La Commission nationale de l'informatique et des libertés ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-8° ;
Vu la demande d'autorisation, présentée par la société Bloomberg L.P., d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance de l'empreinte digitale et ayant pour finalité de contrôler l'accès logique à un service d'informations financières ;
Après avoir entendu M. Emmanuel de Givry, commissaire en son rapport, et Mme Pozzo di Borgo, commissaire du gouvernement en ses observations.
Formule les observations suivantes :
La société Bloomberg L.P. a saisi la Commission nationale d'une demande d'autorisation concernant la mise en oeuvre d'un traitement de données à caractère personnel reposant sur un dispositif de reconnaissance des empreintes digitales et ayant pour finalité de contrôler l'accès en ligne à un service d'informations financières.
Ce système d'authentification avancé aura pour objet de garantir que les personnes se connectant au service d'informations financières "Bloomberg Professional" sont bien des utilisateurs légitimes.
La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Les personnes souhaitant utiliser le service "Bloomberg Professional", particuliers, employés de la société Bloomberg ou d'un organisme client, installeront un logiciel sur leur ordinateur. Elles disposeront également d'un support individuel sous forme d'une carte à microprocesseur fournie par la société Bloomberg.
L'inscription au service "Bloomberg Professional" s'effectuera via l'interface d'un logiciel installé sur l'ordinateur du futur utilisateur. Au cours de cette phase, ce dernier choisira un identifiant (nom d'utilisateur) et un mot de passe et procèdera à l'enregistrement sous forme chiffrée du gabarit de son empreinte digitale sur sa carte individuelle.  Pour cela, il placera son doigt sur un capteur situé au niveau d'un clavier ou d'une clé USB, fournis par la société Bloomberg L.P..
Une fois la phase d'inscription effectuée, à chaque fois qu'un utilisateur se connectera aux services "Bloomberg Professional", il lui sera demandé d'entrer son nom d'utilisateur et son mot de passe qui seront alors transmis à un serveur de la société Bloomberg situé aux Etats-Unis. Le dispositif confirmera alors que le nom et le mot de passe correspondent. A ce stade, l'utilisateur placera son doigt sur le capteur prévu à cet effet à partir duquel un nouveau code binaire (gabarit) sera généré et qui sera comparé à celui enregistré dans la carte individuelle. Si à l'issue de ce processus, l'identité de l'utilisateur est confirmée, ce dernier recevra un code d'accès unique à utiliser au cours de sa session.
La Commission considère que dans la mesure où d'une part, le dispositif "B-UNIT" repose sur l'enregistrement du gabarit de l'empreinte digitale dans un support individuel exclusivement détenu par la personne concernée, et d'autre que le gabarit enregistré est généré à partir d'une analyse des caractéristiques générales du tracé des crêtes du doigt des utilisateurs et n'est pas interopérable avec les systèmes basés sur les minuties, le dispositif soumis par la société Bloomberg L.P. ne comporte pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les catégories de données à caractère personnel enregistrées seront le nom d'utilisateur et le mot de passe indiqué par l'utilisateur lors de son inscription au service ainsi que le gabarit chiffré de l'empreinte digitale d'un de ses doigts, enregistré uniquement sur une carte individuelle en possession de l'utilisateur du service.
Le droit d'accès défini au chapitre V de la loi s'exercera en ligne auprès du "Département des Opérations de Réseau" de la société Bloomberg L.P.. Les utilisateurs sont informés lors de l'inscription au service, des modalités de collecte et de transmission des informations les concernant.
Les destinataires des informations relatives au nom d'utilisateur et au mot de passe seront, dans la limite de leurs attributions respectives et pour l'exercice des finalités précitées, le personnel du "Département des Opérations de Réseau" de la société Bloomberg L.P..
Les données, transférées à l'occasion de l'utilisation du dispositif "B-UNIT", bénéficient d'un niveau de protection adéquat en raison de l'adhésion de la société Bloomberg L.P. au "Safe Harbor", ou "Sphère de sécurité". En outre des mesures de sécurité garantissent la confidentialité des données ainsi transmises.
Autorise, dans ces conditions, la société Bloomberg L.P., à mettre en oeuvre un traitement de données à caractère personnel reposant sur la reconnaissance de l'empreinte digitale et ayant pour finalité de contrôler l'accès logique à un service d'informations financières.
Le président, Alex TURK.