La  Commission nationale de l'informatique et des libertés,
Saisie  par la société France-Manche SA d’une demande d’autorisation concernant un  traitement automatisé de données à caractère personnel expérimental ayant pour  finalité l’identification biométrique des conducteurs de véhicules  poids-lourds volontaires à l’entrée du tunnel sous la Manche ;
Vu la convention  n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du  traitement automatisé des données à caractère personnel ;
Vu le traité  entre la République française et le Royaume-Uni de Grande-Bretagne et d'Irlande  du Nord concernant la construction et l'exploitation par des sociétés privées  concessionnaires d'une liaison fixe trans-Manche, fait à Cantorbéry, le 12  février 1986 ;
Vu la  directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995  relative à la protection des personnes physiques à l’égard du traitement des  données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la  défense, notamment ses articles L. 1332-1 et L. 1332-2 ;
Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers  et aux libertés, notamment son article 25-I-8° ;
Vu le décret n°  2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n°  78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux  libertés ;
Vu le décret n°  2005-1726 du 30 décembre 2005 modifié relatif aux passeports ;
Vu le décret n°  2016-1460 du 28 octobre 2016 autorisant la création d’un traitement de données  à caractère personnel relatif aux passeports et aux cartes nationales  d’identité ;
Vu le dossier et ses  compléments ;
Sur la  proposition de M. Jean-François CARREZ, commissaire,  et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société France-Manche SA.
La société France-Manche SA constitue, avec la société de droit anglais The Channel Tunnel Group Ltd, la société à participation Eurotunnel, qui exploite le tunnel sous la Manche conformément au traité du 12 février 1986 susvisé.
Sur   la finalité
Le traitement projeté,   qui relève de la procédure d’autorisation prévue à l’article 25-I-8° de la   loi du 6 janvier 1978 modifiée, constitue un dispositif biométrique expérimental   de reconnaissance faciale et de reconnaissance de l’iris de l’œil permettant   de vérifier l’identité d’usagers du tunnel sous la Manche et, plus   précisément, de conducteurs de véhicules poids lourds.
C’est à l’entrée   du tunnel sous la Manche que sont réalisés les contrôles frontaliers entre la   France et le Royaume-Uni. Ces contrôles sont réalisés par les autorités   françaises et britanniques en France, pour les personnes voyageant en   partance de la France, et au Royaume-Uni pour les personnes voyageant en   partance du Royaume-Uni.
Dans un contexte   marqué par le renforcement de la pression sur les opérations de contrôle en   raison, notamment, de flux migratoires importants et de l’augmentation du   trafic routier, la société Eurotunnel et les autorités de contrôle souhaitent   accélérer et sécuriser le passage aux frontières entre la France et le Royaume-Uni   des conducteurs de véhicules poids-lourds.
C’est à cette   fin que la société Eurotunnel envisage de tester la faisabilité d’un dispositif   biométrique de reconnaissance faciale et de reconnaissance de l’iris de l’œil   à travers le programme RDP (
Registered   Driver Programme
chauffeur   de confiance
L’expérimentation   comportera plusieurs phases mais la présente demande d’autorisation concerne la   seule première phase du programme, qui ne vise qu’à tester la fiabilité des   technologies biométriques de vérification d’identité. Cette première phase   sera uniquement mise en œuvre en France, sur le terminal Eurotunnel, au   niveau des contrôles de sécurité. Sa durée est estimée à dix semaines et ne   dépassera pas, en toute hypothèse, six mois.
Elle doit   permettre d’évaluer la performance d’un dispositif composé d’un système   d’enregistrement et d’un système de vérification de l’identité par la   reconnaissance de l’image du visage et de l’iris des yeux des chauffeurs   volontaires.
Le choix de   l’expérimentation d’un dispositif de reconnaissance faciale s’explique par le   souhait de recourir à un système sans contact, plus adapté à l’environnement   dans lequel il doit être mis en œuvre qu’un dispositif de reconnaissance des   empreintes digitales ou de reconnaissance vocale. L’expérimentation d’un   système de reconnaissance de l’iris de l’œil, qui présente l’avantage de ne   pas non plus nécessiter de contact et de pouvoir être mis en œuvre en même   temps que la reconnaissance faciale, doit en outre permettre de renforcer la   fiabilité du contrôle.
