AgentPublic/cnil huggingface dataset:
Ce projet d’expérimentation est porté par la Banque Nuger, en partenariat avec le groupe Crédit du Nord auquel elle appartient et la Société Générale. Par délibération n° 2014-093 du 13 mars 2014, cette dernière avait été autorisée par la Commission à mettre en œuvre, à titre expérimental, auprès de collaborateurs volontaires, un même système d’authentification vocale.
Ce système repose sur la solution de reconnaissance vocale développée par la société Nuance Communications, VocalPassword.
La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour assurer le contrôle de l’identité des personnes. Il relève, à ce titre, du 8° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par la CNIL.
Sur la finalité du traitement :
Aujourd’hui, les clients de la Banque Nuger ont la possibilité de consulter leurs comptes et de réaliser des opérations bancaires à distance via l’Internet ou en contactant un serveur vocal interactif « Etoile Direct ». Par téléphone, l’authentification est réalisée par la saisie d’un couple identifiant/mot de passe ou, en cas d’oubli ou perte de mot de passe, par une phase de vérification « à l’américaine » (questions de sécurité posées par un conseiller multimédia). Le nombre d’opérations pouvant être effectuées à distance dépend du niveau d’authentification du client (accès à un nombre restreint en cas de non saisie du mot de passe).
La  Banque Nuger souhaite proposer à ses clients d’expérimenter, pour une durée d’un an, une méthode d’authentification alternative par reconnaissance vocale. 
L’information de mise en place du service expérimental sera transmise aux clients collaborateurs du groupe Crédit du Nord, en activité ou retraités, et leur famille directe (conjoints et enfants majeurs) rattachés à leur périmètre de compte. Seuls les 1000 premiers inscrits pourront participer à cette expérimentation. 
Ceux-ci pourront accéder aux services bancaires à distance en s’authentifiant par leur voix en contactant un numéro de téléphone dédié les mettant en relation avec un serveur vocal interactif spécifique du centre d’appels du groupe Crédit du Nord intitulé « Prosodie ».
L’utilisateur pourra également s’authentifier par biométrie vocale lors d’un appel direct à son conseiller multimédia qui le redirigera vers le serveur vocal interactif « Prosodie ».
L’objectif visé par ce projet est d’augmenter le nombre d’appels authentifiés sur le centre d’appels du Crédit du Nord (seuls 36 % à ce jour) et de permettre aux clients de procéder à un plus grand nombre d’opérations à distance tout en simplifiant leur authentification. 
L’authentification par reconnaissance vocale est composée de plusieurs étapes :
Le numéro appelant utilisé par le client pour contacter le centre d’appels du Crédit du Nord est vérifié afin de déterminer s’il est bien l’un des trois numéros préalablement enrôlés par le client (mobile, fixe, professionnel) dans son dossier.
Le client doit saisir son identifiant client sur le clavier du téléphone.
Le client est invité à prononcer la phrase de passe pour que celle-ci soit comparée avec l’empreinte stockée sur le serveur d’authentification. Le client conserve la possibilité de s’authentifier par mot de passe plutôt que par sa voix.
L’adhésion à ce type d’authentification est précédée d’un processus en plusieurs étapes :
Un courriel ou courrier postal est adressé à toutes les personnes susceptibles de participer à l’expérimentation afin de les informer de sa mise en place, du numéro dédié à ce service, ainsi que des modalités d’utilisation. Une mention d’information sera également ajoutée aux relevés de comptes des personnes concernées.
Pour accéder à ce mode d’authentification biométrique, les personnes intéressées doivent avoir activé le service « Etoile Direct » afin de disposer du mot de passe dédié au service « Etoile Direct », adressé par courrier postal.
Les personnes souhaitant activer l’authentification par biométrie vocale contactent le centre d’appels au moyen du numéro de téléphone dédié transmis par courriel ou courrier postal.
Seul aura accès aux données le personnel spécifiquement habilité à cet effet de la Banque Nuger (personnel du service en charge de la mise en œuvre du projet), du Crédit du Nord, coordinateur du projet, de son partenaire la Société Générale, ainsi que de son prestataire sous-traitant (responsable en charge de la prestation, informaticiens, techniciens, etc.).
Sur l'information et les droits des personnes :
Les personnes concernées sont informées de leurs droits d’accès, de rectification et d’opposition par des mentions d’information figurant sur le courriel ou courrier postal adressé à toutes les personnes susceptibles de participer à l’expérimentation afin de les informer de sa mise en place.
Une telle mention d’information sera également intégrée à celle portée sur les relevés de comptes des personnes concernées, ainsi que dans le courriel, ou courrier postal si aucune adresse électronique n’est enregistrée dans le dossier, envoyé à l’utilisateur pour lui confirmer la création de son empreinte vocale à l’issue de son enrôlement.
Les personnes ayant accepté de participer à l’expérimentation disposent toujours de la possibilité d’opter pour une procédure alternative d’authentification par la saisie d’un identifiant et d’un mot de passe.
Par ailleurs, les personnes concernées peuvent demander à tout moment et sans frais la suppression de leur modèle vocal biométrique si elles ne souhaitent plus utiliser ce mode d’authentification et participer à l’expérimentation.
Au regard du caractère expérimental et limité du traitement, la Commission considère que les mesures de sécurité décrites sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. 
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Par ailleurs, la Commission prend note que la Banque Nuger s’engage à lui fournir, à l’issue de l’expérimentation, un bilan de l’expérimentation qui devra notamment comporter les éléments suivants : 
une description des conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté (taux de participation, temps moyen d’authentification, éventuels dysfonctionnements, causes des dysfonctionnements, taux de fausses acceptations, taux de faux rejets) ;
une évaluation de la perception utilisateur (phase de l’enrôlement, ergonomie du service, acceptabilité de la biométrie vocale, taux d’utilisation et de non utilisation) ;
une présentation des enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ; 
les suites envisagées par le responsable de traitement sur la base du bilan effectué : axes d’amélioration, abandon du projet, demande de nouvelle expérimentation, demande d’autorisation de mise en œuvre à titre permanent.
En outre, la Commission prend acte que ce dispositif a été conçu dans un contexte expérimental et que les conditions présentées dans ce dossier ne présagent nullement de celles qui pourraient être établies dans l’hypothèse où la pérennisation d’un tel dispositif était envisagé. Dans un tel cas, la Commission recommande que soit examinée la possibilité de déployer un dispositif qui assure aux personnes concernées de conserver le contrôle sur leurs données biométriques, en envisageant par exemple un stockage sous forme chiffrée des gabarits biométriques dont les clés de chiffrement/déchiffrement sont uniquement détenues par les utilisateurs.
Dans ces conditions, la Commission autorise la Banque Nuger à mettre en œuvre à titre expérimental, pour une durée de 12 mois, un système d’authentification de ses clients collaborateurs par reconnaissance vocale sur un serveur de centre d’appels.
Enfin, la Commission rappelle que l’entrée en vigueur du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE interviendra le 25 mai 2018. L’article 35-3 de ce texte dispose qu’une analyse d’impact relative à la protection des données [...] est, en particulier, requise dans les cas suivants : [...] le traitement à grande échelle de catégories particulières de données visées à l’article 9, paragraphe 1 [...] » parmi lesquelles les données biométriques aux fins d’identifier une personne physique de manière unique.
Aussi, la Commission prend acte de l’engagement pris par la Banque Nuger de réaliser une analyse d’impact relative à la protection des données dans le cas où un projet de pérennisation de cette expérimentation était envisagé à son issue, ainsi que de consulter la Commission, sur la base de cet examen et ce, quel qu’en soit le niveau de risques évalué.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque Kolb d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre à titre expérimental un système d’authentification de ses clients par reconnaissance vocale sur le serveur de son centre d’appels ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, notamment son article 87 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Banque Kolb a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation de mettre en œuvre à titre expérimental un système d’authentification de ses clients collaborateurs par reconnaissance vocale sur un serveur de centre d’appels.
Ce système vise à sécuriser les opérations faites à distance par le biais du centre d’appels du groupe Crédit du Nord grâce à l'authentification biométrique des clients, couplée à la saisie de leur identifiant et la vérification du numéro entrant (qui doit être l’un des trois enregistrés dans le dossier client). 
Cette expérimentation a pour but d’évaluer la fiabilité du système dans un cadre opérationnel, d’analyser les performances de l’outil de reconnaissance vocale par la mesure des faux positifs et faux négatifs et d’apprécier l’appétence des clients pour ce système d’authentification.
Ce projet d’expérimentation est porté par la Banque Kolb, en partenariat avec le groupe Crédit du Nord auquel elle appartient et la Société Générale. Par délibération n° 2014-093 du 13 mars 2014, cette dernière avait été autorisée par la Commission à mettre en œuvre, à titre expérimental, auprès de collaborateurs volontaires, un même système d’authentification vocale.
Ce système repose sur la solution de reconnaissance vocale développée par la société Nuance Communications, VocalPassword.
La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour assurer le contrôle de l’identité des personnes. Il relève, à ce titre, du 8° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par la CNIL.
Sur la finalité du traitement :
Aujourd’hui, les clients de la Banque Kolb ont la possibilité de consulter leurs comptes et de réaliser des opérations bancaires à distance via l’Internet ou en contactant un serveur vocal interactif « Etoile Direct ». Par téléphone, l’authentification est réalisée par la saisie d’un couple identifiant/mot de passe ou, en cas d’oubli ou perte de mot de passe, par une phase de vérification « à l’américaine » (questions de sécurité posées par un conseiller multimédia). Le nombre d’opérations pouvant être effectuées à distance dépend du niveau d’authentification du client (accès à un nombre restreint en cas de non saisie du mot de passe).
La  Banque Kolb souhaite proposer à ses clients d’expérimenter, pour une durée d’un an, une méthode d’authentification alternative par reconnaissance vocale. 
L’information de mise en place du service expérimental sera transmise aux clients collaborateurs du groupe Crédit du Nord, en activité ou retraités, et leur famille directe (conjoints et enfants majeurs) rattachés à leur périmètre de compte. Seuls les 1000 premiers inscrits pourront participer à cette expérimentation.
les journaux des opérations qui permettent de tracer toutes les demandes d’authentification biométrique (les informations stockées sont notamment : l’identifiant client, les dates et heures, ainsi que les résultats de l’authentification).
La Commission considère que la collecte de ces données est proportionnée à la finalité poursuivie.
Sur la durée de conservation des données :
Les données traitées dans le cadre de l’expérimentation seront supprimées à son issue, soit pour une durée de conservation de 12 mois. 
Les journaux de connexion à la plateforme Nuance seront conservés 30 jours.
Sur les destinataires des données :
Seul aura accès aux données le personnel spécifiquement habilité à cet effet de la Banque Kolb (personnel du service en charge de la mise en œuvre du projet), du Crédit du Nord, coordinateur du projet, de son partenaire la Société Générale, ainsi que de son prestataire sous-traitant (responsable en charge de la prestation, informaticiens, techniciens, etc.).
Sur l'information et les droits des personnes :
Les personnes concernées sont informées de leurs droits d’accès, de rectification et d’opposition par des mentions d’information figurant sur le courriel ou courrier postal adressé à toutes les personnes susceptibles de participer à l’expérimentation afin de les informer de sa mise en place.
Au regard du caractère expérimental et limité du traitement, la Commission considère que les mesures de sécurité décrites sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Par ailleurs, la Commission prend note que la Banque Kolb s’engage à lui fournir, à l’issue de l’expérimentation, un bilan de l’expérimentation qui devra notamment comporter les éléments suivants : 
une description des conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté (taux de participation, temps moyen d’authentification, éventuels dysfonctionnements, causes des dysfonctionnements, taux de fausses acceptations, taux de faux rejets) ;
une évaluation de la perception utilisateur (phase de l’enrôlement, ergonomie du service, acceptabilité de la biométrie vocale, taux d’utilisation et de non utilisation) ;
une présentation des enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ; 
les suites envisagées par le responsable de traitement sur la base du bilan effectué : axes d’amélioration, abandon du projet, demande de nouvelle expérimentation, demande d’autorisation de mise en œuvre à titre permanent.
En outre, la Commission prend acte que ce dispositif a été conçu dans un contexte expérimental et que les conditions présentées dans ce dossier ne présagent nullement de celles qui pourraient être établies dans l’hypothèse où la pérennisation d’un tel dispositif était envisagé. Dans un tel cas, la Commission recommande que soit examinée la possibilité de déployer un dispositif qui assure aux personnes concernées de conserver le contrôle sur leurs données biométriques, en envisageant par exemple un stockage sous forme chiffrée des gabarits biométriques dont les clés de chiffrement/déchiffrement sont uniquement détenues par les utilisateurs.
Dans ces conditions, la Commission autorise la Banque Kolb à mettre en œuvre à titre expérimental, pour une durée de 12 mois, un système d’authentification de ses clients collaborateurs par reconnaissance vocale sur un serveur de centre d’appels.
Enfin, la Commission rappelle que l’entrée en vigueur du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE interviendra le 25 mai 2018. L’article 35-3 de ce texte dispose qu’une analyse d’impact relative à la protection des données [...] est, en particulier, requise dans les cas suivants : [...] le traitement à grande échelle de catégories particulières de données visées à l’article 9, paragraphe 1 [...] » parmi lesquelles les données biométriques aux fins d’identifier une personne physique de manière unique.
Aussi, la Commission prend acte de l’engagement pris par la Banque Kolb de réaliser une analyse d’impact relative à la protection des données dans le cas où un projet de pérennisation de cette expérimentation était envisagé à son issue, ainsi que de consulter la Commission, sur la base de cet examen et ce, quel qu’en soit le niveau de risques évalué.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque Laydernier d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre à titre expérimental un système d’authentification de ses clients par reconnaissance vocale sur le serveur de son centre d’appels ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, notamment son article 87 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Banque Laydernier a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation de mettre en œuvre à titre expérimental un système d’authentification de ses clients collaborateurs par reconnaissance vocale sur un serveur de centre d’appels.
Ce système vise à sécuriser les opérations faites à distance par le biais du centre d’appels du groupe Crédit du Nord grâce à l'authentification biométrique des clients, couplée à la saisie de leur identifiant et la vérification du numéro entrant (qui doit être l’un des trois enregistrés dans le dossier client). 
Cette expérimentation a pour but d’évaluer la fiabilité du système dans un cadre opérationnel, d’analyser les performances de l’outil de reconnaissance vocale par la mesure des faux positifs et faux négatifs et d’apprécier l’appétence des clients pour ce système d’authentification.
Ce projet d’expérimentation est porté par la Banque Laydernier, en partenariat avec le groupe Crédit du Nord auquel elle appartient et la Société Générale. Par délibération n° 2014-093 du 13 mars 2014, cette dernière avait été autorisée par la Commission à mettre en œuvre, à titre expérimental, auprès de collaborateurs volontaires, un même système d’authentification vocale.
Ce système repose sur la solution de reconnaissance vocale développée par la société Nuance Communications, VocalPassword.
La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour assurer le contrôle de l’identité des personnes. Il relève, à ce titre, du 8° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par la CNIL.
Sur la finalité du traitement :
Aujourd’hui, les clients de la Banque Laydernier ont la possibilité de consulter leurs comptes et de réaliser des opérations bancaires à distance via l’Internet ou en contactant un serveur vocal interactif « Etoile Direct ». Par téléphone, l’authentification est réalisée par la saisie d’un couple identifiant/mot de passe ou, en cas d’oubli ou perte de mot de passe, par une phase de vérification « à l’américaine » (questions de sécurité posées par un conseiller multimédia). Le nombre d’opérations pouvant être effectuées à distance dépend du niveau d’authentification du client (accès à un nombre restreint en cas de non saisie du mot de passe).
La  Banque Laydernier souhaite proposer à ses clients d’expérimenter, pour une durée d’un an, une méthode d’authentification alternative par reconnaissance vocale. 
L’information de mise en place du service expérimental sera transmise aux clients collaborateurs du groupe Crédit du Nord, en activité ou retraités, et leur famille directe (conjoints et enfants majeurs) rattachés à leur périmètre de compte. Seuls les 1000 premiers inscrits pourront participer à cette expérimentation.
les journaux des opérations qui permettent de tracer toutes les demandes d’authentification biométrique (les informations stockées sont notamment : l’identifiant client, les dates et heures, ainsi que les résultats de l’authentification).
La Commission considère que la collecte de ces données est proportionnée à la finalité poursuivie.
Sur la durée de conservation des données :
Les données traitées dans le cadre de l’expérimentation seront supprimées à son issue, soit pour une durée de conservation de 12 mois. 
Les journaux de connexion à la plateforme Nuance seront conservés 30 jours.
Sur les destinataires des données :
Seul aura accès aux données le personnel spécifiquement habilité à cet effet de la Banque Laydernier (personnel du service en charge de la mise en œuvre du projet), du Crédit du Nord, coordinateur du projet, de son partenaire la Société Générale, ainsi que de son prestataire sous-traitant (responsable en charge de la prestation, informaticiens, techniciens, etc.).
Sur l'information et les droits des personnes :
Les personnes concernées sont informées de leurs droits d’accès, de rectification et d’opposition par des mentions d’information figurant sur le courriel ou courrier postal adressé à toutes les personnes susceptibles de participer à l’expérimentation afin de les informer de sa mise en place.