La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Didier GASSE, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société Thales Security Systems d’un traitement automatisé comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Formule les observations suivantes :
La société Thales Security Systems a initié un projet de recherche intitulé Vérification d’Identité Numérique Sécurisée Itinérante (VINSI) dont l’objectif est :
de tester et d’améliorer les processus de capture, de reconnaissance, de comparaison et de visualisation des données biométriques ;
de concevoir une plate-forme de vérification d’identité numérique reposant sur un terminal mobile sécurisé capable d’effectuer de la reconnaissance d’empreintes digitales et de visages de personnes.
Ce terminal mobile devrait permettre, sur la base d’un traitement des empreintes digitales ou du visage, d’une part, de s’assurer que le porteur d’un document d’identité électronique en est bien le titulaire légitime, d’autre part, d’identifier une personne via interrogation d’une base de données biométriques distante.
Afin de réaliser les travaux de recherche précités, la société Thales Security Systems souhaite constituer une base de données d’empreintes digitales et de photographies de visages et s’appuie sur des partenariats avec les organismes suivants :
la société Trusted Lab (responsable de la sécurisation du terminal mobile) ;
l’Institut Telecom (développement des algorithmes de reconnaissance faciale et de fusion biométrique) ;
la société Thales e-Transactions (en charge du développement du terminal) ;
la société Trusted Logic (développement des algorithmes de reconnaissance des empreintes digitales).
La collecte de données s’effectuera auprès d’une cinquantaine de personnes parmi le personnel de la société Thales Security Systems et de ses partenaires. Seules les données des personnes volontaires seront traitées. Les traitements effectuées sur les données biométriques, y compris par les organismes partenaires, seront exclusivement réalisés dans les locaux de la société Thales Security Systems.
Le gabarit de l’empreinte digitale et du visage des personnes volontaires seront associées à leurs données d’état civil nécessaires à la création d’un « document d’identité » utilisé dans le cadre du programme de recherche : nom, prénom, date et lieu de naissance, sexe, taille et couleur des yeux. Ces données seront conservées pendant trois ans. L’information des personnes concernées ainsi que le recueil de leur consentement à faire partie du programme de recherche s’effectuera via un document qui devra être signé.
La Commission souligne que :
son autorisation ne porte que sur un programme de recherche et ne saurait être interprétée comme l’acceptation tacite de futures demandes relatives à l’utilisation d’une plate-forme de vérification d’identité numérique reposant sur un terminal mobile ;
la demande présentée par la société Thales sur la mise en œuvre du dispositif projeté à des fins de recherche ne saurait avoir valeur de labellisation de la technologie présentée.
Dans la mesure où seules les données biométriques des personnes volontaires seront traitées et ce, dans le seul but de procéder à des travaux de recherche destinés à tester et améliorer les processus de capture, de reconnaissance, de comparaison et de visualisation des données biométriques et à concevoir une plate-forme de vérification d’identité numérique, les traitements soumis à la Commission sont adaptés et proportionnés à la finalité assignée au dispositif au regard de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de la division technique biométrie – Thales Security Systems – 18 avenue du Maréchal Juin – 92362 Meudon La Forêt Cedex.
Les catégories de données à caractère personnel enregistrées seront :
le gabarit de l’empreinte digitale ;
la photographie du visage ;
l’identité (nom, prénom) ;
la date et lieu de naissance,
l’indication du sexe,
la taille ;
la couleur des yeux.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnes habilitées de la division technique biométrie de la société Thales Security Systems et les partenaires du projet VINSI.
Dans ces conditions, la Commission autorise la société Thales Security Systems, à mettre en œuvre le traitement de données à caractère personnel présenté.