L’enrôlement des
chauffeurs de confiance
Le traitement de   reconnaissance faciale et de reconnaissance de l’iris de l’œil sera ensuite   réalisé sur les images captées par trois lecteurs biométriques situés   exclusivement sur le terminal Eurotunnel. Ces lecteurs seront plus   précisément déployés dans un bungalow clos non accessible au public situé au   niveau du contrôle de sécurité des chauffeurs et au niveau de deux accès de   check-in accessibles uniquement aux conducteurs de véhicules poids-lourds et   aux employés d’Eurotunnel. Dans un cas comme dans l’autre, le lecteur biométrique   ne pourra être activé que par le
chauffeur   de confiance
Le traitement   projeté poursuit ainsi uniquement une finalité d’étude de la faisabilité technique   d’un dispositif qui doit permettre d’améliorer l’efficacité des contrôles et la   fluidité du trafic, afin de mieux assurer la sécurité des biens et des   personnes voyageant via le tunnel sous la Manche.
Cette étude   aboutira à l’établissement d’un bilan, que la société Eurotunnel   s’est engagée à adresser à la Commission. La Commission demande à ce que ce   bilan lui soit adressé dans un maximum de six mois à compter de la fin de   l’expérimentation et qu’il comporte,
a   minima
-         une description des   conditions de mise en œuvre techniques et opérationnelles du dispositif   expérimenté (description des résultats des tests réalisés, pourcentage de   réussite des algorithmes de reconnaissance faciale et de reconnaissance de   l’iris de l’œil, éventuels dysfonctionnements liés aux conditions de l’expérimentation,   échecs à l’enrôlement lors de la mise en œuvre du dispositif) ;
-         des éléments de   conclusion généraux relatifs aux connaissances et aux perspectives   d’exploitation technique, économique ou sociétale de ces apports ;
-         une description   détaillée de la procédure mise en œuvre pour assurer le plein exercice des   droits des personnes ;
-         les suites envisagées   par la société Eurotunnel sur la base du bilan effectué (abandon du projet,   demande de nouvelle expérimentation, demande d’autorisation de mise en œuvre   à titre permanent).
Dans ces   conditions, la Commission considère que le traitement poursuit une finalité   déterminée, explicite et légitime, conformément à l’article 6-2° de la loi du   6 janvier 197 modifiée.
Elle souligne   toutefois que l’autorisation délivrée pour la mise en œuvre de ce type de   traitement dans un contexte expérimental ne préjuge en aucune façon de son   appréciation ultérieure de la légitimité et de la proportionnalité de la mise   en œuvre, de manière pérenne et à grande échelle, d’un tel dispositif. Une   pérennisation de ce dispositif devra s’accompagner de nouvelles formalités   préalables, qui amèneront  la   Commission à réaliser un nouveau contrôle de proportionnalité du dispositif   au regard des risques relatifs aux libertés individuelles soulevés par   l’usage des techniques biométriques concernées.
Sur   les données traitées
L’étude  qu’entend mener la société France-Manche SA suppose la   participation  de conducteurs de véhicules poids-lourds volontaires, dont le   nombre  se situera aux alentours de 400.
Pour chacun d’eux, il est prévu que soient collectées les données   suivantes :
-       les nom et prénom(s) de la personne ;
-       une photographie du visage ;
-       l’image de l’iris des yeux.
La  prise d’une   photographie de chaque iris ainsi que du visage de chaque  volontaire aura   lieu dans une station de collecte dédiée, au moment  de l’enrôlement des chauffeurs.   Si la qualité de la photographie est  trop faible, une nouvelle image sera   prise, dans la limite de trois  essais. L’image faciale sera conservée, de   même que les gabarits  dérivés des photos d’iris.
Le dispositif  d’enrôlement ne conservera aucune   trace des données recueillies, qui  seront directement transférées dans la   base de données sécurisée se  trouvant dans un emplacement protégé.
S’agissant de  la photographie du visage utilisée dans   le cadre du dispositif de  reconnaissance faciale, la société Eurotunnel   souhaiterait pouvoir  utiliser une photographie prise en direct et une   extraction de la  photographie se situant dans le passeport de manière à   pouvoir  comparer l’efficacité du système en fonction du portrait utilisé.
La  Commission rappelle toutefois que l’image   numérisée de la  photographie des titulaires de passeports enregistrée dans le    composant électronique prévu à l’article 2 du décret du 30 décembre 2005    susvisé, ne peut être utilisée qu’à des fins, par des destinataires  et dans   des conditions prévus par ce même décret ou par le décret du  28 octobre 2016   susvisé. Elle considère dès lors que doit être exclue  l’utilisation par la   société France-Manche SA, même à titre  expérimental, de l’image numérisée   contenue dans ce composant dans le  cadre d’un dispositif de reconnaissance   faciale, une telle utilisation  n’étant pas prévue par les textes précités.
