni contrainte particulière pour la personne concernée.
Il est possible de revenir à tout moment et sans frais sur les choix exprimés quant au mode d'authentification et d'obtenir la suppression des modèles biométriques constitués lorsque la personne concernée signifie qu'elle ne souhaite plus utiliser l'authentification vocale.
Sur la nature des données traitées :
Les données collectées auprès des clients choisissant de recourir à l'authentification vocale sont les suivantes :-	nom, prénom ;-	numéro de la carte bancaire que la personne concernée choisit d'enregistrer dans l'outil ;-	numéro de téléphone mobile, adresse électronique ;-	modèle biométrique vocal (l'enregistrement permettant de produire le modèle biométrique vocal n'est pas conservé).
La Commission considère que la collecte de ces données est proportionnée à la finalité poursuivie.
Sur la durée de conservation des données :
Les nom, prénom, numéro de carte bancaire, numéro de téléphone mobile, adresse électronique, ainsi que le modèle biométrique vocal sont stockés pour la durée de souscription au service avec la méthode d'authentification biométrique.
Les demandes d'authentification sont tracées et conservées pendant quinze mois.
Sur les destinataires des données :
Seul aura accès aux données le personnel spécifiquement habilité à cet effet de la Banque Postale ainsi que de son prestataire sous-traitant, soumis à des obligations de confidentialité renforcées.
Sur l'information et les droits des personnes :
Les personnes concernées sont informées de leurs droit d'accès, de rectification et d'opposition par des mentions d'information figurant sur les formulaires de souscription au service, par les mentions légales figurant sur le site de la Banque en ligne, et par l'envoi d'un courrier spécifique.
Les personnes concernées peuvent demander à tout moment et sans frais la suppression de leur modèle vocal biométrique si elles ne souhaitent plus utiliser ce mode d'authentification.
Sur la sécurité des données et la traçabilité des actions :
A l'issue de l'expérimentation, La Banque Postale a réalisé une étude d'impact du traitement sur la vie privée des personnes concernées. Les mesures techniques adoptées ont permis de réduire à un niveau de vraisemblance et de gravité faible les impacts résultant notamment des risques de fuites ou de pertes des données, d'indisponibilité du dispositif ou d'usurpation d'identité.
Toutes les communications web sont sécurisées au moyen du protocole HTTPS. Concernant le recours à ce protocole, la Commission recommande d'utiliser la version de TLS la plus à jour possible.
Les modèles biométriques sont conservés sous forme chiffrée dans une  bulle  monétique chez un sous-traitant de La Banque Postale, et sont isolés des données d'identité des personnes concernées.
Les serveurs hébergeant les modèles biométriques sont protégés par des mesures physiques (caméras de vidéosurveillance sur le site d'hébergement, contrôle d'accès par badge au locaux sécurisés hébergeant les serveurs) et logiques (système de détection d'intrusion, confinement du traitement dans un des réseaux isolés des autres traitements).
Une journalisation des opérations de consultation, création et modification du traitement est réalisée.
Le personnel habilité par La Banque Postale accédera aux données au moyen d'une authentification forte (token RSA).
En cas de défaillance ou de mauvais fonctionnement du système d'authentification par reconnaissance vocale, la personne concernée peut renouveler son enrôlement pour l'optimiser.
En tout état de cause, le modèle biométrique est mis à jour à chaque fois que l'utilisateur a été fermement reconnu par le dispositif de reconnaissance vocale, de manière à intégrer sur le long terme les variations de la voix d'un locuteur.
La Commission prends note que La Banque Postale s'engage, dans un délai ne pouvant excéder douze mois, à ne conserver les gabarits biométriques que sous forme chiffrée et à ce que les clés de chiffrements/déchiffrement soient uniquement détenues par les utilisateurs. A l'issue de ce délai, lors d'une phase authentification, un dispositif à la main de l'utilisateur (extension navigateur ou application ordiphone) enverra la clé de déchiffrement du gabarit au serveur, qui ne pourra la conserver que le temps de procéder à l'authentification de l'utilisateur et éventuellement de mettre à jour le gabarit dans le cas d'une authentification réussie.
Par ailleurs, la Commission observe que ce dispositif d'authentification ne dispose pas de mécanisme contre le re-jeu, ce qui permet à un attaquant qui disposerait du téléphone du client et aurait enregistré une phrase d'authentification, de la rejouer afin d'usurper l'identité dudit client. La Commission note qu'une partie de la phrase prononcée par l'utilisateur pour s'authentifier est susceptible d'être répétée fréquemment dans différents contextes et d'être prononcée sur la messagerie vocale. La Commission recommande que La Banque Postale déploie un mécanisme anti-rejeu et choisisse une phrase d'authentification moins fréquemment prononcée.
La Commission prend acte que le dispositif biométrique proposé ne saurait à lui seul représenter un moyen d'authentification fiable. Ce dispositif biométrique n'a pas vocation à fournir un moyen d'authentification autonome mais vient renforcer un dispositif existant s'appuyant sur la possession d'un objet.
Dans ces conditions, la Commission autorise La Banque Postale à mettre en œuvre un système d'authentification des titulaires de cartes bancaires par reconnaissance vocale.
 
La PrésidenteIsabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, Mme Marie-Hélène MITJAVILE, Mme Dominique CASTERA, M. Maurice RONAI, membres ; 
 
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; 
 
Vu les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne du 7 décembre 2000 ; 
 
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et suivants ; 
 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; 
 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ; 
 
Vu l’arrêt rendu par la Cour de justice de l’Union européenne le 13 mai 2014 dans l’affaire C-131/12 Google Inc. Spain SL et Google Inc. contre Agencia Española de Protección de Datos (AEPD) et Mario Costeja González ;
Vu les saisines n °14020486 reçue le 14 juillet 2014 ; n °14021808 reçue le 28 juillet 2014 ; n°14021787 reçue le 28 juillet 2014 ; n °13023478 reçue le 26 juillet 2014 ; n °14022964 reçue le 7 août 2014 ; n °14024210 reçue le 22 août 2014 ; n °14025050 reçue le 2 septembre 2014 ; n °14025413 reçue le 8 septembre 2014 ; 
 
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur, en date du 25 septembre 2015 ; 
 
Vu le rapport de M. Philippe LEMOINE, commissaire rapporteur, adressé à la société X le 17 novembre 2015 ; 
 
Vu les observations écrites versées par la société X le 18 janvier 2016, la lettre reçue le 21 janvier 2016 ainsi que les observations orales formulées lors de la séance de la formation restreinte ; 
 
Vu les autres pièces du dossier. 
 
Etaient présents, lors de la séance de la formation restreinte du 28 janvier 2016 : 
- Monsieur Philippe LEMOINE, commissaire, entendu en son rapport ;
 
En qualité de représentants de la société X : 
XXXX 
En qualité de conseils de la société X, avocats au cabinet :
XXXX 
 
Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement, n’ayant pas formulé d’observation ; 
 
Les représentants de la société X ayant eu la parole en dernier ; 
 
Après en avoir délibéré, a adopté la décision suivante : 
 
Faits et procédure
La société X (ci-après la société), créée en 1998 et dont le siège social est […], est implantée dans une quarantaine de pays et compte environ 40 000 salariés à travers le monde.
 
L’une de ses activités majeures consiste en l’exploitation du moteur de recherche sur Internet […], outil le plus utilisé au monde avec plus de trente milliards d’adresses URL indexées début 2013. 
 
Par décision du 13 mai 2014 (affaire n° C-131/12), la Cour de justice de l’Union européenne (ci-après la Cour de justice ou la CJUE ) a jugé que l’activité d’un moteur de recherche consistant à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence, constitue un traitement de données à caractère personnel au sens de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après la directive ). 
 
La Cour de justice a également jugé que l’exploitant du moteur de recherche était responsable de ce traitement et soumis à ce titre à la directive susmentionnée.
En conséquence, celui-ci est tenu de respecter les droits d’effacement et d’opposition prévus aux articles 12 et 14 de la directive en procédant, lorsque les conditions d’application de ces dispositions sont réunies, au déréférencement de certains liens Internet. Cette technique consiste à supprimer de la liste des résultats affichés à la suite d’une recherche portant sur le nom d’une personne, des liens renvoyant vers des pages web publiées par des tiers et contenant des informations relatives à cette personne. 
 
La Cour a précisé que la demande de déréférencement, directement introduite auprès de l’exploitant du moteur de recherche sans recours préalable auprès des éditeurs de sites Internet, pouvait être accueillie alors même que la publication des informations sur les sites concernés était, en elle-même, licite.
La Cour de justice a jugé que, pour apprécier le bien-fondé d’une demande de déréférencement, les droits fondamentaux au respect de la vie privée et à la protection des données personnelle, prévalent, en principe, non seulement sur l’intérêt économique de l’exploitant du moteur de recherche, mais également sur l’intérêt [du] public à trouver ladite information lors d’une recherche portant sur le nom de cette personne. Cependant, tel ne serait pas le cas s’il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l’information en question (point 99). 
 
La Cour a en outre rappelé que le traitement en cause, permettant à tout internaute d’obtenir un aperçu structuré des informations relatives à une personne sur Internet, constituant un profil plus ou moins détaillé de cette dernière, est susceptible d’affecter significativement les droits fondamentaux des personnes tels que garantis par les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne. 
 
Enfin, la Cour de justice a précisé que les refus de déréférencement ou les réponses insatisfaisantes de l’exploitant pouvaient être contestés, notamment, devant l’autorité de protection des données nationale.
Le 26 novembre 2014, les autorités européennes de protection des données personnelles réunies au sein du Groupe de l’article 29 ont adopté des lignes directrices destinée à assurer une application harmonisée de l’arrêt de la CJUE. Celles-ci contiennent une interprétation commune de l’arrêt ainsi que des critères ayant vocation à guider les autorités nationales dans le traitement des plaintes reçues suite à des refus de déréférencement. 
 
Depuis cette décision, et afin de respecter l’obligation mise à sa charge, la société X a mis en ligne un formulaire spécifique intitulé demande de suppression de résultat de recherche au titre de la législation européenne en matière de protection des données à destination des internautes européens, leur permettant de solliciter la suppression de résultats de recherche les concernant. 
 
Pour la France, la société a traité environ 80.000 demandes, dont 51,5% ont reçu, selon les données accessibles sur le site Internet de la société, un accueil favorable de sa part. 
 
La Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission) est régulièrement saisie par des internautes résidant en France contestant les refus de la société X de faire droit à leur demande de déréférencement.
Dans le cadre de l’instruction de ces plaintes, la Commission a rappelé à la société, par lettre du 9 avril 2015, que pour être effectifs, les déréférencements ne devaient pas être limités aux seules extensions européennes de son moteur de recherche. 
 
Par lettre du 24 avril 2015, la société a indiqué poursuivre ses réflexions sans apporter de modifications à son dispositif, le jugeant à même de garantir, en l’état, l’effectivité du droit au déréférencement. 
 
En conséquence, la Présidente de la CNIL a adopté, le 21 mai 2015, une mise en demeure enjoignant à la société X de procéder aux déréférencements sur toutes les extensions du nom de domaine de son moteur de recherche sous un délai de quinze jours. 
 
Conformément à l’article 46 de la loi n°78-17 du 6 janvier 1978 modifiée (ci-après loi Informatique et Libertés), la Présidente a demandé au bureau de la Commission de se prononcer sur l’opportunité de rendre publique cette décision de mise en demeure.
Le 8 juin 2015, le bureau, régulièrement composé de la Présidente et des deux Vice-présidents de la Commission, a décidé de la publicité de la mise en demeure, conformément aux dispositions de l’article 13-I de la loi Informatique et Libertés. Il a tenu compte de la nécessité, d’une part, d’informer les exploitants de moteurs de recherche, les internautes et les éditeurs de contenus, de l’étendue et de la portée des droits d’opposition et d’effacement des données et, d’autre part, d’assurer la pleine effectivité de ces droits en permettant d’étendre les déréférencements d’ores et déjà accordés par la société à l’ensemble des noms de domaine du moteur de recherche. 
 
 
La mise en demeure et la délibération du bureau, en versions française et anglaise, ont été notifiées à la société X par lettre du 9 juin 2015 et adressées, pour information, à la société Y le 11 juin suivant. 
 
Le 18 juin 2015, une réunion s’est tenue dans les locaux de la CNIL à la demande de la société. Elle était destinée à préciser les modalités de conformité attendues. 
 
Par lettre du 23 juin 2015, la société a sollicité l’octroi d’un délai complémentaire afin de mener à bien les analyses juridiques et techniques nécessaires. Le 30 juin suivant, la Commission lui a accordé une prorogation de délai jusqu’au 31 juillet 2015.
Le 30 juillet 2015, la société a formé un recours gracieux auprès de la Présidente de la CNIL afin d’obtenir le retrait de la décision de mise en demeure et de la mesure de publicité associée. Ce recours a été rejeté par lettre du 16 septembre 2015, communiquée à l’établissement français du responsable de traitement par lettre du 21 septembre suivant. 
 
En l’absence d’éléments de réponse de nature à attester d’une mise en conformité avec l’injonction visée par la mise en demeure dans le délai imparti, la Présidente de la Commission a décidé, le 25 septembre 2015, sur le fondement de l’article 46 de la loi n°78-17 du 6 janvier 1978 modifiée, d’engager une procédure de sanction à l’encontre de la société X en désignant M. Philippe LEMOINE en qualité de rapporteur. 
 
A l’issue de son instruction, celui-ci a notifié à la société, le 17 novembre 2015, un rapport détaillant les manquements à la loi Informatique et Libertés qu’il estimait constitués et sollicitant le prononcé d’une sanction pécuniaire publique. 
 
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 28 janvier 2016 indiquant à l’organisme qu’il disposait d’un délai d’un mois pour communiquer ses observations écrites.
 
La société a produit, le 18 janvier 2016, des observations écrites sur le rapport, réitérées oralement lors de la séance du 28 janvier 2016. 
 
Motifs de la décision
Sur l’existence d’un manquement à l’obligation de respecter les droits d’opposition des personnes et de suppression des données 
 
La protection de la vie privée et des données à caractère personnel des résidents européens est garantie, notamment, par les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne et par l’article 1er de la directive 95/46/CE. 
 
Dans ce cadre, et afin de protéger leur vie privée et leurs données à caractère personnel, les personnes physiques disposent du droit de solliciter du responsable de traitement l’effacement de leurs données en raison, notamment, de leur caractère incomplet ou inexact (article 12 de la directive) et de s’opposer, pour motifs légitimes, au traitement de leurs données (article 14 de la directive). 
 
Ces dispositions européennes ont été transposées en droit interne aux articles 38 (Toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement) et 40 de la loi Informatique et Libertés (Toute personne physique justifiant de son identité peut exiger du responsable d’un traitement que soient selon les cas, rectifiées, complétées, mise à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite).
Ces articles doivent être interprétés à la lumière de la décision précitée de la CJUE du 13 mai 2014, laquelle exige que la mise en œuvre concrète des droits d’opposition et de suppression, via la procédure de déréférencement, garantisse l’effectivité des droits fondamentaux des personnes concernées, à savoir le droit au respect de la vie privée et à la protection des données à caractère personnel, sans contournement possible. 
 
La Cour de justice précise en effet à plusieurs reprises que l’objet de la directive est de garantir une protection pleine et entière des droits fondamentaux au titre desquels figure le droit au respect de la vie privée : 
 
l’objectif de la directive 95/46 [est] d’assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la vie privée, à l’égard du traitement des données à caractère personnel (point 53),
 
la directive 95/46 vise à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel (point 66).
l’exploitant de ce moteur en tant que personne déterminant les finalités et les moyens de cette activité doit assurer, dans le cadre de ses responsabilités, de ses compétences et de ses possibilités, que celle-ci satisfait aux exigences de la directive 95/46 pour que les garanties prévues par celle-ci puissent développer leur plein effet et qu’une protection efficace et complète des personnes concernées, notamment de leur droit au respect de leur vie privée, puisse effectivement être réalisée . (point 38) 
 
Elle affirme également que la protection accordée par la directive 95/46/CE doit s’appliquer à tous les résidents européens sans possibilité de contournement : 
 
il ressort notamment des considérants 18 à 20 et de l’article 4 de la directive 95/46 que le législateur de l’Union a entendu éviter qu’une personne soit exclue de la protection garantie par celle-ci et que cette protection soit contournée, en prévoyant un champ d’application territorial particulièrement large (point 54).
il ne saurait être accepté que le traitement de données à caractère personnel effectué pour les besoins du fonctionnement dudit moteur de recherche soit soustrait aux obligations et aux garanties prévues par la directive 95/46, ce qui porterait atteinte à l’effet utile de celle-ci et à la protection efficace et complète des libertés et des droits fondamentaux des personnes physiques qu’elle vise à assurer (voir, par analogie, arrêt L’Oréal e.a., EU:C:2011:474, points 62 et 63), notamment celui au respect de leur vie privée (point 58). 
 
La Cour ajoute que la personne concernée doit pouvoir eu égard à ses droits fondamentaux au titre des articles 7 et 8 de la Charte, demander que l’information en question ne soit plus mise à la disposition du grand public du fait de son inclusion dans une telle liste de résultats (point 99). 
 
Dans ses écritures, la société conteste le bien-fondé de l’injonction qui lui a été adressée par la Présidente de la Commission de procéder au déréférencement sur toutes les extensions du nom de domaine du moteur de recherche. 
 
En premier lieu, la société soutient, d’une part, que la mise en demeure est dépourvue de base légale en ce qu’elle repose sur une règle juridique imprécise et imprévisible et, d’autre part, qu’elle n’est pas fondée sur des plaintes spécifiques.