(Demande d’autorisation n° 1762642)
La Commission nationale de l'informatique et des libertés,
Saisie par la société BNP Paribas d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un système d’authentification par reconnaissance vocale;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société BNP Paribas a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative aux traitements automatisés nécessaires à l’expérimentation d’un service basé sur un moyen d'authentification par reconnaissance vocale.
La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour assurer le contrôle de l’identité des personnes. Il relève, à ce titre, du 8° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit  être autorisé par la CNIL.
Sur la finalité
La société BNP Paribas souhaite mettre en œuvre l’expérimentation d’une solution d’authentification vocale, notamment afin de tester la fiabilité et l’acceptabilité de ce nouvel outil, dans l’objectif de sécuriser davantage les transactions réalisées à distance par ses clients et de réduire ainsi les tentatives de fraude.
Il s’agit d’analyser les performances de l’outil en termes de faisabilité, de qualité de la reconnaissance vocale par la mesure des faux positifs et faux négatifs, de fiabilité et enfin de facilité d’utilisation.
Les tests annoncés concernent :
L’expérimentation sera réalisée pendant une durée de 1 année, comprenant 6 mois de test et 6 mois supplémentaires pour analyse des données.
la gestion des inscriptions et du déroulement de l’expérimentation
l’enregistrement des gabarits des voix
l’étude d’impact et le calcul de retour sur investissement en vue d’un déploiement futur.
Au stade de l’expérimentation, seuls les collaborateurs volontaires de la société BNP Paribas (environ 300 personnes) sont concernés par les traitements de données biométriques et aucun cas d’usage n’est mis en œuvre.
Dans l’hypothèse d’un bilan d’expérimentation probant, et sous réserve d’une nouvelle autorisation de la CNIL en ce sens, ce dispositif n’aurait pas vocation à remplacer les mécanismes d’authentification existants mais à les renforcer pour permettre aux clients de réaliser à distance, des opérations nécessitant un niveau d’authentification fort.
Suite à l’expérimentation, une étude générale interne  permettra d’évaluer  l’intérêt de la mise en place d’un outil d’authentification vocale et les éventuels cas d’usage dont il pourrait faire l’objet  ainsi que l’impact de la mise en œuvre de l’outil sur les systèmes informatiques et  l’organisation de la BNP Paribas.
La Commission considère que ces finalités sont déterminées, explicites et légitimes.
Sur les données traitées
Les données collectées auprès des participants sont les suivantes :
Ces données sont collectées directement auprès de la personne concernée. Les données sont conservées pendant la durée de l’expérimentation, 1an maximum, soit 6 mois après la fin de l’expérimentation afin de pouvoir exploiter les données collectées.
Identité : nom, prénoms, identifiants internes, numéro de téléphone personnel ;
Vie professionnelle : entité de rattachement, fonction, courriel professionnel, numéros de téléphone professionnels ;
Données de connexion : identifiants uniques du serveur vocal interactif, identifiants d’horlogerie ;
Biométrie : gabarit vocal de chaque utilisateur (ne permettant pas de reconstituer l’échantillon vocal initial).
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs
Sur les destinataires
Les destinataires des données sont le personnel habilité des prestataires ATOS Worldline et Agnitio, ainsi que le personnel du déclarant dûment habilité (personnel du service en charge de la mise en œuvre du projet). Cela n’appelle aucune observation de la Commission.
Sur l’information et le droit d’accès
Les personnes seront informées de la finalité poursuivie et des modalités de mise en œuvre de l’expérimentation par un formulaire d’information renforcée. Ce formulaire donnera lieu à la signature des salariés volontaires.
La Commission prend acte que les personnes ayant accepté de participer à l’expérimentation ont expressément été informées, d’une part, de l’ensemble des modalités de mise en œuvre de celle-ci, et, d’autre part, des conditions d’exercice de leurs droits (notamment au regard des articles 39 et 40 de la loi du 6 janvier 1978 modifiée).
L’ensemble de ces éléments n’appelle donc aucune observation de la Commission.
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
Le système de reconnaissance vocale utilisé pour cette expérimentation est fourni par la société AGNITIO.
La Commission relève que l'enregistrement de la phrase d'enrôlement n'est pas stocké.
Elle note également la mise en œuvre d'un dispositif "anti-fraude" permettant d'éviter qu'un enregistrement de la voix de l'utilisateur puisse permettre l'authentification d'un tiers.
La mise en œuvre de la solution dans un environnement dédié au périmètre de l'expérimentation, dissocié des solutions utilisées par les clients de la banque et sans lien avec les environnements de production permettant de réaliser une opération bancaire, permettra d'éviter tout dysfonctionnement de l'environnement existant.
La Commission rappelle que les gabarits biométriques étant des données identifiantes, celles-ci devront faire l'objet d'un chiffrement ou de tout moyen permettant d'assurer leur confidentialité.
La Commission rappelle enfin qu'une procédure de suppression des gabarits devra être prévue pour assurer la confidentialité de ces informations au terme de l'expérimentation.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission demande qu'au terme de l’expérimentation, lui soit adressé un bilan des modalités de fonctionnement et d’utilisation du dispositif. Le bilan devra notamment comporter les éléments suivants :
La Commission rappelle que la présente autorisation ne présuppose en aucune manière la délivrance d’une autorisation pérenne ; elle se prononcera, le cas échéant, sur la généralisation de ce dispositif en fonction des résultats du bilan précité.
une description des conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté (taux de participation, temps moyen d’authentification, éventuels dysfonctionnements, causes des dysfonctionnements, taux de fausses acceptations, taux de faux rejets) ;
une présentation de la perception des utilisateurs (en phase d’enrôlement, ergonomie du service, acceptabilité de la biométrie vocale, taux d’utilisation et de non utilisation) ;
une présentation des enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ;
suites envisagées par le responsable de traitement sur la base du bilan effectué (axe d’amélioration, abandon du projet, demande de nouvelle expérimentation, demande d’autorisation de mise en œuvre à titre permanent).
Dans ces conditions, la Commission autorise la société BNP Paribas à mettre en œuvre, à titre expérimental, selon les modalités décrites ci-dessus, et pour une durée de 1 an, les traitements automatisés relatifs à l’utilisation du système d’authentification par reconnaissance vocale.
La Présidente
Isabelle FALQUE-PIERROTIN