AgentPublic/cnil huggingface dataset:
La commission appelle néanmoins à la vigilance de tout acteur public pour ne traiter que les données strictement nécessaires pour rendre le service public dont il la charge, conformément aux dispositions de l'article 6 (3°) de la loi du 6 janvier 1978 modifiée. Elle prend donc que, à sa demande, l'article 3 du projet d'arrêté sera complété sur ce point afin de préciser qu'il s'agit des données  strictement nécessaires à l'accomplissement des démarches administratives mentionnées à l'article 1er .L'article 3 du projet d'arrêté autorise enfin le traitement de données sensibles au sens de l'article 8 de la loi  informatique et libertés  lorsque ce traitement est  rendu nécessaire par un texte législatif ou réglementaire  relatif à la démarche administrative concernée ou lorsque le consentement exprès de l'administré est recueilli. La commission prend acte que la confidentialité de ces données doit, en tout état de cause, être renforcée par des mesures de sécurité supplémentaires.Elle rappelle néanmoins que la collecte de ces données doit être réalisée directement auprès des personnes concernées et être limitée aux seuls cas strictement nécessaires. Par exemple, la collecte d'informations relatives à la santé des personnes aux fins de mises en place de mesures de secours adaptées ne doit pas se traduire systématiquement par le traitement de données relatives aux pathologies, la saisie des modalités de secours spécifiques que celles-ci imposent pouvant suffire. Il en est de même
en matière d'informations relatives au régime alimentaire dans le cadre scolaire, où la mention de la religion des personnes concernées n'apparaît pas nécessaire.
La commission estime, en outre, que les mesures de sécurité complémentaires devraient être également rendues obligatoires pour le traitement des autres données bénéficiant de protections particulières aux termes de la loi du 6 janvier 1978 modifiée, telles que, par exemple, les données relatives aux infractions ou condamnations (article 9) ou le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR). Elle prend acte de ce que l'article 3 du projet d'arrêté sera complété en ce sens.
Sur la durée de conservation des données :Les durées de conservation des données nécessaires à l'accomplissement des démarches administratives varient en fonction du dispositif de l'entité publique locale. Les téléservices offerts par les collectivités peuvent en effet prendre deux formes distinctes.Si la plate-forme offrant un  bouquet de téléservices  aux usagers ne sert que de  relai  vers des traitements de gestion de l'entité publique locale, la durée de conservation sur la plate-forme est limitée à trois mois et les données sont ensuite détruites.En revanche, si la plate-forme sert également de plate-forme d'hébergement pour chaque commune (mutualisation des ressources informatiques entre plusieurs entités territoriales), la durée de conservation des données est corrélative à la finalité propre de chaque téléservice.Sans préjudice des données dont la conservation et l'archivage sont nécessaires au traitement  métier , la commission rappelle que les données collectées pour un téléservice donné ne peuvent être conservées au-delà du délai d'utilité administrative.
Sur les destinataires des données :L'article 5 du projet d'arrêté prévoit que sont destinataires des données les seules autorités légalement habilitées à connaître et à traiter les démarches administratives des utilisateurs du téléservice.Compte tenu de la diversité des situations des entités publiques locales concernées par ce projet d'acte réglementaire, la commission prend acte de la rédaction générale de cet article. Elle recommande néanmoins que, dans la mesure du possible, les agents des autorités traitant ces démarches administratives fassent l'objet d'une habilitation spéciale et d'une désignation individuelle par leur responsable hiérarchique. De même, elle rappelle que la traçabilité des actions effectuées par ces agents (consultation, modification ou suppression des données) doit être assurée afin de se conformer aux dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée.
Sur les droits des personnes concernées :Le dernier alinéa de l'article 3 du projet d'arrêté prévoit que la liste des données à caractère personnel enregistrées dans chaque traitement est accessible depuis les téléservices des entités publiques locales. Cette mesure procède de l'obligation d'information incombant aux responsables de traitement, notamment sur le caractère facultatif ou obligatoire des données collectées pour rendre le service et contribue à l'exercice du droit d'accès de l'administré à ses données traitées pour chaque téléservice.La commission rappelle néanmoins que tout responsable de traitement de l'obligation d'informer les personnes concernées du traitement de leurs données personnelles et de ses modalités principales dans les conditions prévues par les dispositions de l'article 32 de la foi du 6 janvier 1978 modifiée. Elle prend donc acte que, à sa demande, le dernier alinéa de l'article 3 du projet d'arrêté sera complété sur ce point et rappelle que ces mentions d'information doivent être facilement accessibles pour l'administré et rédigées en des termes clairs et pédagogiques.
Si la commission est favorable au développement de l'administration électronique, elle rappelle que ces outils ne doivent pas être exclusifs d'autres canaux d'accès aux services publics. Elle prend donc acte que l'article 8 du projet d'arrêté prévoit expressément le maintien d'une procédure alternative au téléservice et que cette procédure doit alors permettre l'accès, dans des conditions analogues, à la même prestation de service public.Enfin, le même article prévoit que les droits d'accès, de rectification et de suppression prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent directement auprès du responsable du téléservice. La commission estime que, dans le cadre de tout téléservice, les droits  informatique et libertés  doivent pouvoir s'exercer par voie électronique, ce qui requiert une vigilance particulière sur les mesures de sécurité à mettre en œuvre.
Sur la sécurité et la confidentialité des données :A titre général, la commission souligne qu'au vu de la diversité des téléservices publics locaux et des structures qui les mettent en œuvre, il n'apparaît pas opportun d'imposer dans l'acte réglementaire unique la mise en œuvre de mesures précises garantissant la sécurité et la confidentialité des données. Il semble en effet préférable de prévoir dans le projet d'arrêté le respect de certains principes quant à la sécurité des traitements mis en œuvre, en laissant aux responsables de traitement le soin de déterminer les mesures précises à mettre en œuvre.
La commission prend donc acte que, à sa demande, l'article 6 du projet d'arrêté rappelle expressément les obligations incombant aux responsables de traitement en matière de sécurité et de confidentialité des données traitées. Les obligations concernant la sécurité de tout téléservice de l'administration électronique, notamment l'obligation de sa mise en conformité au référentiel général de sécurité (RGS), ainsi que les dispositions de l'article 34 de la loi  informatique et libertés  sont ainsi rappelées. En particulier, l'article 6 du projet d'arrêté prévoit l'obligation de procéder à la réalisation préalable d'une  analyse de risques tenant compte du respect de la vie privée  des administrés.La commission rappelle que cette étude devra donc considérer, d'une part, les risques d'atteinte à la sécurité des systèmes d'information et leurs impacts sur l'entité publique locale, d'autre part, les risques d'atteinte aux données à caractère personnel et leurs impacts sur la vie privée des administrés. Chaque portail de téléservices locaux étant spécifique, cette étude permettra ainsi de déterminer les mesures adéquates pour traiter ces risques de manière proportionnée, y compris les risques inhérents à la fédération d'identités appliquée mise en œuvre au sein d'une même entité publique locale.La commission estime ces mesures de sécurité suffisantes. Elle rappelle que cette étude de risques devra être communiquée sur demande à la CNIL. Les mesures de sécurité mises en œuvre et leur
amélioration continue doivent être vérifiables, l'ensemble de ces documents devant être tenu à disposition lors de contrôle.
Enfin, dans l'hypothèse du recours à une  carte de vie quotidienne  (CVQ), support unique permettant d'accéder à plusieurs services publics, la commission rappelle que des mesures de sécurité complémentaires doivent être mises en œuvre.Cette exigence est d'autant plus impérieuse dans l'hypothèse d'une carte multiservices utilisée par plusieurs entités locales pour mutualiser un même service public, au premier rang desquels le transport. En effet, la délibération n° 2011-107 du 28 avril 2011 relative à la gestion des applications billettiques dans le cadre de l'organisation de transports publics (autorisation unique n° 15) dispose que des mesures techniques et organisationnelles doivent être mises en œuvre afin de garantir l'absence de traçabilité des activités et déplacements de l'administré et se prémunir contre les risques d'intrusion et de détournement de données sur les systèmes informatiques. Ces mesures doivent en particulier garantir la stricte étanchéité entre les données des différents services et les identifiants tant techniques que fonctionnels utilisés pour le transport ne doivent pas être utilisés pour d'autres services.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés, Saisie par la Banque Postale d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre à titre expérimentale d'un système d'authentification des titulaires de carte de paiement par biométrie ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Formule les observations suivantes :
La Banque Postale a saisi la Commission nationale de l'informatique et des libertés d'une demande d'autorisation relative aux traitements automatisés nécessaires à l'expérimentation d'un service dénommé  Talk To Pay  (ci-après T2P) basé sur un moyen d'authentification par biométrie vocale.
T2P est un mécanisme qui vise à renforcer la sécurité des transactions en ligne grâce à l'authentification biométrique du titulaire de la carte couplée à un appel sortant sur son téléphone. A terme, T2P vise à remplacer l'utilisation du cryptogramme visuel apposé sur la carte et le système 3D-Secure.T2P peut être utilisé auprès de tous les cybercommerçants.
La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour assurer le contrôle de l'identité des personnes. Il relève, à ce titre, du 8° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par la CNIL.
Sur la finalité du traitement :
La Banque Postale en partenariat avec PW Consultants, Telecom SudParis, et une chercheuse reconnue en matière de biométrie souhaite mener une expérimentation basée sur la reconnaissance vocale afin de permettre aux clients de s'authentifier lors de leurs paiements à distance. 
Les personnes concernées par l'expérimentation, entre 500 et 1000, sont les collaborateurs de la Banque Postale et les clients membres de la  BanqueLab .
Une campagne de recrutement de participants est prévue via l'envoi de mails d'invitation et une communication interne à la Banque Postale renvoyant vers un formulaire d'inscription.
La participation est basée sur le volontariat. 
Les différentes étapes du processus de souscription des participants au service T2P sont les suivantes :
- Chaque participant télécharge le formulaire sur le lien d'inscription et est invité à renseigner son nom, prénom, adresse électronique. Le formulaire est signé et envoyé au centre financier de la Banque Postale de Dijon.- Un identifiant et un mot de passe individuels sont adressés par courriel.- Dans un second temps, une carte bancaire, dédiée à l'expérimentation, est envoyée par courrier postal à chaque participant. Le système 3D-Secure est désactivé pour ces cartes. L'apposition du cryptogramme visuel est maintenue mais ce dernier est inopérant.- L'utilisateur s'inscrit à travers une interface personnelle et sécurisée sur un site Internet dédié au pilote en utilisant son identifiant et son mot de passe reçus par courriel. Il renseigne les coordonnées de la carte bancaire T2P, son numéro de portable et installe l'application T2P sur son ordinateur ou son mobile.- Suite au renseignement de son numéro de téléphone portable, le participant est rappelé par le service pour procéder à son enrôlement sur son propre téléphone. L'enrôlement consiste à répéter des consignes audio à de multiples reprises pour générer son gabarit vocal.- Pour l'usage du dispositif, l'utilisateur a la possibilité soit de se connecter à son interface personnelle sécurisée, soit de télécharger un module additionnel au navigateur Internet qui servira d'interface automatique au service (plugin T2P).
Lorsque le participant souhaite payer en ligne en utilisant le système  Talk To Pay , il procède ainsi: - Il se connecte sur le site du commerçant en ligne de son choix, remplit son panier et choisit son mode de paiement (carte bancaire).- Il renseigne le numéro et la date d'expiration de la carte de paiement dédiée au pilote (la Banque Postale envisage une fonctionnalité de remplissage automatique de ces données).- Puis il active le plug-in T2P (préalablement téléchargé lors de l'inscription au service) qui déclenche un appel automatique sur son téléphone. En l'absence de ce plug-in T2P, optionnel, le participant doit se connecter à son interface personnelle sécurisée afin de manuellement déclencher le service.- Il s'authentifie avec sa voix en répétant une phrase qui lui est imposée.- Après la validation de l'authentification, le système  Talk To Pay  génère un code temporaire et à usage unique qui s'apparente au cryptogramme visuel à 3 chiffres. Ce code est, soit automatiquement intégré au formulaire de paiement via un logiciel spécifique, soit transmis sur l'interface personnelle sécurisée puis recopié par l'utilisateur. Il peut ainsi confirmer le paiement.
Au stade de l'expérimentation, les commerçants ne sont pas associés au service T2P, aucun développement spécifique n'est nécessaire. 
Sur la nature des données traitées :
Les données collectées auprès des participants sont les suivantes :
- Nom, prénom, civilité,- Numéro de téléphone,- Adresse postale,- Adresse électronique,- Type, numéro, date d'expiration et cryptogramme de la carte de paiement- Identifiants de connexion,- Données biométriques : voix, empreinte vocale (1 gabarit).
Dans le cadre de l'expérimentation envisagée, la Commission considère que la collecte de ces données est proportionnée à la finalité poursuivie.
Sur la durée de conservation des données :
Les données à caractère personnel sont conservées jusqu'à la fin de l'expérimentation. Il a été convenu avec le responsable de traitement que cette durée ne pouvait excéder 13 mois à compter de l'adoption de la présente délibération.
Sur les destinataires des données :
Pour expérimenter sa solution, la Banque Postale fait appel à un prestataire : la société PW Consultants spécialisée dans l'ingénierie des moyens de paiement et l'amélioration des processus de gestion de risques. 
Seuls auront accès aux données le personnel habilité du service back office de la Banque Postale, à savoir 3 collaborateurs du Centre National Monétique(CNM), 2 collaborateurs de la direction opérationnelle (DO) et 2 collaborateurs de la direction des activités de la banque de détail (DABD).
PW Consultants aura a accès aux fichiers audio des participants à l'expérimentation afin d'optimiser la solution de biométrie vocale. Seules 3 personnes sont destinataires de ces informations.
La Commission observe que les destinataires sont en nombre limité.
Sur l'information des personnes :
Les personnes sont informées de la finalité poursuivie et des modalités de mise en œuvre de l'expérimentation lors de l'envoi des mails d'invitation et par l'apposition d'une mention d'information sur le formulaire d'inscription.
Enfin, la Commission, après avoir rappelé qu'il ne saurait être question pour elle de valider un nouveau mode de transaction bancaire, estime que le formulaire signé par les clients participant à l'expérimentation devra prévoir que le recours au dispositif d'authentification biométrique par reconnaissance vocale du payeur n'entraîne aucune modification des règles de preuve en vigueur et de contestation en matière de paiement en ligne.
Sur les droits d'accès, de rectification et d'opposition des personnes :
La Commission prend acte que les personnes ayant accepté de participer à l'expérimentation ne seront jamais obligées d'utiliser le service d'authentification biométrique T2P. 
Ainsi, les participants pourront à tout moment choisir d'utiliser leurs cartes de paiement  classiques  et demander l'effacement de leurs données biométriques en contactant le support  Talk To Pay . Le service back office de la Banque Postale procède alors à la suppression de toutes les données les concernant.
Sur la sécurité des données et la traçabilité des actions :
Le dispositif biométrique est constitué d'un logiciel spécifique  Talk To Pay  (solution PW Biometrics) et du téléphone ou smartphone du participant.
Le système informatique est composé de serveurs au sein de l'organisme conservant les données à caractère personnel dont les données biométriques en base centrale. 
Les réseaux utilisés sont internes à l'organisme et sont isolés des autres traitements. Leur protection est assurée par un système anti-intrusion. 
La transmission des données sur Internet est effectuée de manière sécurisée en utilisant le protocole  https . 
Concernant le développement de l'application, les personnels sont distincts de ceux assurant la gestion et l'exploitation de l'application. La mise au point est effectuée sur des données anonymisées.
Des sauvegardes quotidiennes sont réalisées. Les sauvegardes sont stockées dans des centres de production ignifugés de manière à garantir leur sécurité et leur disponibilité.
Une journalisation des opérations de consultation, création et modification du traitement est réalisée.
Les interventions de maintenance font l'objet d'une traçabilité. 
Le matériel remisé est nettoyé de toute donnée à caractère personnel selon une procédure bancaire normalisée.
L'accès aux locaux est restreint par des mesures de sécurité assurant un contrôle interne et externe par caméras et un contrôle des accès par badge.
La solution ne propose pas de dispositif d'anti-rejeu. Il n'est alors pas possible de détecter si une phrase prononcée durant une authentification est issue de l'enregistrement d'une précédente authentification.
L'expérimentation à venir doit permettre de mesurer l'attrait du public concerné avant d'initier des développements plus complexes. 
L'ensemble des mesures précitées est donc nature à sécuriser de manière satisfaisante le recours à des moyens de paiement avec authentification biométrique des porteurs.
La Commission demande qu'au terme de l'expérimentation, lui soit adressé un bilan des modalités de fonctionnement et d'utilisation du dispositif. Le bilan devra notamment comporter les éléments suivants :- une description des conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté (taux de participation, temps moyen d'authentification, nombre de transactions aboutis/non-aboutis, moyenne des transactions, éventuels dysfonctionnements, causes des dysfonctionnements, taux de fausses acceptations, taux de faux rejets) ;- perception utilisateur (phase de l'enrôlement sur le téléphone, ergonomie du service, acceptabilité de la biométrie vocale, taux d'utilisation et de non utilisation ;- une présentation des enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ; - suites envisagées par le responsable de traitement sur la base du bilan effectué : axe d'amélioration, abandon du projet, demande de nouvelle expérimentation, demande d'autorisation de mise en œuvre à titre permanent ;
Dans ces conditions, la Commission autorise la Banque Postale à mettre en œuvre, à titre expérimental, selon les modalités décrites ci-dessus, et pour une durée maximale de 13 mois, les traitements automatisés relatifs à l'utilisation du système d'authentification biométrique pour les paiements en ligne. 
Cette autorisation ne saurait préjuger d'une éventuelle décision de la Commission saisie d'une demande de généralisation du service  Talk To Pay .
La Présidente
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet de décret modifiant le décret n° 2011-341 du 29 mars 2011 portant création d'un traitement de données à caractère personnel intitulé  gestion des sollicitations et des interventions  ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-II et 30 ;Vu loi n° 2002-1094 du 29 août 2002 d'orientation et de programmation pour la sécurité intérieure modifiée ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2011-341 du 29 mars 2011 portant création d'un traitement de données à caractère personnel intitulé  gestion des sollicitations et des interventions  ;Vu la délibération n° 2010-458 du 9 décembre 2010 portant avis sur un projet de décret en Conseil d'Etat autorisant la création du traitement de données à caractère personnel intitulé  Gestion des sollicitations et
des interventions  ;Vu le dossier et ses compléments ;Sur le rapport de M. Jean-Marie COTTERET, commissaire et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement ;Emet l'avis suivant :
La Commission a été saisie pour avis par le ministère de l'intérieur, le 11 mars 2013, d'un projet de décret en Conseil d'Etat modifiant le décret n° 2011-341 du 29 mars 2011 portant création d'un traitement de données à caractère personnel intitulé  gestion des sollicitations et des interventions  (GSI). 
Le projet de décret modificatif dudit traitement, mis en œuvre pour compte de l'Etat, contient des données mentionnées à l'article 8-I de la loi du 6 janvier 1978 modifiée, il doit donc être pris en application des articles 26-II et 30 de la loi du 6 janvier 1978 modifiée, après avis motivé et publié de la Commission.
Rappel sur le traitement GSI et la présentation des modifications envisagées