AgentPublic/cnil huggingface dataset:
Les données relatives à l’historique d’accès et les données d’identification sont conservées sur une période de trois mois glissants.Les données biométriques ne sont conservées que le temps de l’habilitation d’accès de la personne concernée, sur le terminal de lecture comparaison. En cas de départ de cette dernière, le gabarit biométrique est immédiatement supprimé. 
Sur les destinataires
Seul le personnel spécifiquement habilité du Musée d’art moderne de Paris peut accéder aux données d’identification ainsi qu’à l’historique d’accès, ce qui n’appelle pas d’observation de la Commission.
Sur l’information et le droit d’accès 
Le dispositif biométrique a fait l’objet d’une consultation des instances représentatives du personnel.
Les personnes concernées sont informées par la remise d’un document d’information spécifique et détaillé  remis à chaque agent concerné.Les droits s’exercent auprès des services du responsable de traitement. La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
Une formation est dispensée par l’intégrateur à toutes les personnes habilitées. En cas de faille de sécurité, le personnel de sécurité présent sur site est formé pour réagir rapidement selon la situation.
En cas de défaillance du dispositif, la personne concernée peut s’adresser au service de sécurité.
Compte tenu de l’objectif de sécurité recherché, des exigences fortes de fiabilité du système et de sécurité des données traitées ont été définies. A titre principal, il s’agit :
du choix spécifique du dispositif biométrique limitant les risques de fausse acceptation (personne faussement reconnue et autorisée à accéder de manière illégitime)
de la limitation des données collectées aux seules données biométriques nécessaires sous la forme d’un gabarit ne permettant pas de recalculer la donnée d’origine
le gabarit fait l’objet d’un chiffrement (format propriétaire) avec une clé spécifique au traitement ;
d’une gestion stricte des habilitations d’accès au dispositif 
du signalement de toute tentative d’accès aux lecteurs (dispositif anti-arrachement) ;
du signalement de toute tentative d’accès par une personne dont le gabarit d’empreinte ne se trouve pas dans le lecteur
du nombre limité de personnes habilitées à la gestion (enrôlement, administration) du dispositif.
le gabarit fusionné ne peut pas permettre de créer un gabarit utilisable pour une seule des deux biométries ;
le gabarit ne permet pas de recalculer l’image correspondante du réseau veineux ou de l’empreinte digitale.
Enfin, la Commission souligne que le dispositif utilisé apporte les deux garanties suivantes :
du choix spécifique du dispositif biométrique limitant les risques de fausse acceptation (personne faussement reconnue et autorisée à accéder de manière illégitime)
de la limitation des données collectées aux seules données biométriques nécessaires sous la forme d’un gabarit ne permettant pas de recalculer la donnée d’origine
le gabarit fait l’objet d’un chiffrement (format propriétaire) avec une clé spécifique au traitement ;
d’une gestion stricte des habilitations d’accès au dispositif 
du signalement de toute tentative d’accès aux lecteurs (dispositif anti-arrachement) ;
du signalement de toute tentative d’accès par une personne dont le gabarit d’empreinte ne se trouve pas dans le lecteur
du nombre limité de personnes habilitées à la gestion (enrôlement, administration) du dispositif.
le gabarit fusionné ne peut pas permettre de créer un gabarit utilisable pour une seule des deux biométries ;
le gabarit ne permet pas de recalculer l’image correspondante du réseau veineux ou de l’empreinte digitale.
Les mesures de sécurité mises en place sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, le Musée d’art moderne de Paris à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1727156)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Securymind d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès aux locaux professionnels par reconnaissance combinée du réseau veineux des doigts de la main et de l’empreinte digitale ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Responsable du traitement
Securymind est un cabinet de conseil en analyse des risques de sûreté des structures sensibles de l’Etat français et d’entreprises soumises à des obligations de sûreté, ayant le statut de société à responsabilité limitée. Il doit dans ce cadre garantir à ses clients la disponibilité, l’intégrité et la confidentialité des informations sensibles qui lui sont confiées ainsi que la sécurité des matériels soumis à autorisation gouvernementale nécessaires pour exécuter ses missions.  Plusieurs accréditations lui ont été accordées à ce titre. Le cabinet doit justifier d’un niveau de sécurité élevé pour l’accès à ses locaux. 
Sur la finalité et les caractéristiques du traitement
Le dispositif biométrique bimodal, fondé sur la reconnaissance de l’empreinte digitale et du réseau veineux d’un doigt de chaque main, est mis en place afin de lutter contre le risque d’usurpation d’identité lors de l’accès aux locaux du cabinet. 
Le dispositif est composé d’un seul et même lecteur qui permet de lire le réseau veineux et l’empreinte digitale d’un doigt d’une personne de manière simultanée. La reconnaissance biométrique utilisée est fondée sur la comparaison d‘informations issues de l’empreinte digitale et du réseau veineux d’un individu avec un gabarit unique. Le gabarit est stocké sur le terminal selon un format propriétaire. Le terminal est isolé des autres traitements et sans connexion à internet ou au réseau.
Le recours à la biométrie multimodale améliore les performances globales des dispositifs biométriques en offrant plus de critères de contrôle, en renforçant ainsi le niveau d’authentification et en compensant les faiblesses, avérées ou supposées, d’une biométrie par une autre. De plus la solution utilisée permet de limiter les risques sur les individus créés par le système à un niveau équivalent à une biométrie « sans trace ».Le renforcement du contrôle d’accès au moyen d’un dispositif biométrique répond aux besoins particuliers du cabinet Sécurymind, notamment en termes de sécurité des données traitées dans le cadre de son activité d’analyse et de conseil en matière de risques de sûreté des structures sensibles de l’Etat français et d’entreprises soumises à des obligations de sûreté.La Commission considère que la finalité ainsi définie est déterminée, explicite et légitime.  
Sur les données traitées
Les données concernent les salariés habilités.
Il s’agit : 
des données d’identification : nom et prénom des personnes concernées ;
de l’historique d’accès aux locaux : horodatage des accès et identifiant du lecteur ;
des données biométriques de l’empreinte digitale et du réseau veineux de deux doigts. 
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées. 
Sur la durée de conservation des données
Les données relatives à l’historique d’accès et les données d’identification sont conservées sur une période de trois mois glissants dans le serveur de Securymind.Les données biométriques ne sont conservées que le temps de l’habilitation d’accès de la personne concernée, sur le terminal de lecture comparaison. En cas de départ de cette dernière, le gabarit biométrique est immédiatement supprimé, sous le contrôle de l’officier de sûreté du cabinet. 
Sur les destinataires
Seul le personnel spécifiquement habilité de Securymind peut accéder aux données d’identification ainsi qu’à l’historique d’accès, ce qui n’appelle pas d’observation de la Commission.
Sur l’information et le droit d’accès 
Le dispositif a fait l’objet d’une consultation des instances représentatives du personnel.Les personnes concernées sont informées de manière individuelle, par un message électronique d’information spécifique et détaillé  et lors d’une réunion d’information.Les droits s’exercent auprès des services du responsable de traitement. La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
Une formation est dispensée par l’intégrateur à toutes les personnes habilitées. En cas de faille de sécurité, le personnel de sécurité présent sur site est formé pour réagir rapidement selon la situation.
En cas de défaillance du dispositif, des entrées de secours contrôlées par 3 personnes du cabinet peuvent être utilisées.
Compte tenu de l’objectif de sécurité recherché, des exigences fortes de fiabilité du système et de sécurité des données traitées ont été définies. A titre principal, il s’agit :
du choix spécifique du dispositif biométrique limitant les risques de fausse acceptation (personne faussement reconnue et autorisée à accéder de manière illégitime) ;
du chiffrement du gabarit (format propriétaire) avec une clé spécifique au traitement ;
du signalement de toute tentative d’accès aux lecteurs (dispositif anti-arrachement) ;
du signalement de toute tentative d’accès par une personne dont le gabarit d’empreinte ne se trouve pas dans le lecteur ;
du nombre limité de personnes habilitées à la gestion (enrôlement, administration) du dispositif.
le gabarit fusionné ne peut pas permettre de créer un gabarit utilisable pour une seule des deux biométries ;
le gabarit ne permet pas de recalculer l’image correspondante du réseau veineux ou de l’empreinte digitale.
Enfin, la Commission souligne que le dispositif utilisé apporte les deux garanties suivantes :
du choix spécifique du dispositif biométrique limitant les risques de fausse acceptation (personne faussement reconnue et autorisée à accéder de manière illégitime) ;
du chiffrement du gabarit (format propriétaire) avec une clé spécifique au traitement ;
du signalement de toute tentative d’accès aux lecteurs (dispositif anti-arrachement) ;
du signalement de toute tentative d’accès par une personne dont le gabarit d’empreinte ne se trouve pas dans le lecteur ;
du nombre limité de personnes habilitées à la gestion (enrôlement, administration) du dispositif.
le gabarit fusionné ne peut pas permettre de créer un gabarit utilisable pour une seule des deux biométries ;
le gabarit ne permet pas de recalculer l’image correspondante du réseau veineux ou de l’empreinte digitale.
Les mesures de sécurité mises en place sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, la société Securymind à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1867452)
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre des Outre-mer d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour objet l’interconnexion du registre de l’état civil coutumier et du fichier électoral de Nouvelle-Calédonie en vue de constituer les listes d’électeurs inscrits d’office au scrutin d’accession à la pleine souveraineté ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi organique n° 99-209 du 19 mars 1999 modifiée relative à la Nouvelle-Calédonie, notamment ses articles 181, 218 et 219 ;
Vu la loi organique n° 2015-987 du 5 août 2015 relative à la consultation sur l'accession de la Nouvelle-Calédonie à la pleine souveraineté ;
Vu le code électoral, notamment son article R. 213 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-5°) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du président du gouvernement de la Nouvelle-Calédonie n° 2003-5368/GNC-Pr du 24 novembre 2003 relatif à l’informatisation du fichier de l’état civil des citoyens de statut coutumier ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission a été saisie, par le ministre des Outre-mer, d’une demande d’autorisation de mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour objet l’interconnexion du registre de l’état civil coutumier et du fichier électoral de Nouvelle-Calédonie en vue de constituer les listes d’électeurs inscrits d’office à la consultation sur l’accession à la pleine souveraineté.
Ces listes auront vocation à figurer dans le fichier général des électeurs inscrits sur les listes électorales de Nouvelle-Calédonie. L’Institut de la statistique et des études économiques (ISEE) de Nouvelle-Calédonie est en charge du dispositif mis en œuvre pour tenir ce fichier général, conformément à l’article R. 213 du code électoral pris en application des articles 189-VII et 219 de la loi organique n° 99-209 du 19 mars 1999 susvisée. Il agit pour le compte de l’Etat et sous l’autorité du haut-commissaire de la République en Nouvelle-Calédonie.
La loi organique n° 2015-987 du 5 août 2015 susvisée a tout particulièrement élargi les conditions d’inscription d’office à la liste électorale relative à la consultation sur l'accession de la Nouvelle-Calédonie à la pleine souveraineté, principalement en vue de simplifier les démarches administratives liées à la participation à cette consultation des personnes relevant du statut coutumier de Nouvelle-Calédonie.
Cette modification du dispositif électoral nécessite notamment une interconnexion entre le fichier général des électeurs et le registre de l’état-civil coutumier mis en œuvre par le Gouvernement de Nouvelle-Calédonie, afin de proposer aux électeurs relevant de ce statut civil une inscription d’office sur la liste électorale spéciale provinciale. Les finalités de ces deux traitements, relevant de personnes morales gérant un service public, correspondent à des intérêts publics différents, ce qui justifie la présente demande d’autorisation, en application de l’article 25-I-5°) de la loi « Informatique et Libertés ».
La Commission souligne être saisie, de façon concomitante, d’une demande d’avis concernant un projet de décret modifiant l’article R. 213 du code électoral relatif à la tenue du fichier général des électeurs en Nouvelle-Calédonie, en vue de permettre la tenue et la mise à jour de la liste électorale spéciale à établir pour organiser, avant 2018, la consultation sur l’accession de la Nouvelle-Calédonie à la pleine souveraineté prévue par le titre IX de la loi organique n° 99-209 du 19 mars 1999 susvisée.
Sur la finalité du traitement :
A titre liminaire, la Commission rappelle que, dans le cadre de l’article R. 213 du code électoral, l’ISEE est notamment chargé de procéder aux traitements des données à caractère personnel permettant de proposer, aux commissions administratives en charge de la tenue et de la révision des listes électorales de Nouvelle-Calédonie, l’inscription d’office des électeurs ou leur radiation. Il revient ensuite à ces commissions administratives de valider ces propositions d’inscription ou de radiation d’office pour constituer chaque liste électorale et, au besoin, de vérifier auprès des personnes concernées les justificatifs utiles à confirmer leur capacité électorale. Devenues définitives, les différentes listes électorales sont ensuite conservées au sein du fichier général des électeurs de Nouvelle-Calédonie susmentionné.
Or, parmi les dispositions prévues pour organiser, avant la fin de l’année 2018, la consultation relative à l'accession de la Nouvelle-Calédonie à la pleine souveraineté, la loi organique n° 2015-987 du 5 août 2015 prévoit la possibilité d’inscription d’office, sur la liste électorale spéciale, des électeurs admis à la consultation du 8 novembre 1998 et de ceux relevant du droit coutumier prévu par le titre Ier de la loi organique du 19 mars 1999 précitée.
Dans ce contexte, il est prévu que l’ISEE procède à une interconnexion de fichiers pour enrichir les propositions d’inscription d’office de certaines données issues du registre de l’état-civil coutumier mis en œuvre par le Gouvernement de Nouvelle-Calédonie. Cette interconnexion doit permettre d’identifier une personne qui, relevant de ce statut civil, est susceptible d’être proposée à l’inscription d’office sur la liste électorale spéciale relative à la consultation.
La Commission relève que cette liste électorale spéciale est tenue de façon permanente au sein du fichier général des électeurs et révisée annuellement jusqu’à l’année du dernier scrutin, ce qui pourrait justifier que l’ISEE réitère les opérations d’interconnexion nécessaires à la révision de la liste électorale ainsi constituée.
L’interdiction d’utiliser le fichier général des électeurs à des fins de recherche des personnes étant explicitement prévue au code électoral, la Commission rappelle que cette limite d’usage s’applique au présent traitement nécessaire à la constitution de la liste électorale spéciale.
Elle considère dès lors que ces finalités sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi « Informatique et Libertés ».
Sur la nature des données traitées :
Pour constituer une liste de personnes susceptibles d’être proposées à l’inscription d’office sur la liste électorale spéciale à établir pour la consultation sur l’accession à la pleine souveraineté, il est prévu de traiter les données suivantes issues du fichier général des électeurs :
identité de l’électeur (nom, prénoms, sexe, nom matrimonial, date et lieu de naissance) ;
lieux et dates d’inscription sur la ou les listes électorales ;
nature de la liste électorale (liste générale, liste spéciale aux élections au congrès et aux assemblées de province, liste spéciale à la consultation ou liste complémentaire) ;
date de dépôt de la demande d’inscription sur la ou les listes électorales spéciales ;
date de l’inscription de l’électeur sur le tableau annexe à la liste électorale spéciale ;
admission ou non-admission de l’électeur à participer à la consultation du 8 novembre 1998 et motifs de la non-admission ;
perte des droits civils et politiques, date d’effet et durée ;
acquisition ou perte de la nationalité française ;
nationalité, pour les ressortissants de l'Union européenne autres que les citoyens français ;
décès.
Ces données seront interconnectées avec les catégories de données à caractère personnel suivantes issues du registre de l’état civil coutumier :
le nom individuel kanak ;
le ou les prénoms chrétiens ; 
le sexe ;
les date et lieu de naissance ;
le lieu d’origine ;
le cas échéant, les date et lieu de mariage, le nom individuel kanak, le ou les prénoms du conjoint et la date de dissolution du mariage ;
la date du décès de la personne concernée ;
la mention relative à l’éventuelle renonciation au statut civil coutumier ;
et, en cas de besoin, la copie de l’acte d’état civil ou les références liées aux actes d’état civil.
La Commission observe que certaines de ces données sont susceptibles de relever de l’article 8 de la loi du 6 janvier 1978 modifiée. Néanmoins, les dispositions des articles 189-VII et 219 de la loi organique n° 99-209 du 19 mars 1999 modifiée prévoient expressément le statut civil de droit coutumier au rang des critères conditionnant une proposition d’inscription d’office à la liste spéciale pour la consultation sur l’accession à la pleine souveraineté.
En outre, ces données sont rendues accessibles à l’ISEE, celui-ci étant déjà prévu parmi les destinataires légitimes du traitement qui, mis en œuvre par le service du Gouvernement de Nouvelle-Calédonie en charge de gérer l'état civil coutumier, a été déclaré auprès de la Commission en date du 7 mai 2002. La modification en cours du code électoral fera figurer expressément le fait que cette liste spéciale doit être constituée notamment à partir de données issues du « fichier de l’état civil coutumier en vue de proposer à une inscription d’office les électeurs relevant du statut civil coutumier prévu par le titre Ier de la loi organique du 19 mars 1999 précitée ».
La Commission relève par ailleurs que les causes de dissolution du mariage, de décès, de déchéance de droits civils et politiques ou encore la perte de ce statut civil coutumier, susceptibles de figurer au registre coutumier, ne seront pas traitées dans le cadre de la présente interconnexion.
Au terme de l’interconnexion entre ces données du fichier général des électeurs et celles issues du registre d’état civil coutumier, l’ISEE pourra produire une liste de personnes à inscrire d’office. Seules les données nécessaires à ces propositions d’office seront conservées au sein du fichier général des électeurs, aux côtés de la liste électorale spéciale validée.
Au regard de l’ensemble de ces éléments, la Commission considère que les catégories de données traitées sont pertinentes, adéquates et non excessives, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Il est prévu que l’ISEE conserve les données traitées pour produire le fichier pendant dix années, afin d’utiliser et, au besoin, de réviser, la liste électorale spéciale, non seulement pour le premier scrutin d’accession à la pleine souveraineté, mais également pour les scrutins ultérieurs prévus par la loi organique précitée. Il s’agit de pouvoir conserver les données pertinentes ayant servi à constituer les listes électorales établies pour ces scrutins notamment à partir des inscriptions d’office proposées par l’ISEE ainsi que les données susceptibles d’être produites dans le cadre d’éventuels recours contentieux relatifs à l’ensemble de ces scrutins.
A l’issue du délai de dix ans, et sans préjudice de recours contentieux, l’ensemble de ces données à caractère personnel sont détruites de façon sécurisée et définitive, à l’exception d’un exemplaire versé aux Archives nationales dans les conditions prévues au code du patrimoine.