En  outre, la Commission prend acte que,   s’agissant du visage des  personnes, le portrait sera conservé tant dans sa   forme  image  que  dans sa forme  gabarit . L’image du   visage doit permettre de confirmer  que la personne qui a été reconnue par le   système de reconnaissance  faciale automatique correspond bien à la personne   qui est en train de  participer au test. Le gabarit, quant à lui, uniquement   utilisable par  un algorithme, permet de tester l’efficacité du système de    reconnaissance faciale automatique évalué.
La  Commission prend également acte que l’image   des deux iris des  chauffeurs volontaires sera collectée mais que leur conservation   sera  uniquement réalisée sous leur forme  gabarit . L’image sera   donc  supprimée, après création du gabarit associé, dans les secondes qui    suivent la capture de l’image de l’iris.
Enfin,  seules des images de chauffeurs   participant au programme RDP pourront  être captées et conservées. Les   lecteurs biométriques devront être  activés et ne pourront l’être que par un   chauffeur volontaire, au  moment de son passage au niveau du contrôle de   sécurité, soit dans un  bungalow clos non accessible au public soit au niveau   de deux accès de  check-in.
Il a été   indiqué, en ce qui concerne  les lecteurs installés à l’entrée des voies de   check-in, que l’image  du voisin du chauffeur pourrait être potentiellement   captée par la  caméra. Le dispositif permettra toutefois de constater que deux    personnes apparaissent sur la photographie et cette dernière, dans cette    hypothèse, sera immédiatement détruite.
Dans ces  conditions, la Commission estime   que les données traitées sont  adéquates, pertinentes et non excessives au   regard des finalités  poursuivies.
Sur   les destinataires
Lors du passage des chauffeurs volontaires sur le terminal Eurotunnel, au niveau des contrôles de sécurité, les données relatives au chauffeur de confiance concerné pourront apparaître temporairement sur un écran de contrôle.
Les catégories de personnels participant aux contrôles réalisés sur le terminal Eurotunnel, en l’occurrence des gardes-frontières et des agents des douanes françaises ou britanniques, pourront être amenées à visualiser les écrans concernés.
La Commission relève que les données susceptibles d’apparaître sur les écrans ne se distingueront de celles auxquelles ces personnels ont déjà accès par le contrôle habituel du passeport qu’en tant qu’elles pourraient comporter une image de l’iris de l’œil. Cette image n’apparaitra que brièvement et les agents mentionnés n’auront aucunement accès aux données concernées dans leur format numérique.
En outre, une partie du traitement serait mise en œuvre par un prestataire extérieur, la société Vision-Box.
Il est prévu que le personnel de cette société ait accès aux images et gabarits, afin de pouvoir analyser les éventuels cas de dysfonctionnement du système ou de détruire des données dont la suppression a été demandée par l’intéressé. L’accès à ces données sera régi par un contrat signé entre la société Eurotunnel et la société Vision-Box, qui interdira l’extraction de données et leur utilisation pour toute autre finalité que l’évaluation de l’efficacité du système, l’assistance technique et la production de statistiques.
Dans ces conditions, la Commission estime que les accès aux données prévus par la société France-Manche SA sont justifiés au regard des finalités du traitement.
Elle prend acte, enfin, que les membres du personnel de la société France-Manche n’auront accès qu’à des données statistiques anonymisées et qu’aucune consultation des gabarits ne leur sera possible.
Sur   l’information et le droit d’accès
La Commission considère néanmoins que, pour assurer l’effectivité du droit à l’information des intéressés, le formulaire d’engagement devra être traduit dans les principales langues employées par les conducteurs de véhicules poids-lourds à savoir, au regard des éléments transmis à la Commission, le Français, l’anglais, le polonais, l’italien et le roumain.
Les droits d’opposition pour motifs légitimes, d’accès et de rectification pourront s’exercer auprès du service juridique de la société France MANCHE SA par courrier postal à l’adresse suivante :
France MANCHE SA
Service juridique
Siège d’exploitation
62904 Coquelles Cedex.
Ils pourront également s’exercer par courrier électronique à l’adresse : LEGAL@EUROTUNNEL.COM
Les chauffeurs volontaires pourront à tout moment se retirer du programme et demander la suppression des données à caractère personnel les concernant en s’adressant par écrit au responsable de traitement.
