AgentPublic/cnil huggingface dataset:
La société GMB Electronique souhaite utiliser un dispositif de reconnaissance faciale pour sécuriser l’accès au local technique dans lequel se situent les équipements électroniques et informatiques ainsi que les sauvegardes du système d’information.
D’une manière générale, la Commission observe qu’une donnée biométrique constitue un élément d’identification dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. 
Elle souligne que ce risque est d’autant plus grand en matière de reconnaissance faciale que l’image du visage peut être aisément captée et utilisée à l’insu de la personne concernée.
C’est pourquoi, la Commission considère que le recours à un dispositif de reconnaissance faciale ne peut être admis que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un impératif de sécurité, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. 
En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
En l’espèce, la Commission relève que cet objectif pourrait être atteint, par exemple, par le recours à des dispositifs reposant sur la reconnaissance d’autres données biométriques telles que le contour de la main ou le réseau veineux du doigt de la main qui, en l’état actuel de la technique, ne sont pas susceptibles d’être capturées à l’insu des personnes et dès lors, ne comportent pas de risques particuliers pour les libertés et les droits fondamentaux des personnes.
En outre, compte tenu de la facilité avec laquelle l’image du visage d’une personne peut être captée et diffusée notamment, sur le réseau internet, il est nécessaire d’encadrer et de limiter son utilisation dans le cadre d’un procédé automatisé de reconnaissance biométrique. Il s’agit d’empêcher qu’une photographie du visage récupérée ne puisse être utilisée pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif de photographies ou de gabarits de visages ;
usurper l’identité d’une personne, c’est-à-dire d’utiliser la photographie de son visage pour frauder un dispositif de reconnaissance faciale. 
A cet égard, les tests pratiqués sur le matériel remis à la Commission dans le cadre de l’instruction révèlent que les mécanismes sensés prévenir les risques de fraude précités sont insuffisants. Il a ainsi été possible d’usurper l’identité de personnes enrôlées notamment, par la présentation de photographies devant la caméra.
Dans ces conditions, la Commission n’autorise pas la société GMB Electronique, 40 rue Constant Coquelin – 94400 Vitry sur Seine, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l'informatique et des libertés, 
Vu la convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-8° ; 
Vu le code du travail et notamment ses articles L 1222-4, L 2143-22, L 2315-5, L2323-13 et suivants, L 2323-32, L2325-11 et L8113-4 et suivants ; 
Vu la loi n° 83-634 du 13 juillet 1983 portant droits et obligations des fonctionnaires ; 
Vu la loi n° 84-16 du 11 janvier 1984 portant dispositions statutaires relatives à la fonction publique de l'Etat ; 
Vu la loi n° 84-53 du 16 janvier 1984 portant dispositions statutaires relatives à la fonction publique territoriale ; 
Vu la loi n° 86-33 du 9 janvier 1986 portant dispositions statutaires relatives à la fonction publique hospitalière ; 
Vu le décret 82-452 du 28 mai 1982 relatif aux comités techniques paritaires ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ; 
Sur le rapport de M. Didier Gasse et M. Hubert Bouchet, commissaires, et les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
La gestion des contrôles de l’accès physique à l'entrée des lieux de travail et dans les zones limitativement identifiées de l'organisme faisant l'objet d'une restriction de circulation peut s’effectuer grâce à la mise en œuvre de traitements automatisés de données à caractère personnel reposant sur l’utilisation d’un dispositif de reconnaissance du réseau veineux des doigts de la main. 
Dès lors, de tels dispositifs relèvent de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes. Il y a lieu, en l’état des connaissances sur la technologie utilisée, de faire application des dispositions de l’article 25-II aux termes duquel les traitements qui répondent à une même finalité, portent sur des catégories de données identiques et les mêmes destinataires ou catégories de destinataires peuvent être autorisés par une décision unique de la Commission.
Le responsable de traitement mettant en œuvre un dispositif reposant sur la reconnaissance du réseau veineux des doigts de la main dans le respect des dispositions de cette décision unique adresse à la Commission un engagement de conformité de celui-ci aux caractéristiques de la présente autorisation. 
Décide que les responsables de traitement qui adressent à la Commission une déclaration comportant un engagement de conformité pour leurs traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en œuvre ces traitements. 
Article 1er : Finalités et caractéristiques techniques du traitement 
Seuls peuvent faire l’objet d’un engagement de conformité en référence à la présente décision unique les traitements reposant sur un dispositif de reconnaissance du réseau veineux des doigts de la main, mis en œuvre par les organismes privés ou publics, à l’exception des traitements mis en œuvre :
pour le compte de l’Etat ;
lorsque les personnes concernées sont des mineurs.
Ces traitements peuvent uniquement avoir pour finalité le contrôle des accès à l'entrée et dans les locaux limitativement identifiés de l'organisme faisant l'objet d'une restriction de circulation, à l’exclusion de tout contrôle des horaires des employés. 
Le dispositif de reconnaissance du réseau veineux doit présenter les caractéristiques suivantes :
seul le gabarit du réseau veineux du doigt, clé biométrique résultat du traitement des mesures par un algorithme, est enregistré et non une image ou une photographie du réseau veineux ; 
le gabarit du réseau veineux du doigt de la personne concernée est exclusivement enregistré sous une forme chiffrée soit dans la mémoire du terminal de lecture/comparaison qui ne dispose d’aucun port de communication permettant l’extraction de ce gabarit, soit sur un support individuel sécurisé qui reste en possession de la personne devant être authentifiée par le dispositif; 
l’enrôlement des caractéristiques biométriques des personnes s'effectue exclusivement à partir du terminal de lecture/comparaison ; 
le contrôle d’accès s’effectue par une comparaison entre le doigt apposé sur le lecteur et le gabarit du réseau veineux du même doigt enregistré dans la mémoire du terminal de lecture comparaison ; 
d'autres données nécessaires à l’identification des personnes peuvent être enregistrées dans la mémoire du terminal de lecture comparaison et associées au gabarit du réseau veineux de leur doigt.
Article 2 : Données à caractère personnel traitées
Seules les données à caractère personnel suivantes peuvent être traitées : 
a) identité : nom, prénom, photographie et gabarit du réseau veineux du doigt de la personne ; 
b) vie professionnelle : numéro de matricule interne, corps ou service d'appartenance, grade ;
c) déplacement des personnes : porte utilisée, zones et plages horaires d'accès autorisées, date et heure d'entrée et de sortie ; 
d) en cas d'accès à un parking : numéro d'immatriculation du véhicule, numéro de place de stationnement ; 
S’agissant des visiteurs, outre les catégories de données relatives à l’identité et au déplacement des personnes, l’indication de la société d'appartenance et du nom de l’employé accueillant le visiteur peuvent être traitées. 
Article 3 : Destinataires des informations
Dans la limite de leurs attributions respectives et pour l’exercice des finalités précitées, seuls peuvent être destinataires des données limitativement les personnes dûment habilitées :
du service du personnel et du service informatique : identité, vie professionnelle, déplacement des personnes et informations en relation avec la gestion du parking ;
du service gérant la sécurité des locaux : identité, déplacement des personnes, vie professionnelle et informations en relation avec la gestion du parking. 
Les personnes habilitées énumérées ci-dessus ne peuvent avoir accès au gabarit du réseau veineux du doigt de la personne que de façon temporaire et pour les stricts besoins de son inscription sur le support individuel ou de sa suppression, sans qu’il leur soit possible d'accéder directement, de modifier, ou de copier sur un autre support, les gabarits enregistrés. 
Article 4 : Durée de conservation
La durée de conservation du gabarit du réseau veineux des doigts de la main est égale au temps pendant lequel la personne concernée est habilitée à pénétrer dans les locaux ou les zones limitativement identifiées de l'organisme faisant l'objet d'une restriction de circulation. 
Les catégories de données relatives à l’identité, à la vie professionnelle et à la gestion du parking peuvent, au maximum, être conservées 5 ans après le départ de l’employé. 
Les éléments relatifs aux déplacements des personnes ne doivent pas être conservés plus de trois mois. 
S’agissant des visiteurs, les catégories de données relatives à l’identité, à l’indication de la société d’appartenance et à la gestion du parking peuvent, au maximum, être conservés trois mois à compter de la date de la dernière visite. 
Article 5 : Liberté de circulation des employés protégés
Les contrôles d'accès aux locaux du responsable de traitement et aux zones limitativement désignées, faisant l'objet d'une restriction de circulation justifiée par la sécurité des biens et des personnes qui y travaillent, ne doivent pas entraver la liberté d'aller et venir des employés protégés dans l'exercice de leurs missions conformément aux dispositions du code du travail. 
Article 6 : Mesures de sécurité
Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et, notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.  Les accès individuels au traitement par l’administrateur du dispositif s'effectuent par un identifiant et un mot de passe individuel ou tout système offrant un niveau de sécurité au moins équivalent. En cas d'utilisation d'un mot de passe, celui-ci doit être régulièrement renouvelé, être d'une longueur d'au moins 8 caractères alphanumériques et comporter au moins un chiffre, une lettre et un caractère de ponctuation.
Le dispositif doit permettre l'enrôlement de plusieurs doigts par utilisateur. Afin d'en garantir la confidentialité, les gabarits enregistrés dans le dispositif doivent être chiffrés  en utilisant des algorithmes cryptographiques réputés forts.
Le dispositif doit permettre de détecter toute ouverture ou arrachement du terminal de lecture/comparaison et de le signaler à l’administrateur du système. 
Les gabarits traités ne doivent pas permettre de recalculer l'image correspondante du réseau veineux.  Au cas où le dispositif comporte un historique des passages, celui-ci ne doit pas conserver des données au-delà de quatre vingt dix jours. 
Article 7 : Information des personnes
Le responsable du traitement procède également, conformément aux dispositions des articles L2323-13 et suivants, L 2323-32 du Code du travail et à la législation applicable aux trois fonctions publiques, à l’information et à la consultation des instances représentatives du personnel avant la mise en oeuvre des traitements visés à l’article premier. 
L'information des employés est effectuée, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004, par la diffusion à chaque personne concernée, préalablement à la mise en oeuvre du traitement, d'une note explicative. 
Article 8 : Exercice des droits d’accès et de rectification
Le droit d’accès défini au chapitre V de la loi du 6 janvier 1978 modifiée s’exerce auprès du ou des services que le responsable de traitement aura désignés. 
Article 9 
Tout traitement automatisé de données à caractère personnel reposant sur l’utilisation d’un dispositif de reconnaissance du réseau veineux des doigts de la main qui n’est pas conforme aux dispositions qui précèdent doit faire l’objet d’une demande d’autorisation auprès de la Commission dans les formes prescrites par les articles 25-8° et 30 de la loi du 6 janvier 1978 modifiée. 
Article 10 
La présente délibération sera publiée au Journal officiel de la République française. 
Le Président
Alex Türk
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de Monsieur Didier GASSE, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société  BOUYGUE TELECOM, à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
BOUYGUES TELECOM
Finalité du transfert
Enrichissement de fichiers de données de clients professionnels à des fins de vente à distance au moyen d’appels téléphoniques
Catégories de données transférées
Données transférées : numéro SIREN/SIRET, code et libellé NAF, effectif, ancienneté, identité du représentant légal, téléphone/télécopie de la société, raison sociale et adresse de la société.
Données enrichies par le prestataire lors de l’appel de qualification : nom, prénom, courriel, numéro de mobile, nom de l’opérateur mobile du client, équipement actuel du client et données relatives à l’abonnement téléphonique du client.
Données transférées : numéro SIREN/SIRET, code et libellé NAF, effectif, ancienneté, identité du représentant légal, téléphone/télécopie de la société, raison sociale et adresse de la société.
Données enrichies par le prestataire lors de l’appel de qualification : nom, prénom, courriel, numéro de mobile, nom de l’opérateur mobile du client, équipement actuel du client et données relatives à l’abonnement téléphonique du client.
Identité(s) du(des) destinataire(s)
 Les personnes habilitées de la société TIFAWAL PRO (2 place Jules Gevelot - 92 130 Issy Les Moulineaux disposant d’un centre de production situé à E7 Tassila Dcheira Agadir – Maroc)
Pays d’établissement du(des) destinataire(s)
Maroc
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Bouygues TélécomService Informatique et Libertés20 quai du point du jour92640 Boulogne Billancourt cedex
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant.
                                                                                          Le Président 
                                                                                          Alex TURK
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de l’intérieur, de l’outre-mer et des collectivités territoriales le 18 février 2008 d’un projet de décret en Conseil d’Etat modifiant le code de procédure pénale (deuxième partie : décrets en Conseil d’Etat) et relatif au fichier national des empreintes génétiques ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment ses articles 11, 26, 30, 68 et 69 ;
Vu le décret n°2005-1309 du 20 octobre 2005 modifié par le décret n°2007-451 du 25 mars 2007, pris pour l’application de la loi 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment ses articles 103 et suivants ;
Vu le code de procédure pénale, et notamment ses articles 706-54 et suivants et R.53-9 et suivants ;
Vu l’article 24 de la loi n°2003-239 du 18 mars 2003 relative à la sécurité intérieure modifiée par la loi n°2004-801 du 6 août 2004 ;
Vu la loi n°2007-1160 du 1er août 2007 portant ratification du traité de Prüm, conclu le 27 mai 2005, entre le Royaume de Belgique, la République Fédérale d’Allemagne, le Royaume d’Espagne, la République française, le Grand-Duché du Luxembourg, le Royaume des Pays-Bas et la République d’Autriche, relatif à l’approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme, la criminalité transfrontalière et de la migration illégale, publié par le décret n°2008-33 du 10 janvier 2008 ;
Vu les délibérations de la CNIL n° 99-052 du 28 octobre 1999, n° 02-008 du 7 mars 2002 et n° 03-043 du 7 octobre 2003 ;
Vu la délibération de la CNIL n°2006-220 du 28 septembre 2006 portant avis sur l’avant projet de loi de ratification du traité de Prüm ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, M. Laurent TOUVET, directeur des libertés publiques et des affaires juridiques (ministère de l’intérieur, de l’outre-mer et des collectivités territoriales) et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant :
La Commission a été saisie le 18 février dernier par le ministère de l’intérieur, de l’outre-mer et des collectivités territoriales d’un dossier de déclaration de modification du fichier national des empreintes génétiques, accompagné d’un projet de décret en Conseil d’Etat. 
Le projet de décret en Conseil d’Etat modifie les dispositions réglementaires relatives au FNAEG. Ces modifications résultent, notamment, de l’entrée en vigueur du Traité de Prüm, signé par l’Allemagne, la Belgique, l’Espagne, la France, le Luxembourg et les Pays-Bas, le 7 mai 2005, dont la ratification a été autorisée par la loi n°2007-1160 du 1er août 2007, parue au journal officiel du 2 août 2007.
Le traité vise à approfondir la coopération transfrontalière policière, notamment dans les domaines du terrorisme, de la criminalité organisée et de la migration illégale et institue une « coopération renforcée » de fait entre Etats membres de l’Union européenne souhaitant intensifier certains axes majeurs de la coopération policière.
Dans cette perspective, il comporte notamment des dispositions inédites dans le domaine des échanges d’informations en matière d’empreintes génétiques, en instituant un mécanisme de consultations automatisés et réciproques entre les bases de données des Etats signataires.
Le projet de décret a donc pour objet de prendre en considération ces stipulations mais aussi, comme le précise le projet de rapport au Premier ministre, d’ « anticiper sur les évolutions à venir ».
A cet égard, il est prévu d’autoriser des recherches dans le FNAEG fondées sur la nature de l’affaire, lesquelles sont actuellement prohibées aux termes de l’article R.53-11 du code de procédure pénale.
En outre, le projet de décret entend modifier les dispositions de l’article R.53-18 du code de procédure pénale, qui limite l’accès aux informations, l’alimentation et la réalisation des opérations de rapprochements effectuées grâce au FNAEG, aux seuls personnels de police et de gendarmerie nationales dûment habilités, affectés au sein du service gestionnaire du fichier. Il vise ainsi à ouvrir des droits en consultation pour la réalisation d’opérations de rapprochement à des personnels d’organismes de coopération internationale, de services de police ou de justice étrangers, lorsqu’un engagement international le prévoit.
Enfin, il modifie l’article R.53-19 du code de procédure pénale, qui interdit toute forme d’interconnexion ou de mise en relation avec d’autres traitements automatisés d’informations nominatives. Il vise ainsi à autoriser que de tels rapprochements puissent être effectués dans le cas où un engagement international les prévoit.
Sur les engagements internationaux et leurs implications
Si le projet de décret entend modifier les textes réglementaires relatifs au FNAEG afin de les adapter aux engagements pris par la France dans le cadre du Traité de Prüm, la Commission observe que sa rédaction revêt un caractère plus général, que le ministère de l’intérieur justifie par la nécessité d’ « anticiper sur les évolutions à venir ». 
En effet, les dispositions du projet de décret ont vocation à permettre la mise en oeuvre de mécanismes d’échanges d’informations en matière d’empreintes génétiques autres que ceux prévus aux termes du Traité de Prüm.
Il aurait donc pour effet de rendre possible la mise en œuvre d’échanges de données en matière d’empreintes génétiques, « en application d’engagements internationaux », avec des « organismes de coopération internationale en matière de police judiciaire ainsi que les services de police ou de justice des Etats qui présentent un niveau de protection suffisant de la vie privée, des libertés et des droits fondamentaux ».
Or, la Commission observe que, aux termes du premier alinéa de l’article 68 de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004, « le responsable d’un traitement ne peut transférer des données à caractère personnel vers un Etat n’appartenant pas à la Communauté européenne que si cet Etat assure un niveau de protection suffisant de la vie privée, des libertés et des droits fondamentaux des personnes à l’égard du traitement dont ces données font l’objet ou peuvent faire l’objet ».