(Demande d’autorisation 1466075)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la délibération n°2007-296 du 4 octobre 2007 autorisant la mise en œuvre par le Groupe des Ecoles des Télécommunications (GET) d’un traitement automatisé de données à caractère personnel ayant pour finalité principale l’évaluation d’algorithmes de reconnaissance de diverses données biométriques ;
Vu la demande d’autorisation présentée par l’association BIOSECURE concernant la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité principale l’évaluation d’algorithmes de reconnaissance de diverses données biométriques ;
Après avoir entendu Mme Marie-Hélène MITJAVILE, commissaire en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par l’association BIOSECURE d’une demande d’autorisation relative à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité principale l’évaluation d’algorithmes de reconnaissance de diverses données biométriques.
Il y a lieu de faire application des dispositions prévues à l’article 25-I 8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Le 4 octobre 2007, la Commission nationale de l’informatique des libertés a autorisé la mise en œuvre d’un projet présenté par le Groupe des Ecoles des Télécommunications (GET) dénommé « BIOSECURE ». Ce projet s’appuyait sur un « réseau d'excellence européen » coordonné par l’Institut National des Télécommunications (INT), regroupant 30 partenaires internationaux et fédérant des équipes européennes impliquées dans la recherche en biométrie.
Le traitement présenté par l’association BIOSECURE consiste à mutualiser les bases de données biométriques qui ont été réalisées par ce réseau afin de pouvoir diffuser une seule base à l’ensemble des partenaires du réseau ainsi qu’à d’autres laboratoires de recherche qui en feraient la demande.
La Commission constate que  l'association ne distribuera qu’une base de 330 personnes qui correspond à 30 personnes pour chacun des 11 centres d'acquisition.
Le programme « BIOSECURE » a pour finalité principale, « la promotion et l’intégration de la recherche en biométrie pour des applications de sécurité au niveau européen ». C’est dans ce contexte que les différents partenaires ont constitué une base de données biométriques « multimodale » qui sera utilisée pour effectuer des mesures de performance de différents algorithmes de reconnaissance.
L’évaluation porte sur des algorithmes de reconnaissance :
du visage en deux dimensions ;
des empreintes digitales ;
de la forme de la main ;
de la signature manuscrite ;
de l’iris ;
du visage parlant (image et son).
Des algorithmes dits de « fusion multimodale », c’est à dire permettant la reconnaissance d’une personne à partir de l’analyse simultanée de plusieurs caractéristiques biométriques, sont également testés.
La mise en œuvre du dispositif repose sur la collecte de données effectuées auprès du personnel du laboratoire et des étudiants du GET ainsi que des partenaires. Seules les données des personnes volontaires sont traitées. La Commission prend acte que l’association BIOSECURE n’a pas accès aux données d’identification. Elle reçoit seulement les bases de données biométriques accompagnées d’un identifiant.
Le stockage des gabarits ou des données brutes est effectué sur un serveur situé dans un local à accès restreint (fermé à clé et à digicode), accessible uniquement dans la journée.
Une partie des données peut être distribuée à des chercheurs pour effectuer des traitements (algorithmes biométriques) après validation du responsable du projet.
La correspondance entre l’identité des personnes (nom, prénom et coordonnées) et le code identifiant figurant dans la base de données biométriques s’effectue grâce à un fichier distinct qui est sauvegardé sur un CD-ROM et conservé dans un coffre fort sous le contrôle de chaque personne responsable du projet au sein du réseau. Il en va de même pour les formulaires remplis par les participants à la campagne d’acquisition des données.
La Commission relève que les données collectées seront conservées pendant cinq années.
De même, elle prend acte que le formulaire utilisé pour la collecte des données est accompagné d’un formulaire de consentement que les personnes concernées doivent signer et dans le cadre duquel elles sont informées de la possible transmission d’une partie de leurs données à caractère personnel vers des laboratoires de recherche situés en dehors de l’Union européenne.
Compte tenu de ce qui précède, dans la mesure où seules les données biométriques des personnes volontaires seront traitées et ce dans le seul but d’évaluer des algorithmes de reconnaissance à des fins de recherche, les traitements soumis à la Commission et en particulier, le recours à la constitution de bases de données biométriques, ne comportent pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d’accès et de rectification s’exerceront auprès de l’association BIOSECURE, 46 RUE BARRAULT, 75634 PARIS CEDEX 13.
Les catégories de données à caractère personnel enregistrées sont :
les données biométriques des participants : image du visage, visage parlant audio/vidéo, signature manuscrite, image de l’iris, image d’empreintes digitales, image de la main) associées à un numéro identifiant ;
leur vie personnelle : indication droitier ou gaucher, travailleur manuel ou non, support visuel (lentilles ou verres de contact), et niveau d’anglais (bas/moyen/bilingue).
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels des laboratoires et services de recherche des membres de l’Association.
De même pourront être destinataires des informations, à l’exclusion des données d’identification, les organismes publics ou privés bénéficiant d’une licence d’exploitation de la base sous réserve que :
les traitements soient mis en œuvre pour leurs besoins propres de recherche interne et dans le seul but de tester des systèmes de reconnaissance automatiques, à l’exclusion de toute exploitation industrielle ou commerciale de la base ;
la confidentialité des données soit garantie dans les mêmes conditions que pour les membres de l’association.
La Commission rappelle que lorsque les destinataires sont situées dans des pays n’assurant pas un niveau de protection suffisant des données, le transfert de données doit préalablement être autorisé par la Commission nationale de l’informatique et des libertés.
Dans ces conditions, la Commission autorise l’association BIOSECURE à mettre en œuvre le traitement de données à caractère personnel présenté.