La Commission précise toutefois qu’elle jugerait préférable,  pour faciliter l’exercice par les chauffeurs de leurs droits, que leur soit offerte la possibilité de faire connaître leurs éventuelles demandes au moment de leur passage sur le terminal Eurotunnel, en s’adressant au personnel dédié à la mise en œuvre du dispositif.
Sous cette réserve, les modalités d’information et d’exercice des droits des personnes apparaissent satisfaisantes.
Sur   les mesures de sécurité
Le dispositif biométrique expérimenté est composé d’un dispositif d’enrôlement, permettant la création du profil alphanumérique et biométrique de l’usager participant à l’expérimentation, d’un serveur central contenant l’ensemble des données, notamment biométriques, relatives aux personnes participant au programme et de stations permettant l’authentification de l’usager lors du passage de la frontière.
La Commission prend acte que l’intégralité de ce dispositif, qu’il s’agisse du système d’enrôlement, de la  base centrale ou des stations de contrôle, sera installé sur le terminal Eurotunnel, qui fait l’objet de mesures de sécurité répondant aux exigences applicables aux opérateurs d’importance vitale mentionnés aux articles L. 1332-1 et L. 1332-2 du code de la défense.
En ce qui concerne la sécurité du système d’information et, en particulier pendant la phase d’enrôlement, la Commission relève que les données biométriques captées, en l’espèce l’iris de l’individu ainsi que l’image de son visage, ne feront que transiter par la station, qui n’en conservera aucune trace, et seront directement transférées au sein de la base centrale, par le biais d’un canal chiffré. Elle souligne toutefois que le chiffrement de ce canal doit être réalisé,

Les photographies des visages seront conservées en format image et sous forme de gabarit au sein de la base de données centralisée, mais les données relatives à l’iris seront uniquement conservées sous forme de gabarit. Ces données  seront chiffrées à l’aide d’un algorithme fort associé à une clé d’une longueur adéquate stockée au sein d’un dispositif physique dédié, afin de protéger les données, notamment vis-à-vis des administrateurs. L’intégralité du support physique sur lequel fonctionnera le système sera également chiffré.
La société France-Manche pourra permettre, de manière exceptionnelle, à des agents du prestataire d’accéder, via VPN, aux images et gabarits en cas de dysfonctionnement du système, mais un tel accès sera limité à des personnes habilitées. Ces dernières, pour accéder à l’application, devront s’authentifier à l’aide d’un identifiant et d’un mot de passe.
Sur ce point, la Commission recommande que les mots de passe aient une longueur minimale de douze caractères et soient composés de lettres majuscules, minuscules, chiffres et symboles ou qu’ils comportent entre huit et onze caractères, soient composés de trois des quatre possibilités précitées et associés à une restriction d’accès en cas d’erreurs successives (blocage de compte temporaire, possibilité de tentatives après une durée incrémentielle, etc.).
Enfin, la Commission prend acte que des sauvegardes, chiffrées à l’aide d’un algorithme considéré comme sûr, seront mises en œuvre, de même que différents dispositifs technologiques tels que
des sondes réseaux et des partitionnements réseaux.
En ce qui concerne la sécurité physique, les locaux identifiés pour l’hébergement de la station d’enrôlement (bâtiment préfabriqué dédié) sont à proximité du personnel affecté aux contrôles de sécurité (dont des maitres-chiens). Le serveur est situé dans un bâtiment sur site, accessible uniquement au personnel Eurotunnel.
Le dispositif permettant l’identification de la personne lors du passage dispose de capteurs physiques permettant de détecter et de lever une alerte dès lors que les panneaux d’accès seraient ouverts.
Une surveillance par personnel habilité est effectuée de façon continue sur le site et des dispositifs de sécurité physique sont installés, notamment un système de grillage / zonage, une gestion des accès par badge et habilitations ainsi qu’un système d’alarme.
Sous réserve de l’effectivité de l’ensemble des éléments précités, la Commission considère que la sécurité du dispositif est assurée de façon adéquate, conformément aux prescriptions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur   les autres caractéristiques du traitement
La durée de conservation des données à caractère personnel ne dépassera pas la durée du test, soit dix semaines si les estimations réalisées se confirment et, au plus, six mois.
A l’issue de cette période, l’intégralité des données à caractère personnel collectées sera effacée. Seules seront conservées des données statistiques et anonymes relatives à la qualité du processus d’enrôlement et de vérification biométrique.
La Commission considère dès lors que, conformément aux dispositions du 5° de l’article 6 de la loi du 6 janvier 1978 modifiée, la durée de conservation des données n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.
Autorise, conformément à la présente délibération, la société France-Manche SA à mettre en œuvre le traitement susmentionné.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS