(Demande d’autorisation n° 1251216 v2)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Eutelsat d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès aux locaux professionnels par reconnaissance combinée du réseau veineux des doigts de la main et de l’empreinte digitale ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Responsable du traitement
La société Eutelsat est une société de télécommunications gérant des infrastructures critiques notamment dans le cadre de son activité de contrôle de satellites. Afin de répondre à différentes contraintes règlementaires, et se conformer à la norme ISO/IEC 27001 imposant une authentification forte pour l’accès aux zones sensibles, Eutelsat souhaite élever le niveau de sécurité lors du contrôle d’accès, d’une part, physique au zones sensibles de la direction de l’exploitation et, d’autre part logique aux postes de travail du centre de contrôle des satellites.
Le contrôle d’accès logique aux postes du centre a déjà fait l’objet de deux décisions de la CNIL (délibérations n° 2008-050 et n° 2010-464) dans un premier temps pour autoriser la mise en place d’un contrôle d’accès par reconnaissance des empreintes digitales, dont le gabarit était stocké sur chaque poste puis, dans un second temps, pour autoriser la modification de ce premier dispositif en intégrant de nouvelles modalités de stockage du gabarit sur un serveur central relié à l’ensemble des postes informatiques concernés.
Sur la finalité et les caractéristiques du traitement
Eutelsat souhaite renforcer le niveau de sécurité, d’une part, des accès logiques aux postes informatiques du centre de contrôle des satellites et, d’autre part, des accès physiques aux zones sensibles de la direction de l’exploitation par la mise en place, dans les deux situations, de dispositifs biométriques bimodaux, fondés sur la reconnaissance de l’empreinte digitale et du réseau veineux d’un doigt de la main.
Eutelsat veut compléter le système de contrôle des accès par badge, par un contrôle d’accès par reconnaissance de l’empreinte digitale combinée au réseau veineux de la main.
La mise en place de ces dispositifs permet de lutter contre le risque d’usurpation d’identité lors de l’accès aux terminaux permettant de réaliser des opérations de contrôle d’une flotte de satellite et aux zones sensibles des locaux hébergeant l’activité d’un opérateur d’importance vitale.
Par ailleurs, la modification du dispositif de contrôle d’accès aux postes informatiques du centre de contrôle des satellites, recourant initialement à la reconnaissance des seules empreintes digitales est motivée par la volonté de fiabiliser le système et de limiter les risques de faux positifs (reconnaissance par les systèmes d’une personne comme étant habilitée, alors qu’elle ne l’est pas) et de faux négatifs (non-reconnaissance par le système d’une personne habilitée).
Le dispositif bimodal apporte un niveau de sécurité additionnel au contrôle d’accès par rapport, d’une part, au moyen de la seule empreinte digitale, et d’autre part, à la simple présentation d’un badge individuel. Il répond à la nécessité de garantir la fluidité des accès, y compris dans les situations d’urgence, qui serait impossible en présence d’une barrière d’accès avec un contrôle humain.
Le dispositif est composé de plusieurs lecteurs répartis sur les différents points d’accès des zones à protéger, et de lecteurs directement intégrés dans les postes informatiques  du centre  de contrôle des satellites. Ces lecteurs permettent de lire le réseau veineux d’un doigt d’une personne ainsi que l’empreinte digitale du même doigt de manière simultanée. La reconnaissance biométrique utilisée est fondée sur la comparaison d’informations issues à la fois de l’empreinte digitale et du réseau veineux de l’individu.
Ces informations sont fusionnées au sein d’un unique gabarit chiffré stocké, avec les identifiants uniques de l’utilisateur, sur un serveur distinct dans un réseau dédié et cloisonné.
L’enrôlement est effectué par un administrateur formé et habilité directement sur le dispositif biométrique. Lors de l’enrôlement, le dispositif génère un gabarit et lui associe un identifiant unique, lesquels sont stockées sur le serveur distinct.
Le recours à la biométrie multimodale améliore les performances globales des dispositifs biométriques en offrant plus de critères de contrôle, en renforçant ainsi le niveau d’authentification et en compensant les faiblesses, avérées ou supposées, d’une biométrie par une autre.
De plus, le choix d’une technique moderne de biométrie bimodale par fusion permet de réduire les risques sur la vie privée des individus vis-à-vis du dispositif reposant exclusivement sur l’empreinte digitale déjà autorisé et mis en œuvre au sein d’Eutelsat.
La Commission considère que la finalité ainsi définie est déterminée, explicite et légitime.
Sur les données traitées
Les données concernent les salariés et les prestataires de la société spécifiquement habilités à accéder aux locaux.
Il s’agit :
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
des données d’identification : nom et prénom des personnes concernées ;
de données professionnelles : identifiant unique, groupe métier d’appartenance, département ou compagnie d’appartenance, numéro de badge personnel ;
de l’historique d’accès physiques et logiques : horodatage des accès, identifiant du lecteur et nom, prénom des personnes ;
des données biométriques de l’empreinte digitale et du réseau veineux de deux doigts.
Sur la durée de conservation des données
Les données d’identification et les données professionnelles sont conservées dans la base centrale d’administration pour la durée des habilitations.
L’historique des accès physiques et logiques n’est pas conservé au-delà de 3 mois.
Les données biométriques ne sont conservées que le temps de l’habilitation d’accès de la personne concernée, sur une base distincte, dédiée et cloisonnée. En cas de départ ou sur demande de la personne concernée, le gabarit biométrique est immédiatement supprimé.
Sur les destinataires
Seul le personnel spécifiquement habilité d’Eutelsat peut accéder aux données d’identification ainsi qu’à l’historique d’accès, ce qui n’appelle pas d’observation de la Commission.
Sur l’information et le droit d’accès
Les dispositifs ont fait l’objet d’une consultation des instances représentatives du personnel.
Les personnes concernées sont informées de manière individuelle, par un message d’information spécifique et détaillé  fourni lors de la remise du badge.
Les droits s’exercent auprès des services du responsable de traitement.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
Une formation est dispensée par l’intégrateur à toutes les personnes habilitées. En cas de faille de sécurité, le personnel de sécurité présent sur site est formé pour réagir rapidement selon la situation.
En cas de défaillance du dispositif ou d’alerte un agent de sécurité effectue un contrôle visuel et le salarié est invité à se déplacer au poste de sécurité pour un éventuel nouvel enrôlement. Un agent de sécurité peut être affecté au contrôle des passages aux points d’accès des zones sensibles, le temps de corriger la défaillance du dispositif.
Compte tenu de l’objectif de sécurité recherché, des exigences fortes de fiabilité du système et de sécurité des données traitées ont été définies. A titre principal, il s’agit :
Enfin, la Commission souligne que le dispositif utilisé apporte les deux garanties suivantes :
du choix spécifique du dispositif biométrique limitant les risques de fausse acceptation (personne faussement reconnue et autorisée à accéder de manière illégitime) ;
du chiffrement du gabarit par un algorithme fort avec une clé spécifique au traitement ;
du signalement de toute tentative d’accès aux lecteurs (dispositif anti-arrachement) ;
du signalement de toute tentative d’accès par une personne dont le gabarit d’empreinte ne se trouve pas dans le lecteur
du nombre limité de personnes habilitées à la gestion (enrôlement, administration) du dispositif et de l’encadrement strict de l’accès au dispositif.
le gabarit fusionné ne peut pas permettre de créer un gabarit utilisable pour une seule des deux biométries ;
le gabarit ne permet pas de recalculer l’image correspondante du réseau veineux ou de l’empreinte digitale.
Les mesures de sécurité mises en place sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
du choix spécifique du dispositif biométrique limitant les risques de fausse acceptation (personne faussement reconnue et autorisée à accéder de manière illégitime) ;
du chiffrement du gabarit par un algorithme fort avec une clé spécifique au traitement ;
du signalement de toute tentative d’accès aux lecteurs (dispositif anti-arrachement) ;
du signalement de toute tentative d’accès par une personne dont le gabarit d’empreinte ne se trouve pas dans le lecteur
du nombre limité de personnes habilitées à la gestion (enrôlement, administration) du dispositif et de l’encadrement strict de l’accès au dispositif.
le gabarit fusionné ne peut pas permettre de créer un gabarit utilisable pour une seule des deux biométries ;
le gabarit ne permet pas de recalculer l’image correspondante du réseau veineux ou de l’empreinte digitale.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, la société Eutelsat à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN