(Demande d’autorisation n° 1909336)
La Commission nationale de l'informatique et des libertés,
Saisie par la Société THALES SERVICES d’une demande d’autorisation portant sur un traitement automatisé de données à caractère personnel portant sur un projet de recherche dont la finalité est le développement et l’amélioration des algorithmes d’un système de surveillance par reconnaissance faciale et comportementale ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société THALES SERVICES coordonne un projet collaboratif de recherche nommé Virtualis (système global de sécurité physique et logique pour les infrastructures critiques) initié à la suite de l'appel à projet FUI15 (fonds unique interministériel) financé par la BPI France. Le projet s’appuie sur un consortium composé de THALES RESEARCH & TECHNOLOGY, THALES COMMUNICATION & SECURITY, l’Université de Lille 2, le CNRS, le Commissariat à l’énergie atomique et aux énergies alternatives (CEA), l’AFNOR, la RATP, SISPIA, EGIDIUM et l’Université de Technologie de Troyes.
Le projet Virtualis vise à améliorer la sécurité des infrastructures critiques (bâtiments publics, sites industriels), par la création d’un système de gestion intégrale de la sécurité physique et logique des bâtiments. Plus précisément, l’objectif est d’optimiser les techniques d’analyses de risque en exploitant les flux de données issus des capteurs positionnés dans les bâtiments sur une zone délimitée et en environnement réel.
Ce projet s’inscrit dans le cadre des activités de Thales Services, société spécialisée dans les activités de conception, développement et maintenance de systèmes informatiques sécurisés, particulièrement présente sur les problématiques de sécurité des infrastructures critiques.
Sur la finalité
La finalité du traitement est de développer et d'expérimenter à des fins de recherche un prototype de système de sécurité, passant par l’acquisition de données personnelles, dont des données biométriques d’un nombre limité de volontaires, captées en environnement réel.
Il s’agit de tester la fiabilité des capteurs et de logiciels de reconnaissance notamment biométrique, en centralisant l’analyse de ces données sur une plateforme aux fins d’optimisation de la gestion des risques. Les tests seront effectués dans une aile des bâtiments occupés par THALES SERVICES dédiée à l’expérimentation.
Le projet implique de traiter les données biométriques des participants volontaires, d’une part, pour renforcer l’authentification des personnes par badge lors du contrôle d’accès à une salle sécurisée et, d’autre part, pour corréler les pistes d’une caméra à une autre dans un réseau de caméras , afin de ré-identifier les individus sur un parcours donné, notamment par une reconnaissance faciale « à la volée ».
Le suivi des personnes est permis par l’installation d’une dizaine de caméras positionnées dans l’aile du bâtiment dont les flux seront analysés aux fins de ré-identification des personnes filmées, en temps réel.
THALES SERVICES traite les images de manière à associer différentes trajectoires fournies par le système de suivi, en créant et en exploitant la signature visuelle des personnes (représentation de la personne extraite de l’image brute). La création et la reconnaissance de la signature visuelle d’une personne ne nécessite pas l’enrôlement de cette dernière, les données de représentation permettant de générer la signature étant acquises lors du passage des volontaires dans le champ  des caméras. La signature visuelle est produite grâce à un algorithme confidentiel.
Le stockage et la comparaison entre différents flux d’images issues des caméras s’effectuent sur des serveurs dans un réseau local.
Par ailleurs, THALES recourt à la reconnaissance faciale dans deux cas. En premier lieu, un traitement de reconnaissance faciale s’ajoute à la reconnaissance de la signature visuelle afin d’améliorer le dispositif de suivi des trajectoires des volontaires passant dans le champ des caméras. Aucun enrôlement des personnes volontaires n’est prévu dans ce cadre. La capture de l’image de référence et la construction du gabarit sont effectuées à la volée, lors du passage des personnes dans le champ des caméras.
En deuxième lieu, la reconnaissance faciale vient renforcer le contrôle d’accès par badge à une zone déterminée. Dans ce cas, les personnes volontaires devront se présenter devant une caméra afin d’enrôler leur visage.
Le contrôle d’accès par badge peut également être conjugué à une reconnaissance de l’iris des volontaires. L’enrôlement des personnes est dans ce cas effectué grâce à un capteur dédié, permettant de générer le gabarit comparé lors du contrôle d’accès.
A titre d’exemple, ces différents dispositifs peuvent être combinés de la manière suivante : un volontaire entre dans la zone dédiée à l’expérimentation, présente un badge délivré pour les besoins et pour la durée du projet de recherche, puis circule dans les couloirs. Son parcours pourra être suivi au moyen de la ré-identification présentée plus haut, effectuée via la reconnaissance du visage et de la signature visuelle. Ces parcours sont analysés afin d’identifier les trajets peu fréquents et ceux récurrents. Par ailleurs, le volontaire se présente à l’entrée d’un local sécurisé par badge et reconnaissance biométrique : il badge et s’authentifie en présentant son iris ou son visage devant le capteur dédié.
Chacune de ces opérations est tracée par la seule collecte de l’identifiant rattaché au gabarit ou à la signature visuelle captée. Elle ne donne pas lieu à la conservation des données brutes ou des gabarits associés aux opérations de suivi.
Au regard de l’objectif du traitement et de son caractère expérimental, la Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur les données traitées
Les données traitées concernent les personnes participant au projet de recherche sur la base du volontariat. Il s’agit, d’une part, des membres du personnel de la société THALES SERVICES et, d’autre part, de salariés de membres du consortium agissant également sur la base du volontariat.
Les catégories de données concernées sont :
Le lien entre l’identité des personnes et le code identifiant figurant dans la base de données est contenu dans un fichier distinct conservé dans une zone d’accès restreint.
les gabarits de l’iris et du visage associés à un pseudonyme ;
la position des personnes dans l’image du flux vidéo, se présentant sous forme de boite englobante ;
la signature visuelle de la personne suivie, dans un format conçu par le CEA et chiffrée : elle n’est donc pas interprétable par un tiers ;
l’âge de la personne.
Dans ces conditions, la Commission considère que la collecte des données est proportionnée à la finalité du traitement.
Sur la durée de conservation
Les données seront conservées pendant la durée du projet Virtualis dont le terme est prévu le 31 mars 2018, afin de pouvoir recalculer les associations et ainsi améliorer les algorithmes.
Sur les destinataires
THALES SERVICES transmet :
Les destinataires des informations signent un engagement de confidentialité précisant leurs obligations respectives, notamment en termes de limitation de l’utilisation des données au seul cadre du projet Virtualis, et de sécurisation logique et physique des données transmises.
les flux vidéo au CEA, à l’Université de Troyes et à EGIDIUM ;
les informations de signature visuelle au CEA ;
Les données leur sont transmises par voie matérielle, à savoir la remise d’un disque dur externe chiffré.
Les destinataires s’engagent à détruire les données précitées au terme du projet Virtualis.
Sur l’information et le droit d’accès
Le consentement des personnes concernées par  l’expérimentation est recueilli préalablement à leur participation au projet. Un formulaire spécifique leur est délivré à cet effet.
Ce formulaire à signer comprend notamment une explication sur la nature du projet de recherche, la durée de conservation des données, les destinataires des données et les modalités d’exercice des droits, y compris la possibilité de demander la suppression des données à tout moment auprès de THALES SERVICES.
Les personnes ayant accepté de participer à l’expérimentation pourront à tout moment, et sans motif, mettre fin à leur participation.
Une information complète sur l’expérimentation, la zone concernée et la manière d’exercer les droits garantis par la loi sera affichée aux entrées de la zone dédiée.
Afin d’éviter d’acquérir les données de personnes dont le consentement n’aura pas été recueilli, un chemin annexe non concerné par l’expérimentation sera affiché aux entrées de manière à permettre aux salariés et aux visiteurs d’éviter de voir leur image captée et exploitée dans le cadre du projet de recherche.
Les formulaires signés sont conservés aux fins de preuve jusqu’au terme du projet de recherche.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Le terminal de lecture-comparaison biométrique est équipé d’un dispositif anti-arrachement. Les flux vidéo sont traités par un logiciel interne Thales, hébergé sur un ordinateur muni d’un dispositif anti-arrachement, situé dans une salle à accès restreint et connecté à un réseau local dédié au projet Virtualis.
La Commission prend acte que l’accès aux systèmes sera restreint par un identifiant et un mot de passe fournis aux salariés des destinataires des données, membres du consortium constitué pour réaliser le projet Virtualis, et que les habilitations seront fournies par le responsable du projet Virtualis.
Le lien entre l’identité des personnes et le code identifiant figurant dans la base de données biométriques est contenu dans un fichier distinct, sauvegardé sur une clé USB chiffrée et conservée dans une zone d’accès restreint auquel n’a accès que le seul responsable du traitement.
Les gabarits ne sont pas liés aux noms des personnes mais à des pseudonymes générés aléatoirement. Il n’y a pas de lien avec les formulaires de consentement.
Toutes les données sensibles sont chiffrées par un algorithme AES 128 bits. Un programme dédié, sur un serveur séparé muni d’une sécurité différente de la base de données, assure le chiffrement/déchiffrement des données stockées, la comparaison des gabarits en mémoire locale et leur effacement une fois les comparaisons effectuées.
Les mots de passe contiennent au moins 8 caractères contenant une majuscule, un chiffre et un symbole, ils sont à modifier lors de la première connexion et sont valables 3 mois.
Toutefois, la Commission recommande que les mots de passe soient composés de 12 caractères minimum, comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux.
En outre, la Commission demande que les mots de passe et clés de chiffrement pour les systèmes manipulant les données biométriques (ordinateur, base de données, programme de comparaison, clé USB, disque dur externe) soient communiqués, et le cas échéant stockés, de manière sécurisée et que toutes les personnes amenées à en être destinataires aient préalablement signé un engagement de confidentialité spécifique.
Sous ces réserves, la Commission estime que les mesures de sécurité mises en place sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Le projet prendra fin le 31 mars 2018
L’hébergement de la base de données contenant les flux vidéo est assumé par Thales Services, par le CEA, par l’Université de Technologie de Troyes et par Egidium.
L’hébergement des signatures visuelles est assuré par Thalès Services et par le CEA
La Commission demande qu’un bilan d’évaluation de l’expérimentation lui soit présenté dans les trois à six mois après la fin du projet.
La Commission rappelle que la présente autorisation ne préjuge en aucune manière de l’éventuelle délivrance d’une autorisation pérenne.
Autorise, conformément à la présente délibération, la société THALES SERVICES à mettre en œuvre le traitement susmentionné.
Pour La Présidente
Le Vice-Président Délégué
Marie-France MAZARS