(Demande d’autorisation n° 1546532)
La Commission nationale de l’informatique et des libertés,
Saisie par le GIE EURECOM d’une demande d’autorisation concernant un traitement de données à caractère personnel ayant pour finalité l’évaluation des performances d’un capteur de type Microsoft Kinect © pour la reconnaissance du visage ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le GIE EURECOM
Sur la finalité
Le GIE EURECOM est une école d’ingénieurs et un centre de recherche en systèmes de communication, organisé en groupement d’intérêt économique (GIE) qui associe partenaires
académiques et industriels internationaux.
Le projet a pour objectif de créer une base de données de visages à partir du capteur Microsoft Kinect© qui est une caméra permettant de contrôler les jeux vidéo d’une console sans utiliser de manette. Cette caméra permet d’interagir par reconnaissance de mouvement et d’image.
Le capteur Kinect© sera évalué avec différents systèmes d’authentification biométrique liés à l’information du visage dans des milieux semi-contraints, et plus précisément sur :
Pour cela, des séquences vidéo des personnes enrôlées seront enregistrées afin de constituer des gabarits.
des systèmes d’identification par le visage 2D et 3D ;
des systèmes de détection des yeux dans les images 2D;
des systèmes de reconstruction 3D du visage ;
des systèmes multimodaux.
Il y a lieu de faire application des dispositions prévues à l’article 25-I 8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
La Commission constate que la finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données traitées sont relatives :
Les données collectées sont adéquates, pertinentes et non excessives au regard de la finalité.
au visage 2D et 3D
aux noms, prénoms ;  adresse ; téléphone ; adresse électronique ; âge et sexe
à un identifiant unique (attribué à chaque personne)
Sur les destinataires
Les organismes publics ou privés bénéficiant d’une licence d’exploitation de la base sous réserve que :
La Commission prend acte que les laboratoires de recherche souhaitant recevoir la base de données s’engageront, au préalable et par écrit, à ne pas divulguer les données, à n’utiliser les données qu’à des fins de recherche, et à ne publier que les résultats obtenus à partir de ces données, ne permettant pas d’identifier directement ou indirectement les personnes, sauf accord express.
les traitements soient mis en œuvre pour leurs besoins propres de recherche interne, à l’exclusion de toute exploitation industrielle ou commerciale de la base ;
la confidentialité des données soit garantie dans les mêmes conditions qu’au sein du GIE EURECOM.
La Commission rappelle que lorsque les destinataires sont situées dans des pays n’assurant pas un niveau de protection suffisant des données, le transfert de données doit faire l’objet d’un encadrement contractuel soumis pour autorisation préalable à la Commission nationale de l’informatique et des libertés, conformément aux dispositions de l’article 69 de la loi du 6 janvier 1978 susvisée.
Sur l’information et le droit d’accès
L’information des personnes est réalisée à l’aide d’un formulaire de recueil de consentement qu’elles doivent signer.
Dans l’hypothèse où des données biométriques seraient utilisées pour illustrer les résultats des travaux de recherche, les personnes en seront informées et leur accord sera spécifiquement demandé.
Les droits d’accès et de rectification s’exerceront auprès du service juridique du GIE EURECOM, 2229 route des crêtes, 06560 VALBONNE.
Sur les mesures de sécurité
La Commission constate que les données d’identification (nom, prénoms, et coordonnées) sont disjointes de la base de données biométriques constituée, et ne seront jamais communiquées. Elles seront conservées sous format papier et rangées dans un coffre-fort localisé dans un bureau sécurisé dont l’accès est réservé aux personnes habilitées.
Seront stockées dans les mêmes conditions les données d’identification que sont l’âge et le sexe des personnes accompagnées de l’identifiant unique. Ces données (âge et sexe) pourront être communiquées sur demande aux organismes partenaires, si elles sont considérées comme nécessaires pour le projet de recherche.
En cas de communication aux organismes partenaires, toutes les données seront transmises sur un Cd-rom chiffré, la clé de déchiffrement étant transmise séparément.
Sur les autres caractéristiques du traitement
Les utilisateurs de la base de données s’engagent à ne pas utiliser le traitement à des fins commerciales ainsi qu’à détruire la base en leur possession à l’issue de trois ans, sauf autorisation de la Commission nationale de l’informatique et des libertés permettant de prolonger cette période.
Autorise, conformément à la présente délibération, le GIE EURECOM à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN