(demande d’autorisation n° 1688274)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Orange d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès physique aux locaux par reconnaissance du réseau veineux du doigt ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés (CNIL) a été saisie par la société Orange d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel de contrôle de l’accès à des salles et des équipements situés à l’intérieur du datacenter Orange en Normandie.
Le dispositif sera mis à disposition en plus du système de contrôle d’accès par badge actuellement utilisé. Il concernera uniquement, d’une part, des salariés permanents des filiales du groupe Orange en charge des services de sécurité et de proximité informatique du site et, d’autre part, des salariés ponctuellement habilités en temps que tiers de confiance pour accéder de manière non accompagnée aux salles contrôlées, que ceux-ci soient des salariés d’Orange ou des employés de ses sous traitants (soit environ 50 à 100 salariés).
Dans la mesure où le contrôle de l’accès aux locaux est réalisé par un dispositif biométrique, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation de la Commission les traitements automatisés comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Sur la finalité du traitement :
La société Orange souhaite mettre en œuvre un traitement automatisé de données biométriques ayant pour finalité le contrôle d’accès à des salles et des équipements présentant un risque dit d’« impact vital » sur les activités de l’entreprise ou de ses clients via la reconnaissance du réseau veineux du doigt.
Dés lors, la société Orange souhaite compléter l’ensemble des mesures de sécurité de contrôle d’accès par badge qu’elle a adopté pour la sécurité des locaux considérés « sensibles » par un système d’authentification forte, à savoir l’ajout d’un dispositif biométrique de contrôle du réseau veineux Biovein, visant ainsi un double objectif :
assurer la protection des biens et installations d’Orange ;
protéger les informations appartenant aux clients d’Orange ou à Orange, dont la divulgation, le détournement ou la destruction pourraient leur porter des préjudices graves.
Sur la base de l’identification des risques et en complément d’autres mesures de gestion des risques, la société a établi la stricte nécessité de recourir à un dispositif biométrique de reconnaissance du réseau veineux du doigt.
La Commission considère que la finalité ainsi définie est déterminée, explicite et légitime.
Sur la nature des données traitées :
Les données nécessaires concernant les salariés, clients et prestataires sous-traitants (environ 100 personnes) sont des données d’identification (nom, prénom, photographie), professionnelles (nom de la société d’appartenance et service concerné) et biométriques (gabarit du réseau veineux du doigt).
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Sur la durée de conservation des données :
Ces données sont collectées directement auprès de la personne concernée et sont conservées 5 années au maximum, puis supprimées automatiquement à l’issue de cette période. Des mesures sont également prises pour minimiser la durée de conservation des données lorsque ces dernières ne sont plus utiles au traitement.
Un paramétrage garantit une suppression automatique de la donnée biométrique au bout d’un an.
La durée de conservation et les mesures associées n’appellent aucune observation de la Commission.
Sur les destinataires des données :
Seules les personnes habilitées du service du personnel et du service gérant la sécurité des locaux auront accès aux données collectées en fonction de leurs missions, ce qui n’appelle pas d’observation de la Commission.
Sur l'information des personnes :
La société Orange informe ses salariés de la mise en œuvre du dispositif de reconnaissance biométrique via la consultation de son comité d’entreprise. Elle leur remet, de manière individuelle, une note d’information spécifique et détaillée.
La Commission prend également note que le CHSCT sera consulté.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès, de rectification et d’opposition s’exercent par voie postale auprès de la Direction du Pilotage des Sites Stratégiques et de la Direction des Ressources Humaines.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
Le dispositif biométrique fonctionne en authentification conjointement à une identification par badge classique, c'est-à-dire qu’il compare la donnée biométrique de la personne souhaitant accéder aux locaux à celle qui a été préalablement enregistrée par le porteur du badge identifié durant l’enrôlement et conservée dans la base centrale.
Une formation est dispensée par le fournisseur de la solution de contrôle d'accès sur le fonctionnement du dispositif biométrique ainsi que sur le contexte technique et juridique de sa mise en œuvre. Des mesures complémentaires sont également prévues pour les personnes ne pouvant pas s’enrôler et pour la politique de gestion des rejets.
Le contrôle d’accès logique à l'application concernant les données biométriques est effectué par mot de passe (10 caractères d’au moins 3 types, renouvelé tous les 3 mois) avec des mots de passe serveur et base de données distincts. Le nombre d’administrateurs du système est fortement limité et le mot de passe est changé lors de tout changement d’administrateur.
Une traçabilité est présente par une journalisation des accès à l’application (consultation, création, mise à jour, suppression des données). A ce titre, les informations collectées sont un horodatage de connexion et de déconnexion ainsi que l’identifiant de l’utilisateur.
Un suivi mensuel est réalisé et le cas échéant, le responsable de la sûreté ordonne au logiciel sur le serveur la suppression de toutes les données non utiles, y compris du gabarit biométrique.
Enfin, compte tenu de l’objectif de sécurité recherché, des exigences fortes de fiabilité du système et de sécurité des données traitées ont été définies. A titre principal, il s’agit :
du paramétrage spécifique du lecteur biométrique limitant les risques de fausse acceptation (personne faussement reconnue et autorisée à accéder de manière illégitime) ;
de la vérification de la présence d’une mesure « anti-fraude » (anti-spoofing) intégrée au dispositif biométrique ;
du signalement de toute tentative d’accès aux lecteurs (débranchement ou arrêt) ;
du chiffrement immédiat des données biométriques lors de l’enrôlement ;
de la limitation à deux responsables de sécurité pour gérer les actions de programmation (enrôlement, administration) de la plate-forme.
Les mesures de sécurité mises en place sont donc conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société Orange à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité le contrôle d’accès physique aux locaux par reconnaissance du réseau veineux du doigt.
La Présidente
Isabelle FALQUE-PIERROTIN