AgentPublic/cnil huggingface dataset:
Sur les données traitées
Les catégories de données traitées sont relatives :- à l’identification des personnes : nom, prénom, adresse, photographie, date et lieu de naissance ;- aux documents d’identité : copie du titre d’identité, numéro du document, genre (masculin/féminin), ligne de contrôle MRZ, bande MRZ (figurant en bas des documents d’identité), date d’établissement, date d’expiration, pays de délivrance, âge, pays, contrôles effectués et à effectuer, identifiant du client ;- aux données de connexion : identifiants des terminaux, identifiants de connexion, informations d’horodatage, statistiques de connexion par agence. La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seuls les conseillers clientèles de la Caisse d’épargne d’IDF en charge du suivi de la relation commerciale (les chargés d’affaires ou de comptes) et recevant les personnes souhaitant entrer en relation avec la Caisse d’épargne ou les clients actuels auront accès à ce traitement. Dans le cadre des missions de contrôles de second niveau, la Direction de la conformité peut également avoir accès à ces informations. Les administrateurs de la Direction informatique peuvent avoir accès aux informations figurant dans le système d’information de la banque. Seules les personnes habilitées de cette Direction ont également accès aux fichiers PDF contenant la ligne de contrôle.La Commission estime que ces destinataires ont un intérêt légitime à avoir communication de ces données.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la Caisse d’épargne IDF sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention d’information qui figure dans la convention de compte transmise lors de la signature du contrat (ouverture d’un compte de dépôt ou d’un compte d’épargne).Par ailleurs, les collaborateurs du réseau bancaire sont informés du traitement de leurs données (identifiant et données de connexion) par une mention d’information qui figure dans la charte d’utilisation des moyens informatiques et de communications électroniques annexée au règlement intérieur de la banque.Les droits d’accès et de rectification des clients s’exercent auprès du Service relation clientèle de la Caisse d’épargne Ile-de-France – 26/28, rue Neuve Tolbiac – CS 91344-75633 Paris Cedex 13. Tandis que les droits des salariés s’exercent auprès du correspondant informatique et libertés de la Direction de la conformité de la banque à cette même adresse ou par courriel à l’adresse suivante conformite.normes@ceidf.caisse-epargne.frLa Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Seuls les collaborateurs ayant un profil « direction de la conformité », « conseiller clientèle », « chargé d’accueil » ou « directeur d’agence » sont habilités à utiliser l’outil.Les personnes ayant accès à l’application bancaire ont accès au fichier PDF des résultats des vérifications par l’outil IdenTT.La connexion à l’application IdenTT se fait au moyen d’un lien hypertexte disponible sur l’intranet. Il n’existe pas de mot de passe spécifique pour se connecter à l’application. Toutefois, ce lien n’est actif que pour les collaborateurs habilités qui font partie d’un groupe Windows spécifique et sont reconnus lors de l’authentification à l’ouverture de session. Il s’agit d’un mécanisme d’authentification unique, seules les personnes habilitées à utiliser l’outil pourront s’y connecter.Il n’existe pas de traçabilité de l’outil en tant que tel, permettant de savoir qui a saisi les informations. Toutefois, la traçabilité est assurée de la manière suivante : les résultats générés en PDF et enregistrés dans le dossier client font apparaître la date et l’heure des contrôles réalisés, les consultations ou modifications de données dans le système d’information de gestion de la clientèle sont tracées. Enfin, les connexions à l’outil sont tracées par les logs de connexion.Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
La personne qui souhaite entrer en relation avec la banque présente ses documents d’identité au collaborateur en charge du suivi de la relation commerciale. Le collaborateur créé une fiche client dans l’application de gestion des clients et saisit les premières informations (identité, coordonnées …). L’outil « Iden TT » réalise une vérification et les résultats sont restitués sous la forme d’un fichier PDF contenant une ligne de contrôle. Cette ligne de contrôle contient des chiffres clés qui sont rapprochés manuellement par  le collaborateur en charge de la vérification de la bande MRZ figurant sur les documents d’identité. Si une anomalie est détectée lors de l’entrée en relation ou pendant le cours de la relation, le collaborateur effectue une vérification préalable. Le directeur ou son adjoint ou le chargé expert responsable de l’agence dans laquelle l’anomalie est relevée, doivent procéder à une contre vérification. Si le collaborateur considère que l’anomalie est avérée, il communique le dossier au Département sécurité financière de la Direction conformité pour une vérification complémentaire. La mention « faux document » est inscrite sur le dossier numérique du client en cas d’anomalie avérée. Le fichier PDF du résultat du contrôle, n’est pas conservé dans le dossier papier du client. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées. Pendant les
vérifications, des mesures conservatoires pourront être prises conformément à la procédure de traitement de suspicion d’une fraude, à savoir : la suspension de l’entrée en relation, la mise en opposition « surveillance » du client, la mise sous surveillance de la carte bancaire, le positionnement d’un pop-up sur le client (message d’alerte sur l’écran du gestionnaire concernant la situation du client), la création d’un dossier dans la base FExtern par le département sécurité financière de la Direction de la conformité. Cette base consolide l’ensemble des dossiers de fraude externe suspectée ou avérée pour en assurer le suivi ainsi que des reportings sur l’activité et les statistiques. Seule la Direction de la conformité dispose d’un accès à cet outil lui permettant d’effectuer des vérifications complémentaires lors d’une remontée d’anomalie.Une fois l’anomalie levée ou confirmée par le Département sécurité financière, le dossier sera traité conformément à la procédure de gestion et suivi des cas de fraudes externes, à savoir, soit la levée des mesures conservatoires, soit la mise en place de mesures complémentaires telles qu’elles ont été rappelées ci dessus. Dans l’hypothèse ou l’analyse complémentaire permet  d’écarter le doute, les mesures conservatoires sont levées et le pop-up positionné sur le client est supprimé. En outre, le pop-up sera automatiquement effacé au terme d’une année. Enfin, dans la base FExtern, le dossier est indiqué « clos ».Les données collectées
sont conservées pendant la durée nécessaire à la vérification des documents d’identité. Une fois le contrôle effectué, le fichier et les documents justificatifs d’identité sont enregistrés dans le dossier numérique du client. Ce fichier est imprimé et archivé par un sous traitant sous format papier pendant une durée de cinq années à compter, soit de la fin de la relation commerciale, soit du refus d’entrer en relation.  Enfin, les logs de connexion sont conservés pendant une année. Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.L’outil permet enfin de réaliser des statistiques pour le calcul, la gestion et le suivi des utilisations de l’application (ex : nombre de connexions) par les agences de la Caisse d’épargne. Ces statistiques sont conservées pendant une durée de cinq années.
Autorise, conformément à la présente délibération, la Caisse d’épargne d’Ile de France à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1624854)
La Commission nationale de l’informatique et des libertés,
Saisie par l’espace loisir Evae d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique de contrôle d’accès par reconnaissance des empreintes digitales ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée;
Après avoir entendu M Emmanuel de GIVRY, commissaire, en son rapport, et  M. Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Conformément à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée, l’espace Evae a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une demande d’autorisation relative à un traitement de données comportant un dispositif biométrique de reconnaissance des empreintes digitales ayant pour finalité de contrôler l’accès à l’espace Evae.
Situé à Strasbourg, l’Evae est un espace de loisirs de 9800 m² proposant des activités sportives et de bien être avec des infrastructures telles que des terrains de squash, de badminton, une piscine, un centre de musculation, une garderie ou encore des cours collectifs. Il compte environ 5000 adhérents.
Actuellement, le contrôle d’accès au site de l’EVAE est effectué au moyen d’une carte individuelle stockant uniquement le numéro identifiant de la carte, qui permet de faire un lien avec le dossier de l’adhérent concerné. Aucun contrôle humain n’est effectué sur l’identité réelle du détenteur de la carte. Dès lors, une personne non adhérente est susceptible d’accéder à l’espace Evae sur simple présentation, au système automatisé de gestion des entrées, du badge d’un adhérent.
La société Evae envisage de mettre en œuvre un dispositif biométrique reposant sur l’empreinte digitale avec support individuel. Chaque adhérent de l’espace pourra, s’il le souhaite, utiliser un badge individuel (sur lequel sera stocké un identifiant ainsi que son gabarit biométrique) puis présenter ses empreintes digitales aux deux bornes placées à l’entrée de ces zones, afin d’y accéder.
Le choix de recourir à ce dispositif biométrique résulte de l’objectif pour l’Evae de  contrôler l’identité réelle des porteurs de cartes afin de limiter les risques de fraude. Concrètement, il s’agit d’authentifier l’identité du porteur du badge afin que seuls les adhérents disposant d’un abonnement accèdent effectivement à l’espace de loisirs. 
Pour fonder sa demande, l’Evae n’invoque aucun impératif de sécurité. En effet, l’objectif poursuivi est la bonne gestion des abonnements qui, en l’espèce, fonde le recours à la biométrie. Cet objectif répond principalement à une finalité « de service ». Il s’agit de favoriser une meilleure gestion des droits des adhérents et donc des intérêts financiers de l’Evae, et non de prévenir une atteinte grave aux biens ou aux personnes. 
L’Evae souhaite imposer que ce dispositif soit facultatif pour ses clients. Seuls seront visés les adhérents disposant d’un abonnement annuel ou d’une carte donnant droit à un nombre prédéfini de visites (20 visites par exemple). En outre, le dispositif ne sera pas imposé mais sera simplement mis à leur disposition.
La Commission insiste sur le fait qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maitrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. En effet, à la différence de tout autre identifiant (code, mode de passe, autre), la donnée biométrique, qui est permanente et propre à chaque personne physique,  ne peut être modifiée. Ainsi, dans l’hypothèse d’un accès non autorisé à cette donnée, celle-ci est réputée compromise de manière définitive, c'est-à-dire ne permettant plus un contrôle fiable de l’identité des personnes concernées.
Conformément à l’article 1er de la loi du 6 janvier 1978 modifiée, la Commission rappelle que la mise en place d’un tel dispositif ne doit « porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques ».
Toutefois, sous réserve que des mesures techniques et organisationnelles minimales garantissent la confidentialité des données traitées, elle considère que la liberté individuelle de chaque adhérent de l’Evae vise autant la liberté de ne pas consentir à ce que des données résultant de son corps soient traitées que celle d’y consentir.
C’est pourquoi, il appartient à la Commission de vérifier la proportionnalité du traitement mis en œuvre par rapport à la finalité légitime de bonne gestion des abonnements identifiée par le responsable de traitement en s’assurant que les droits et libertés de chaque adhérent sont respectés. 
En premier lieu, la Commission observe que l’Evae a retenu des mesures techniques et organisationnelles garantissant la sécurité et la confidentialité des données traitées.
En second lieu, l’Evae s’est engagée à ce que le dispositif mis à disposition des adhérents reste entièrement facultatif. Le maintien d’un dispositif alternatif, sans surcoût et sans aucune contrainte organisationnelle ou technique additionnelle pour les adhérents, garantit le recueil d’un consentement libre des adhérents à utiliser le dispositif biométrique.
Concrètement, seules seront traitées les données des adhérents qui signent une note d’information intelligible et complète précisant notamment : 
-la liberté totale de chaque utilisateur de recourir à un dispositif alternatif ; 
-le droit de retirer à tout moment le consentement donné ; 
-les risques relatifs à la compromission des données biométriques (ex : risque de perte de données irrévocables et définitives) et les précautions à prendre par chaque utilisateur pour éviter de perdre son badge ; 
-le lien électronique ou le lieu (sur le site de l’Evae) où l’adhérent pourra consulter en permanence toute information utile sur le dispositif biométrique ;
-les risques en matière de fiabilité du dispositif (compte tenu notamment des modalités d’enrôlement et du paramétrage du dispositif) ; 
-les mentions « Informatique et libertés » relatives au droit d’accès, de modification et de suppression des données (articles 39 et 40 de la loi du 6 janvier 1978 modifiée). 
Sur la base de ces éléments, l’accord de chaque personne concernée étant recueilli de manière préalable et expresse, sur la base d’une information individuelle et complète, la Commission estime que celui-ci peut être qualifié de consentement exprès au sens de l’article 7 de la loi du 6 janvier 1978 modifiée.
En troisième lieu, le dispositif retenu par l’Evae ne nécessite pas le stockage du gabarit des empreintes digitales en base centralisée, mais uniquement sur le badge. Seul le numéro identifiant du badge permettra de lier la donnée biométrique au dossier de l’adhérent.
Par conséquent, la Commission considère, en l’espèce, que le stockage sur un badge individuel laissé sous le contrôle de l’individu est adéquat en ce qu’il contribue à prévenir tout risque de détournement des données biométriques des adhérents de l’Evae.
Elle souligne en outre que l’ensemble des mesures de sécurité prises par l’Evae est de nature à traiter, de manière satisfaisante, les risques présentés par le traitement.
Il en va ainsi par exemple de la mise en œuvre de profils d’habilitation pour un accès restreint à la base de données des usagers et des sauvegardes quotidiennes effectuées sur un support externe conservé dans un local fermé à clé.
La Commission prend acte qu’une journalisation concernant la traçabilité des accès et des opérations effectuées sur la base de données des usagers sera mise en place. 
Par ailleurs, concernant la durée de conservation des données, la Commission : 
prend acte que les données stockées sur le badge ne seront conservées sur support individuel que pour une durée limitée à l’utilisation du badge d’accès ; 
rappelle que la durée de conservation des données à caractère personnel inscrites en base dans le dossier de l’adhérent (nom, prénom, date et lieu de naissance, adresse, photo, coordonnées téléphoniques personnelles et professionnelles et courriel -collectés à titre facultatif, RIB) devront être archivées pendant la durée strictement nécessaire à la gestion de la relation commerciale ; 
précise, conformément à l’article L123-22 alinéa 2 du code de commerce, que les documents comptables et pièces justificatives pourront être conservés en archivage 10 ans.
Les droits d’accès, de rectification et d’opposition s’exerceront à l’accueil de l’EVAE ou par courrier 5 rue de Parague 67100 Strasbourg.
En conséquence, la Commission considère que la finalité d’une meilleure gestion des abonnements au moyen d’un contrôle d’accès par authentification biométrique est conforme à la loi du 6 janvier 1978 modifiée (et particulièrement ses articles 1er, 6, 7, 34, 39 et 40) compte tenu : 
qu’il est mis à disposition des personnes concernées à titre facultatif ; 
que le dispositif alternatif (vérification manuelle des droits de chaque adhérent au guichet d’accueil de l’espace de loisirs) sera proposé dans des conditions pratiques identiques à celles du dispositif biométrique, sans aucune procédure  contraignante ou dissuasive, ni aucun coût supplémentaire ;
que le consentement libre et éclairé des utilisateurs potentiels du dispositif biométrique sera recueilli par écrit ;
que chaque utilisateur sera informé de ses droits de manière préalable et spécifique (information écrite individuelle et intelligible) ; 
que le stockage des données sera exclusivement réalisé sur support individuel (badge) restant sous contrôle direct de l’individu, et non en base centralisée.
Dans ces conditions, la Commission autorise l’espace de loisirs Evae à mettre en œuvre un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique de contrôle d’accès par reconnaissance des empreintes digitales.
La Présidente 
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1652486)
La Commission nationale de l’informatique et des libertés,
Saisie par la société 15 Matignon Market d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique du contour de la main et ayant pour finalité le contrôle du temps de travail ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée;
Après avoir entendu M Emmanuel de GIVRY, commissaire, en son rapport, et  M. Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Afin de contrôler le temps de travail de ses salariés, la société 15 Matignon Market, spécialisée dans les services de restauration, a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’un traitement de données comportant un dispositif biométrique de reconnaissance du contour de la main. 
A titre liminaire, il convient de rappeler qu’à l’issue d’une concertation avec les principales organisations syndicales et patronales, la Commission a modifié le champ d’application de l’autorisation unique n°7 (AU-007) portant sur la mise en œuvre de traitements reposant sur la reconnaissance du contour de la main.
Par délibération du 20 septembre 2012 (n°2012-322), la finalité de contrôle des horaires a été exclue du champ de cette autorisation unique. L’AU-007 en vigueur vise uniquement les finalités de « contrôle d’accès à l'entrée et dans les locaux limitativement identifiés de l'organisme faisant l'objet d'une restriction de circulation ; le contrôle de l'accès au restaurant d'entreprise [… et] le contrôle d'accès des visiteurs » (article 1er). 
Le recours à un dispositif biométrique pour la gestion des horaires exige que le responsable de traitement effectue auprès de la CNIL une demande d’autorisation spécifique sur le fondement de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée.
Une telle demande d’autorisation doit s’inscrire dans le cadre de circonstances exceptionnelles qui seraient susceptibles de justifier le recours à un dispositif biométrique ayant pour finalité le contrôle des horaires des salariés.
La société 15 Matignon Market souhaite mettre en œuvre un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique du contour de la main et ayant pour finalité le contrôle du temps de travail. Elle justifie sa démarche de recourir à ce dispositif biométrique par l’existence de nombreuses rotations horaires entre les différents salariés du restaurant qui peuvent utiliser le badge d’un autre salarié. 
Selon la société, le dispositif biométrique présente le triple avantage de permettre de gérer les retards des employés et de connaître leur heure d’arrivée et de départ, de  constituer un moyen plus efficace de contrôler le temps de travail réellement effectué etd’éviter la fraude et le travail clandestin.
La Commission insiste sur le fait qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maitrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. En effet, à la différence de tout autre identifiant (code, mode de passe, autre), la donnée biométrique, qui est permanente et propre à chaque personne physique,  ne peut être modifiée. Ainsi, dans l’hypothèse d’un accès non autorisé à cette donnée, celle-ci est réputée compromise de manière définitive, c'est-à-dire ne permettant plus un contrôle fiable de l’identité des personnes concernées.
En l’état actuel de la technique, il apparaît que le contour de la main ne présente pas la caractéristique de pouvoir être capturée à l’insu des personnes concernées. Toutefois, la Commission rappelle qu’il demeure un risque sérieux d’accès non autorisé aux données ou de mauvais usage des données biométriques personnelles des utilisateurs. 
Concrètement, outre une possible faille de sécurité ou un détournement de finalité par le responsable de traitement ou un tiers, le contour de la main pourrait être utilisé pour usurper l’identité d’une personne, notamment pour frauder un dispositif reposant sur la reconnaissance du contour de la main.