(Demande d’autorisation n°1635018)
La Commission nationale de l'informatique et des libertés,
Saisie par la société NATURAL SECURITY d’une demande d’autorisation relative à un traitement de données à caractère personnel ayant pour finalité l’expérimentation d’un dispositif de contrôle de la signature d’un document électronique par reconnaissance des empreintes digitales ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de M. Emmanuel de GIVRY commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Conformément à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée, la société NATURAL SECURITY a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à un traitement de données à caractère personnel ayant pour finalité l’expérimentation d’un dispositif de contrôle de la signature d’un document électronique par reconnaissance des empreintes digitales.
La société NATURAL SECURITY souhaite mettre en place, à titre expérimental, et ce, pour une durée de 3 mois, un dispositif biométrique de reconnaissance des empreintes digitales sur un support individuel et personnel permettant une authentification forte de la signature électronique émise par le signataire.
En effet, pour valider et signer un document (en l’espèce un fichier pdf), l’utilisateur est invité à s’authentifier en présentant son doigt sur le lecteur biométrique. Le lecteur biométrique détecte l’élément sécurisé du support personnel de l’utilisateur. Après authentification de l’utilisateur, le dispositif de signature électronique de documents pdf peut être enclenché de sorte que le support personnel sécurisé opère une signature du document.
Seuls les salariés volontaires de la société Natural Security participeront à l’expérimentation.
Sur la finalité du traitement
La finalité de l’expérimentation est de tester la fiabilité d’une solution de contrôle de la signature d’un document électronique par authentification biométrique.
En effet, la Commission prend acte que dans la recherche d’une plus grande fiabilité de ses méthodes d’authentification, la société NATURAL SECURITY souhaite faire évoluer son système bicéphale reposant :
d’une part, sur un dispositif biométrique par reconnaissance des empreintes digitales stockées sur un support individuel ;
d’autre part, sur des applications permettant l’authentification des utilisateurs.
Au regard de l’apport qu’est susceptible d’apporter cette expérimentation, la Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur la nature des données traitées
Les données à caractère personnel collectées et traitées de chaque participant seront :
l’identité du participant (nom et prénom) ;
la fonction dans la société ;
les gabarits chiffrés de 2 empreintes digitales par main (soit 4 au total).
Les données seront collectées directement auprès de la personne concernée avec son accord. La Commission considère que ces données sont pertinentes et proportionnées au regard de la finalité poursuivie.
Sur la durée de conservation des données
Les gabarits des empreintes digitales sont exclusivement stockés sur un support individuel et seront conservés pendant une durée maximale de 3 mois. Dès la fin de l’expérimentation le support individuel ainsi que les données biométriques seront détruits.
Les données permettant l’analyse des résultats de l’expérimentation, issues des fichiers d’incidents et des questionnaires remplis par les utilisateurs seront conservées pour une durée de 3 mois et 2 semaines. Le fichier sera ensuite détruit.
La Commission considère que cette durée de conservation est conforme aux exigences de l’article 6-5° de la loi du 6 janvier 1978 modifiée compte tenu que l’expérimentation sera mise en œuvre pour une durée de 3 mois et qu’un bilan de sera établi 2 semaines après la fin de l’expérimentation.
Sur les destinataires des données
L’expérimentation ne prévoit aucun destinataire : les gabarits des empreintes digitales seront exclusivement stockés de manière chiffrée sur le support individuel, sous le contrôle de la personne concernée, seule porteuse de ses données. Cela n’appelle pas d’observation de la Commission.
Les autres données nécessaires à l’exploitation des résultats de l’expérimentation seront adressées au correspondant dédié à la gestion de l’expérimentation et au Directeur Marketing en charge de l’expérimentation.
Sur l'information et les droits des personnes
Dans la mesure où il n’y a pas d’instance représentative du personnel, la société  NATURAL SECURITY informe l’ensemble de son personnel de la mise en œuvre du dispositif au moyen d’un affichage dédié dans un lieu de passage de l’entreprise. En outre, un agent sera spécialement désigné pour répondre à toutes les questions des participants pendant la durée de l’expérimentation.
L’expérimentation sera proposée à l’ensemble du personnel de la société NATURAL SECURITY sur la base du volontariat. Le souhait de participer sera recueilli par écrit, via la signature d’un formulaire spécifique les informant notamment de leurs droits et des informations recueillies les concernant.
Les salariés refusant de participer au test continueront à utiliser le système actuel de signature électronique via un mot de passe et un identifiant qui reste disponible sans aucune contrainte organisationnelle ou technique additionnelle, et sans surcoût.
Aussi, conformément aux exigences de l’article 7 de la loi du 6 janvier 1978 modifiée, les personnes ayant accepté de participer à l’expérimentation pourront à tout moment, et sans motif, mettre fin à leur participation en s’adressant au correspondant dédié à l’expérimentation. La prise d’effet de cette demande sera immédiate.
La Commission considère que ces modalités d’information et d’exercice des droits sont conformes aux dispositions des articles 39 et 40 de la loi du 6 janvier 1978 modifiée.
Sur la sécurité des données et la traçabilité des actions
La société NATURAL SECURITY a retenu dans le cadre expérimental du dispositif biométrique des mesures techniques et organisationnelles garantissant la sécurité et la confidentialité des données traitées, dont notamment un chiffrement des données biométriques et l’existence d’une gestion des habilitations.
Une procédure de destruction et d’effacement des données stockées sur la clé sera mise en œuvre dès la fin de l’expérimentation.
Une traçabilité sera présente par une journalisation des accès à l’application. A ce titre, les informations collectées sont un horodatage de connexion et de déconnexion ainsi que les opérations effectuées. La Commission prend acte de l’absence de collecte de l’identifiant de l’utilisateur et du poste de travail.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessitera la mise à jour des mesures de sécurité au regard d’une réévaluation régulière des risques.
Sur la présentation d’un bilan
La Commission prend acte que la société NATURAL SECURITY s’est engagée à adresser à la CNIL un bilan détaillé à l’échéance d’un délai de deux mois à compter de la fin de l’expérimentation, présentant notamment :
une description des conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté (courte description et tableau statistique récapitulatif précisant par exemple la population concernée, le taux de participation, l’acceptabilité, d’éventuels dysfonctionnements liés à certaines catégories de personnes et aux échecs à l’enrôlement) ;
des éléments de conclusion généraux relatifs aux connaissances et aux perspectives d’exploitation technique, économique ou sociétale de ces apports;
une présentation détaillée des enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ;
les suites envisagées par la société NATURAL SECURITY sur la base du bilan effectué (abandon du projet, demande de nouvelle expérimentation, demande d’autorisation de mise en œuvre à titre permanent).
Dans ces conditions, la Commission autorise la société NATURAL SECURITY  à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité l’expérimentation d’un dispositif de contrôle de la signature d’un document électronique par reconnaissance des empreintes digitales.
La Présidente
Isabelle FALQUE-PIERROTIN