(Demande d’autorisation n° 1827724)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Electricité de France (EDF) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès aux locaux professionnels par reconnaissance combinée du réseau veineux des doigts de la main et de l’empreinte digitale ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Responsable du traitement
En tant que producteur et fournisseur d'électricité en France et dans le monde, Electricité de France (EDF) gère plusieurs centrales nucléaires.
Sur la finalité et les caractéristiques du traitement
Dans le contexte d’élévation de la menace et du niveau de sécurité des zones sensibles des centres nucléaires de production d’électricité, le ministère de l’écologie, du développement durable, des transports et du logement a adopté, le 10 juin 2011 un arrêté relatif à la protection physique des installations abritant des matières nucléaires dont la détention relève d’une autorisation, prévoyant la mise en place de contrôle d’accès biométriques aux zones sensibles. Avant de décider de la technologie retenue, EDF souhaite tester différents dispositifs biométriques.
Le dispositif biométrique bimodal, fondé sur la reconnaissance de l’empreinte digitale et du réseau veineux d’un doigt de chaque main, soumis à la présente autorisation, est mis en œuvre dans le cadre des tests réalisés sur le site de la centrale nucléaire de Golfech, afin de répondre aux exigences règlementaires précitées et ainsi lutter contre le risque d’usurpation d’identité et d’intrusion non autorisée lors de l’accès aux zones sensibles du site de Golfech.
Le dispositif biométrique bimodal permet de maintenir un niveau de sécurité constant, compte tenu de la fréquence des passages sur le site, de la nécessité de pouvoir accéder aux installations protégées à toute heure du jour comme de la nuit. Le dispositif intervient en complément des mécanismes de contrôle d’accès par badge.
Le dispositif fonctionne en authentification. Il est composé de plusieurs lecteurs permettant de lire le réseau veineux d’un doigt d’une personne ainsi que l’empreinte digitale du même doigt de manière quasi simultanée. La reconnaissance biométrique utilisée est fondée sur la comparaison d‘informations issues à la fois de l’empreinte digitale et du réseau veineux de l’individu à un gabarit unique.
Le gabarit est stocké sur une base centrale dédiée au contrôle d’accès, isolée du réseau de l’entreprise. Il est associé au numéro de badge de la personne concernée.
L’enrôlement est réalisé lors de la création et la validation du badge d’accès au site, par du personnel d’EDF spécifiquement formé.
Le recours à la biométrie multimodale améliore les performances globales des dispositifs biométriques en offrant plus de critères de contrôle, en renforçant ainsi le niveau d’authentification et en compensant les faiblesses, avérées ou supposées, d’une biométrie par une autre. La solution utilisée permet de limiter les risques sur les individus.
La Commission considère que la finalité ainsi définie est déterminée, explicite et légitime.
Sur les données traitées
Les données concernent les salariés habilités.
Il s’agit :
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
des données d’identification : nom et prénom des personnes concernées ;
de l’historique d’accès aux locaux : horodatage des accès et identifiant du lecteur ;
des données biométriques de l’empreinte digitale et du réseau veineux de deux doigts.
Sur la durée de conservation des données
Les données relatives à l’historique d’accès et les données d’identification sont conservées sur une période de trois mois glissants.
Les gabarits ne sont conservés que le temps de l’habilitation d’accès de la personne concernée, dans la base. En cas de départ de cette dernière, le  gabarit biométrique est immédiatement supprimé. Si le dispositif bimodal testé n’est pas retenu comme solution définitive par EDF, les gabarits biométriques stockées seront supprimés.
Sur les destinataires
Seul le personnel spécifiquement habilité de la centrale nucléaire de Golfech peut accéder aux données d’identification ainsi qu’à l’historique d’accès, ce qui n’appelle pas d’observation de la Commission.
Sur l’information et le droit d’accès
Le dispositif a fait l’objet d’une consultation des instances représentatives du personnel.
Les personnes concernées sont informées de manière individuelle, par un message électronique d’information spécifique et détaillé et lors d’une réunion d’information.
Les droits s’exercent auprès des services du responsable de traitement.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
Une formation est dispensée par l’intégrateur à toutes les personnes habilitées. En cas de faille de sécurité, le personnel de sécurité présent sur site est formé pour réagir rapidement selon la situation.
En cas de défaillance, le fournisseur du dispositif intervient sur place sous le contrôle du responsable du traitement. En cas d’échec d’authentification, la personne concernée saisit un code et l’échec d'authentification sera comptabilisé. Cette première étape provisoire permet d'estimer le volume des blocages. L'étape suivante ne débutera que si le taux est bas et que le système s’avère donc performant. Cette étape conduira à bloquer définitivement l’accédant. Une alarme apparaîtra au poste de contrôle sécurité et une visualisation automatique de l'accédant se fera. Le poste de contrôle sécurité se mettra en liaison phonique avec l'accédant (interphone) et décidera alors des actions à réaliser (nouvel enrôlement notamment).
Compte tenu de l’objectif de sécurité recherché, des exigences fortes de fiabilité du système et de sécurité des données traitées ont été définies. A titre principal, il s’agit :
Enfin, la Commission souligne que le dispositif utilisé apporte les deux garanties suivantes :
du choix spécifique du dispositif biométrique limitant les risques de fausse acceptation (personne faussement reconnue et autorisée à accéder de manière illégitime) ;
du chiffrement du gabarit (format propriétaire) avec une clé spécifique au traitement ;
du signalement de toute tentative d’accès aux lecteurs (dispositif anti-arrachement) ;
du signalement de toute tentative d’accès par une personne dont le gabarit d’empreinte ne se trouve pas dans le lecteur ;
du nombre limité de personnes habilitées à la gestion (enrôlement, administration) du dispositif.
le gabarit ne peut pas permettre de créer un gabarit utilisable pour une seule des deux biométries ;
le gabarit ne permet pas de recalculer l’image correspondante du réseau veineux ou de l’empreinte digitale.
Les mesures de sécurité mises en place sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
du choix spécifique du dispositif biométrique limitant les risques de fausse acceptation (personne faussement reconnue et autorisée à accéder de manière illégitime) ;
du chiffrement du gabarit (format propriétaire) avec une clé spécifique au traitement ;
du signalement de toute tentative d’accès aux lecteurs (dispositif anti-arrachement) ;
du signalement de toute tentative d’accès par une personne dont le gabarit d’empreinte ne se trouve pas dans le lecteur ;
du nombre limité de personnes habilitées à la gestion (enrôlement, administration) du dispositif.
le gabarit ne peut pas permettre de créer un gabarit utilisable pour une seule des deux biométries ;
le gabarit ne permet pas de recalculer l’image correspondante du réseau veineux ou de l’empreinte digitale.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, la société Electricité de France à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN