La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, modifié le 25 mars 2007 ;
Vu la demande d'autorisation présentée par la manufacture française de pneumatique Michelin concernant la mise en oeuvre d'un traitement automatisé de données à caractère personnel reposant sur un procédé de reconnaissance vocale et ayant pour finalité la gestion des mots de passe ;
Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l'informatique des libertés a été saisie par la manufacture française de pneumatique Michelin d'une demande d'autorisation relative à la mise en oeuvre d'un traitement automatisé de données à caractère personnel reposant sur un procédé de reconnaissance vocale et ayant pour finalité la gestion des mots de passe.
Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Le dispositif a pour objet de sécuriser et de faciliter la gestion et la réinitialisation des mots de passe utilisés pour accéder au système d'information de la société Michelin.  Il s'agit de mettre à la disposition des employés un dispositif permettant de générer et de réinitialiser automatiquement les mots de passe.
Le dispositif reposera sur la reconnaissance du gabarit de l'empreinte de la voix des employés.  Lors de la procédure d'enrôlement l'employé procédera à l'enregistrement du gabarit de son empreinte vocale grâce à la répétition de plusieurs couples de prénoms choisis aléatoirement parmi plus de 4000 combinaisons possibles.
Pour réinitialiser leur mot de passe informatique, les employés appelleront un serveur vocal.
Lors de la réinitialisation d'un mot de passe, le dispositif procédera à une comparaison entre les mots répétés par l'utilisateur au profil de référence, c'est à dire au gabarit de l'empreinte vocale de la personne.  Une fois que l'utilisateur a été correctement authentifié, l'application réinitialise le mot de passe et le communique à l'utilisateur.  Les données seront conservées le temps de l'existence du compte informatique de l'employé.
Les employés seront informés par la remise d'une note et par affichage.  Une plaquette ainsi qu'un manuel d'utilisation seront également distribués afin de sensibiliser les personnes concernées aux problématiques de sécurité ainsi qu'à la nécessité de garder secret les couples de prénoms ayant servi lors de l'enrôlement.
La Commission observe que les caractéristiques techniques du dispositif, telles qu'elles lui ont été soumises, permettent de considérer qu'en l'état des connaissances sur la technologie utilisée, le gabarit de l'empreinte vocale de la personne ne constitue pas une donnée biométrique qui "laisse des traces" pouvant être utilisées à des fins d'identification des personnes.
En outre, compte tenu des modalités de mise en oeuvre du dispositif et notamment des moyens utilisés pour garantir la sécurité des données et prévenir tout risque d'usurpation d'identité ou d'utilisation des données pour d'autres finalités, le recours à la constitution d'une base de données de gabarit d'empreintes vocales aux fins de gérer les mots de passe informatique est adapté et proportionné à la finalité assignée au dispositif, au regard de la protection des données personnelles.
Les droits d'accès et de rectification s'exerceront auprès du responsable informatique pour la France de la manufacture française de pneumatique Michelin, 23 place de Carmes Déchaux - 64040 Clermont-Ferrand cedex 9.
Les catégories de données à caractère personnel enregistrées seront :
- l'identité des employés ;
- l'identifiant de l'employé.
Le destinataire des informations sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, le responsable informatique France de la manufacture française de pneumatique Michelin.
Dans ces conditions, la Commission autorise la manufacture française de pneumatique Michelin, à mettre en oeuvre le traitement de données à caractère personnel présenté.
Le Président Alex TURK.