(demande d’autorisation 1436814)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la demande d’autorisation présentée par la société MORPHO concernant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité principale la recherche sur les algorithmes biométriques;
Après avoir entendu Madame Marie-Hélène MITJAVILE, commissaire en son rapport et Madame Elisabeth ROLIN, commissaire du Gouvernement.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par la société MORPHO d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité principale la recherche sur les algorithmes biométriques.
Il y a lieu de faire application des dispositions prévues à l’article 25-8° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Le projet a pour finalité principale la recherche sur les algorithmes biométriques à travers  l’élaboration et l’amélioration d’algorithmes d’acquisition et de reconnaissance biométriques. Des études sur la sécurisation des données biométriques, des statistiques et des tests de performances tenant compte du vieillissement des données seront également réalisées.
Dans ce contexte, il convient de souligner que la présente décision ne porte que sur l’autorisation de mise en œuvre du dispositif projeté et ne saurait avoir valeur de labellisation de la technologie présentée.
L’évaluation portera sur des algorithmes de reconnaissance :
des empreintes digitales ;
des paumes ;
de l’iris ;

du réseau veineux ;
de la voix.
De même, des algorithmes dits de « fusion multimodale », c’est à dire permettant la reconnaissance d’une personne à partir de l’analyse simultanée de plusieurs caractéristiques biométriques, seront utilisés pour effectuer des mesures de performance de différents algorithmes de reconnaissance.
La mise en œuvre du dispositif reposera sur la collecte de données par la société MORPHO ainsi que ses partenaires. Seules les données des personnes volontaires seront traitées. Chaque base de données constituée devrait concerner entre cinquante et trois cents personnes.
A chaque fois que ces données biométriques seront transmises, le nom et les coordonnées des volontaires seront gardés et maintenus strictement confidentiels par l’organisme ayant constitué la base de données.
Les transferts de données sont sécurisés et sont faits exclusivement sur support physique (ex. disque dur). Les données sont chiffrées. Un moyen de protection de la confidentialité des informations est mis en place à l’aide d’un outil certifié l’ANSSI.
S’agissant des partenaires ou de tout destinataire situés dans des Etats n’assurant pas un niveau de protection suffisant de la vie privée, le transfert de donnée fera l’objet d’un encadrement contractuel soumis pour autorisation à la Commission nationale de l’informatique et des libertés conformément aux dispositions de l’article 69 de la loi du 6 janvier 1978 modifiée en août 2004.
La Commission prend acte que lors de la transmission des données biométriques, le nom et les coordonnées des volontaires seront maintenus strictement confidentiels et ne seront pas transmis.
La Commission relève également que pour chaque projet de recherche les données collectées ne concerneront que trois cents personnes maximum et qu’elles seront conservées pendant cinq années à l’issue desquelles la société MORPHO s’engage à demander, le cas échéant, une prorogation.
De même, elle prend acte que le formulaire utilisé pour la collecte des données est accompagné d’un formulaire de consentement que les personnes concernées doivent signer et dans le cadre duquel elles sont informées de la possible transmission d’une partie de leurs données à caractère personnel vers des partenaires situés en dehors de l’Union européenne.
Ce formulaire indique également aux volontaires que l’information relative à la couleur de leur peau constitue une donnée sensible au sens de la loi « informatique et libertés » et qu’ils consentent expressément au traitement de cette donnée.
Compte tenu de ce qui précède, dans la mesure où seules les données des personnes volontaires seront traitées et ce dans le seul but d’évaluer des algorithmes de reconnaissance à des fins de recherche, les traitements soumis à la Commission et en particulier, le recours à la constitution de bases de données biométriques ne comportent pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d’accès, de rectification et de suppression s’exerceront auprès du Garant Informatique et libertés, relais du CIL, MORPHO, 18 rue de la Vanne, 92120 Montrouge.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom) ;
l’image des empreintes digitales ;
l’image des paumes ;
l’image de l’iris ;
l’image du visage ;
l’image du réseau veineux ;

la tranche d’âge ;
la couleur de peau.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée:
pour les données relatives à l’identité et aux coordonnées des personnes concernées : le responsable campagne d’acquisition de Morpho et le Garant Informatique et Libertés en cas d’exercice des droits d’accès, de rectification et de suppression ;
pour les autres données : la direction R&T, business Development de la société MORPHO et les partenaires européens de la société MORPHO (universités, laboratoires de recherche, PME et industriels européens liés à un partenariat de recherche avec Morpho régi par un accord de consortium).
Lorsque les destinataires sont situées dans des pays n’assurant pas un niveau de protection suffisant des données, le transfert de données devra être préalablement été autorisé par la Commission nationale de l’informatique et des libertés.
Dans ces conditions, la Commission autorise la société MORPHO, à mettre en œuvre le traitement de données à caractère personnel présenté.