(Demande d’autorisation n° 1772920)
La Commission nationale de l'informatique et des libertés,
Saisie par le Musée d’art moderne de la ville de Paris d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès aux locaux professionnels par reconnaissance combinée du réseau veineux des doigts de la main et de l’empreinte digitale ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
Responsable du traitement
Le Musée d’art moderne de Paris, établissement public administratif, souhaite élever le niveau de sécurité des accès à ses réserves contenant des œuvres d’art de valeur, à la suite du vol de plusieurs tableaux en 2010.
Sur la finalité et les caractéristiques du traitement
Le dispositif biométrique bimodal, fondé sur la reconnaissance de l’empreinte digitale et du réseau veineux d’un doigt de chaque main, est mis en place afin de lutter contre le risque d’intrusion et de vol, lors de l’accès aux réserves d’œuvres d’art du musée.
Un lecteur est placé à l’entrée de chaque réserve afin d’apporter un niveau de sécurité additionnel au dispositif d’accès par badge préexistant. Les personnes habilitées à accéder aux réserves doivent d’une part présenter leur badge au lecteur et d’autre part, y apposer leur doigt.
Le dispositif est composé d’une station d’enrôlement et de plusieurs lecteurs permettant de lire le réseau veineux d’un doigt d’une personne ainsi que l’empreinte digitale du même doigt de manière simultanée. La reconnaissance biométrique utilisée est fondée sur la comparaison d‘informations issues à la fois de l’empreinte digitale et du réseau veineux de l’individu avec un gabarit unique. Les gabarits sont stockés sur chaque lecteur selon un format propriétaire. La station d’enrôlement autonome qui permet de collecter le gabarit transfère ce dernier sur le lecteur de contrôle d’accès et ne conserve aucun gabarit.
Le recours à la biométrie multimodale améliore les performances globales des dispositifs biométriques en offrant plus de critères de contrôle, en renforçant ainsi le niveau d’authentification et en compensant les faiblesses, avérées ou supposées, d’une biométrie par une autre. De plus la solution utilisée permet de limiter les risques sur les individus créés par le système à un niveau équivalent à une biométrie « sans trace ».
La Commission considère que la finalité ainsi définie est déterminée, explicite et légitime.
Sur les données traitées
Les données concernent les salariés habilités du musée, conservateurs du musée, le secrétaire général adjoint ainsi que le chef du service de sécurité du musée.
Il s’agit :
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
des données d’identification : nom et prénom des personnes concernées ;
de l’historique d’accès aux locaux : horodatage des accès et identifiant du lecteur ;
des données biométriques de l’empreinte digitale et du réseau veineux de deux doigts.
Sur la durée de conservation des données
Les données relatives à l’historique d’accès et les données d’identification sont conservées sur une période de trois mois glissants.
Les données biométriques ne sont conservées que le temps de l’habilitation d’accès de la personne concernée, sur le terminal de lecture comparaison. En cas de départ de cette dernière, le gabarit biométrique est immédiatement supprimé.
Sur les destinataires
Seul le personnel spécifiquement habilité du Musée d’art moderne de Paris peut accéder aux données d’identification ainsi qu’à l’historique d’accès, ce qui n’appelle pas d’observation de la Commission.
Sur l’information et le droit d’accès
Le dispositif biométrique a fait l’objet d’une consultation des instances représentatives du personnel.
Les personnes concernées sont informées par la remise d’un document d’information spécifique et détaillé  remis à chaque agent concerné.
Les droits s’exercent auprès des services du responsable de traitement.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
Une formation est dispensée par l’intégrateur à toutes les personnes habilitées. En cas de faille de sécurité, le personnel de sécurité présent sur site est formé pour réagir rapidement selon la situation.
En cas de défaillance du dispositif, la personne concernée peut s’adresser au service de sécurité.
Compte tenu de l’objectif de sécurité recherché, des exigences fortes de fiabilité du système et de sécurité des données traitées ont été définies. A titre principal, il s’agit :
Enfin, la Commission souligne que le dispositif utilisé apporte les deux garanties suivantes :
du choix spécifique du dispositif biométrique limitant les risques de fausse acceptation (personne faussement reconnue et autorisée à accéder de manière illégitime)
de la limitation des données collectées aux seules données biométriques nécessaires sous la forme d’un gabarit ne permettant pas de recalculer la donnée d’origine
le gabarit fait l’objet d’un chiffrement (format propriétaire) avec une clé spécifique au traitement ;
d’une gestion stricte des habilitations d’accès au dispositif
du signalement de toute tentative d’accès aux lecteurs (dispositif anti-arrachement) ;
du signalement de toute tentative d’accès par une personne dont le gabarit d’empreinte ne se trouve pas dans le lecteur
du nombre limité de personnes habilitées à la gestion (enrôlement, administration) du dispositif.
le gabarit fusionné ne peut pas permettre de créer un gabarit utilisable pour une seule des deux biométries ;
le gabarit ne permet pas de recalculer l’image correspondante du réseau veineux ou de l’empreinte digitale.
Les mesures de sécurité mises en place sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
du choix spécifique du dispositif biométrique limitant les risques de fausse acceptation (personne faussement reconnue et autorisée à accéder de manière illégitime)
de la limitation des données collectées aux seules données biométriques nécessaires sous la forme d’un gabarit ne permettant pas de recalculer la donnée d’origine
le gabarit fait l’objet d’un chiffrement (format propriétaire) avec une clé spécifique au traitement ;
d’une gestion stricte des habilitations d’accès au dispositif
du signalement de toute tentative d’accès aux lecteurs (dispositif anti-arrachement) ;
du signalement de toute tentative d’accès par une personne dont le gabarit d’empreinte ne se trouve pas dans le lecteur
du nombre limité de personnes habilitées à la gestion (enrôlement, administration) du dispositif.
le gabarit fusionné ne peut pas permettre de créer un gabarit utilisable pour une seule des deux biométries ;
le gabarit ne permet pas de recalculer l’image correspondante du réseau veineux ou de l’empreinte digitale.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, le Musée d’art moderne de Paris à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN