(Demande d’autorisation n° 1760587)
La Commission nationale de l'informatique et des libertés,
Saisie par CTI Grand Est d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès aux locaux professionnels par reconnaissance combinée du réseau veineux des doigts de la main et de l’empreinte digitale ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, en son rapport, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
Responsable du traitement
Le Centre de Traitement Informatique Grand Est (CTI Grand Est) est un établissement privé exerçant une mission de service public sous tutelle de la Caisse Nationale de l’Assurance Maladie.
Sur la finalité et les caractéristiques techniques du traitement
Le dispositif biométrique bimodal, fondé sur la reconnaissance de l’empreinte digitale et du réseau veineux du doigt, est mis en place aux fins de contrôle d’accès physique à certaines « zones sensibles » du centre de données du CTI Grand Est.
Les données hébergées dans le centre alimentent une partie des services de production et de sauvegarde de l’Assurance Maladie et permettent d’assurer le secours informatique de l’institution.
Le contrôle d’accès fait partie des mesures de sécurité obligatoires en matière d’accès physique aux locaux, telles que prévues par la politique de sécurité des systèmes d’information de l’assurance maladie à laquelle est soumis CTI Grand Est en tant qu’hébergeur des données de l’Assurance Maladie.
Le dispositif biométrique bimodal complète les mesures de sécurité de contrôle d’accès par badge adoptées pour la sécurité du centre de données, par une authentification forte visant à limiter les probabilités de fraude et à permettre les interventions 24 heures sur 24.
Le dispositif fonctionne en authentification par comparaison du gabarit contenu dans le badge d’accès sans contact attribué à l’utilisateur avec l’empreinte lue sur le lecteur biométrique. Le lecteur permet de lire le réseau veineux d’un doigt d’une personne ainsi que l’empreinte digitale de ce même doigt de manière quasi simultanée. La reconnaissance biométrique utilisée est fondée sur la comparaison des informations d’empreinte digitale d’une part, et des informations de réseau veineux du doigt d’autre part. Ces deux informations sont regroupées dans un gabarit selon un format propriétaire.
Le recours à la biométrie multimodale améliore les performances globales des dispositifs biométriques en offrant plus de critères de contrôle, en renforçant ainsi le niveau d’identification et en compensant les faiblesses, avérées ou supposées, d’une biométrie par une autre.
Sur la base de l’étude des risques et en complément d’autres mesures de gestion des risques, la société a établi la stricte nécessité de recourir à un dispositif biométrique bimodal.
La Commission considère que la finalité ainsi définie est déterminée, explicite et légitime.
Sur les données traitées
Les données concernent les salariés, visiteurs et salariés des prestataires extérieurs de maintenance disposant d’une habilitation d’accès aux locaux protégés.
Il s’agit :
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
Des données d’identification : nom, prénom, photographies, nom du service, fonction, nom de l’employeur (si externe), code du badge des personnes concernées ;
De l’historique d’accès aux locaux : horodatage des accès et identifiant du lecteur ;
Des données biométriques de l’empreinte digitale et du réseau veineux de deux doigts.
Sur la durée de conservation des données
Les données d’identification et les données relatives à l’historique d’accès sont conservées dans un serveur central de CTI Grand Est, pour une durée de 3 ans au-delà de la période d’habilitation, conformément à l’obligation de conserver les traces d’accès au système imposée par la convention d’hébergement des données médicales Hippocrate.
Les données biométriques ne sont conservées que le temps de l’habilitation d’accès de la personne concernée, sur son badge individuel.
Sur les destinataires
Seul le personnel spécifiquement habilité de CTI Grand Est peut accéder aux données d’identification ainsi qu’à l’historique d’accès, ce qui n’appelle pas d’observation de la Commission.
Sur l’information et les droits d’accès
Le dispositif biométrique bimodal a fait l’objet d’une consultation du CHSCT et du Comité d’entreprise.
Les personnes concernées sont informées de manière individuelle, par un message d’information spécifique et détaillé  précisant les modalités d’exercice des droits d’accès, de rectification et d’opposition.
Les droits s’exercent auprès du correspondant Informatique et Libertés désigné par CTI Grand Est.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
Les données biométriques des personnes habilitées sont conservées directement sur le support individuel. Chaque lecteur biométrique est raccordé à un module de gestion de porte relié à la centrale de gestion des accès. Les unités de traitement locales permettent un fonctionnement autonome des lecteurs en authentification. Seul l’identifiant de l’utilisateur lors de son accès est communiqué au système central de gestion des accès.
En cas d’alerte, un agent de sécurité se déplace sur les lieux. Dans le cas d’un incident de sécurité, le contrôle d’accès sera renforcé par un agent de sécurité vérifiant de manière active les entrées et sorties par vidéosurveillance.
Le contrôle d’accès logique à l'application d’administration est effectué par mot de passe respectant les recommandations de la Commission.
Une traçabilité est présente par une journalisation des accès à l’application (consultation, création, mise à jour, suppression des données). A ce titre, les informations collectées sont un horodatage de connexion et de déconnexion ainsi que l’identifiant de l’utilisateur.
Les mesures de sécurité mises en place sont donc conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
En cas de défaillance du dispositif biométrique ou pour les personnes ne pouvant pas s’enrôler, une identification manuelle est effectuée par un agent de sécurité à chaque demande d’accès via un dispositif de vidéosurveillance couplé à l’identifiant du badge.
Autorise, conformément à la présente délibération, CTI Grand Est à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN