La Commission nationale de l'informatique et des libertés,
Saisie par la Banque Postale d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre à titre expérimentale d'un système d'authentification des titulaires de carte de paiement par biométrie ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Banque Postale a saisi la Commission nationale de l'informatique et des libertés d'une demande d'autorisation relative aux traitements automatisés nécessaires à l'expérimentation d'un service dénommé  Talk To Pay  (ci-après T2P) basé sur un moyen d'authentification par biométrie vocale.
T2P est un mécanisme qui vise à renforcer la sécurité des transactions en ligne grâce à l'authentification biométrique du titulaire de la carte couplée à un appel sortant sur son téléphone. A terme, T2P vise à remplacer l'utilisation du cryptogramme visuel apposé sur la carte et le système 3D-Secure.T2P peut être utilisé auprès de tous les cybercommerçants.
La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour assurer le contrôle de l'identité des personnes. Il relève, à ce titre, du 8° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par la CNIL.
Sur la finalité du traitement :
La Banque Postale en partenariat avec PW Consultants, Telecom SudParis, et une chercheuse reconnue en matière de biométrie souhaite mener une expérimentation basée sur la reconnaissance vocale afin de permettre aux clients de s'authentifier lors de leurs paiements à distance.
Les personnes concernées par l'expérimentation, entre 500 et 1000, sont les collaborateurs de la Banque Postale et les clients membres de la  BanqueLab .
Une campagne de recrutement de participants est prévue via l'envoi de mails d'invitation et une communication interne à la Banque Postale renvoyant vers un formulaire d'inscription.
La participation est basée sur le volontariat.
Les différentes étapes du processus de souscription des participants au service T2P sont les suivantes :
- Chaque participant télécharge le formulaire sur le lien d'inscription et est invité à renseigner son nom, prénom, adresse électronique. Le formulaire est signé et envoyé au centre financier de la Banque Postale de Dijon.
- Un identifiant et un mot de passe individuels sont adressés par courriel.
- Dans un second temps, une carte bancaire, dédiée à l'expérimentation, est envoyée par courrier postal à chaque participant. Le système 3D-Secure est désactivé pour ces cartes. L'apposition du cryptogramme visuel est maintenue mais ce dernier est inopérant.
- L'utilisateur s'inscrit à travers une interface personnelle et sécurisée sur un site Internet dédié au pilote en utilisant son identifiant et son mot de passe reçus par courriel. Il renseigne les coordonnées de la carte bancaire T2P, son numéro de portable et installe l'application T2P sur son ordinateur ou son mobile.
- Suite au renseignement de son numéro de téléphone portable, le participant est rappelé par le service pour procéder à son enrôlement sur son propre téléphone. L'enrôlement consiste à répéter des consignes audio à de multiples reprises pour générer son gabarit vocal.
- Pour l'usage du dispositif, l'utilisateur a la possibilité soit de se connecter à son interface personnelle sécurisée, soit de télécharger un module additionnel au navigateur Internet qui servira d'interface automatique au service (plugin T2P).
Lorsque le participant souhaite payer en ligne en utilisant le système  Talk To Pay , il procède ainsi:
- Il se connecte sur le site du commerçant en ligne de son choix, remplit son panier et choisit son mode de paiement (carte bancaire).
- Il renseigne le numéro et la date d'expiration de la carte de paiement dédiée au pilote (la Banque Postale envisage une fonctionnalité de remplissage automatique de ces données).
- Puis il active le plug-in T2P (préalablement téléchargé lors de l'inscription au service) qui déclenche un appel automatique sur son téléphone. En l'absence de ce plug-in T2P, optionnel, le participant doit se connecter à son interface personnelle sécurisée afin de manuellement déclencher le service.
- Il s'authentifie avec sa voix en répétant une phrase qui lui est imposée.
- Après la validation de l'authentification, le système  Talk To Pay  génère un code temporaire et à usage unique qui s'apparente au cryptogramme visuel à 3 chiffres. Ce code est, soit automatiquement intégré au formulaire de paiement via un logiciel spécifique, soit transmis sur l'interface personnelle sécurisée puis recopié par l'utilisateur. Il peut ainsi confirmer le paiement.
Au stade de l'expérimentation, les commerçants ne sont pas associés au service T2P, aucun développement spécifique n'est nécessaire.
Sur la nature des données traitées :
Les données collectées auprès des participants sont les suivantes :
- Nom, prénom, civilité,
- Numéro de téléphone,
- Adresse postale,
- Adresse électronique,
- Type, numéro, date d'expiration et cryptogramme de la carte de paiement
- Identifiants de connexion,
- Données biométriques : voix, empreinte vocale (1 gabarit).
Dans le cadre de l'expérimentation envisagée, la Commission considère que la collecte de ces données est proportionnée à la finalité poursuivie.
Sur la durée de conservation des données :
Les données à caractère personnel sont conservées jusqu'à la fin de l'expérimentation. Il a été convenu avec le responsable de traitement que cette durée ne pouvait excéder 13 mois à compter de l'adoption de la présente délibération.
Sur les destinataires des données :
Pour expérimenter sa solution, la Banque Postale fait appel à un prestataire : la société PW Consultants spécialisée dans l'ingénierie des moyens de paiement et l'amélioration des processus de gestion de risques.
Seuls auront accès aux données le personnel habilité du service back office de la Banque Postale, à savoir 3 collaborateurs du Centre National Monétique(CNM), 2 collaborateurs de la direction opérationnelle (DO) et 2 collaborateurs de la direction des activités de la banque de détail (DABD).
PW Consultants aura a accès aux fichiers audio des participants à l'expérimentation afin d'optimiser la solution de biométrie vocale. Seules 3 personnes sont destinataires de ces informations.
La Commission observe que les destinataires sont en nombre limité.
Sur l'information des personnes :
Les personnes sont informées de la finalité poursuivie et des modalités de mise en œuvre de l'expérimentation lors de l'envoi des mails d'invitation et par l'apposition d'une mention d'information sur le formulaire d'inscription.
Enfin, la Commission, après avoir rappelé qu'il ne saurait être question pour elle de valider un nouveau mode de transaction bancaire, estime que le formulaire signé par les clients participant à l'expérimentation devra prévoir que le recours au dispositif d'authentification biométrique par reconnaissance vocale du payeur n'entraîne aucune modification des règles de preuve en vigueur et de contestation en matière de paiement en ligne.
Sur les droits d'accès, de rectification et d'opposition des personnes :
La Commission prend acte que les personnes ayant accepté de participer à l'expérimentation ne seront jamais obligées d'utiliser le service d'authentification biométrique T2P.
Ainsi, les participants pourront à tout moment choisir d'utiliser leurs cartes de paiement  classiques  et demander l'effacement de leurs données biométriques en contactant le support  Talk To Pay . Le service back office de la Banque Postale procède alors à la suppression de toutes les données les concernant.
Sur la sécurité des données et la traçabilité des actions :
Le dispositif biométrique est constitué d'un logiciel spécifique  Talk To Pay  (solution PW Biometrics) et du téléphone ou smartphone du participant.
Le système informatique est composé de serveurs au sein de l'organisme conservant les données à caractère personnel dont les données biométriques en base centrale.
Les réseaux utilisés sont internes à l'organisme et sont isolés des autres traitements. Leur protection est assurée par un système anti-intrusion.
La transmission des données sur Internet est effectuée de manière sécurisée en utilisant le protocole  https .
Concernant le développement de l'application, les personnels sont distincts de ceux assurant la gestion et l'exploitation de l'application. La mise au point est effectuée sur des données anonymisées.
Des sauvegardes quotidiennes sont réalisées. Les sauvegardes sont stockées dans des centres de production ignifugés de manière à garantir leur sécurité et leur disponibilité.
Une journalisation des opérations de consultation, création et modification du traitement est réalisée.
Les interventions de maintenance font l'objet d'une traçabilité.
Le matériel remisé est nettoyé de toute donnée à caractère personnel selon une procédure bancaire normalisée.
L'accès aux locaux est restreint par des mesures de sécurité assurant un contrôle interne et externe par caméras et un contrôle des accès par badge.
La solution ne propose pas de dispositif d'anti-rejeu. Il n'est alors pas possible de détecter si une phrase prononcée durant une authentification est issue de l'enregistrement d'une précédente authentification.
L'expérimentation à venir doit permettre de mesurer l'attrait du public concerné avant d'initier des développements plus complexes.
L'ensemble des mesures précitées est donc nature à sécuriser de manière satisfaisante le recours à des moyens de paiement avec authentification biométrique des porteurs.
La Commission demande qu'au terme de l'expérimentation, lui soit adressé un bilan des modalités de fonctionnement et d'utilisation du dispositif. Le bilan devra notamment comporter les éléments suivants :
- une description des conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté (taux de participation, temps moyen d'authentification, nombre de transactions aboutis/non-aboutis, moyenne des transactions, éventuels dysfonctionnements, causes des dysfonctionnements, taux de fausses acceptations, taux de faux rejets) ;
- perception utilisateur (phase de l'enrôlement sur le téléphone, ergonomie du service, acceptabilité de la biométrie vocale, taux d'utilisation et de non utilisation ;
- une présentation des enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ;
- suites envisagées par le responsable de traitement sur la base du bilan effectué : axe d'amélioration, abandon du projet, demande de nouvelle expérimentation, demande d'autorisation de mise en œuvre à titre permanent ;
Dans ces conditions, la Commission autorise la Banque Postale à mettre en œuvre, à titre expérimental, selon les modalités décrites ci-dessus, et pour une durée maximale de 13 mois, les traitements automatisés relatifs à l'utilisation du système d'authentification biométrique pour les paiements en ligne.
Cette autorisation ne saurait préjuger d'une éventuelle décision de la Commission saisie d'une demande de généralisation du service  Talk To Pay .
La Présidente
Isabelle FALQUE-PIERROTIN