(Demande d’autorisation n° 1974779)
La Commission nationale de l'informatique et des libertés,
Saisie par le GIE EURECOM d’une demande de modification de la délibération n° 2012-099 du 5 avril 2012 autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation des performances d’un capteur de type Microsoft Kinect TM pour la reconnaissance du visage ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Le GIE EURECOM a saisi la Commission nationale de l’informatique et des libertés d’une demande de modification de la délibération n° 2012-099 du 5 avril 2012 autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation des performances d’un capteur de type Microsoft Kinect TM pour la reconnaissance du visage. L’objet de cette modification porte sur le changement de capteur et sur la prolongation du traitement d’une durée de trois ans.
Responsable du traitement
Le GIE EURECOM est une école d’ingénieurs et un centre de recherche en systèmes de communication, organisé en groupement d’intérêt économique (GIE) qui associe partenaires
académiques et industriels internationaux.
Sur la finalité
Le 5 avril 2012, la Commission nationale de l’informatique et des libertés a autorisé la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation des performances d’un capteur de type Microsoft Kinect © pour la reconnaissance du visage.
Aux termes de cette autorisation, les utilisateurs de la base de données s’engageaient à ne pas traiter les données à des fins commerciales ainsi qu’à détruire la base en leur possession à l’issue de trois ans, sauf autorisation de la Commission nationale de l’informatique et des libertés permettant de prolonger cette période.
Le GIE EURECOM souhaitant continuer d’exploiter ces données, il saisit à nouveau la Commission d’une demande d’autorisation afin de prolonger la mise en œuvre de son traitement, pour une durée de trois ans, dans les conditions précisées par la délibération n° 2012-099 du 5 avril 2012.
Il y a lieu de faire, à nouveau, application des dispositions prévues à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Il convient de rappeler que le traitement a pour objectif de créer une base de données de visages à partir du nouveau capteur Lytro qui est une caméra permettant de contrôler les jeux vidéo d’une console sans utiliser de manette. Cette caméra permet d’interagir par reconnaissance de mouvement et d’image.
Le capteur Lytro sera évalué avec différents systèmes d’authentification biométrique liés à l’information du visage dans des milieux semi-contraints, et plus précisément sur :
Pour cela, des séquences vidéo des personnes enrôlées seront enregistrées afin de constituer des gabarits.
des systèmes d’identification par le visage 2D et 3D ;
des systèmes de détection des yeux dans les images 2D;
des systèmes de reconstruction 3D du visage ;
des systèmes multimodaux.
La Commission estime que la finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données traitées sont relatives :
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité pour laquelle elles sont collectées
au visage 2D et 3D
aux noms, prénoms ;  adresse ; téléphone ; adresse électronique ; âge et sexe
à un identifiant unique (attribué à chaque personne)
Sur les destinataires
Les organismes publics ou privés bénéficiant d’une licence d’exploitation de la base sous réserve que :
La Commission prend acte que les laboratoires de recherche souhaitant recevoir la base de données s’engageront, au préalable et par écrit, à ne pas divulguer les données, à n’utiliser les données qu’à des fins de recherche, et à ne publier que les résultats obtenus à partir de ces données, ne permettant pas d’identifier directement ou indirectement les personnes, sauf accord express.
les traitements soient mis en œuvre pour leurs besoins propres de recherche interne, à l’exclusion de toute exploitation industrielle ou commerciale de la base ;
la confidentialité des données soit garantie dans les mêmes conditions qu’au sein du GIE EURECOM.
La Commission rappelle que lorsque les destinataires sont situées dans des pays n’assurant pas un niveau de protection suffisant des données, le transfert de données doit faire l’objet d’un encadrement contractuel soumis pour autorisation préalable à la Commission nationale de l’informatique et des libertés, conformément aux dispositions de l’article 69 de la loi du 6 janvier 1978 susvisée.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
L’information des personnes est réalisée à l’aide d’un formulaire de recueil de consentement qu’elles doivent signer.
Dans l’hypothèse où des données biométriques seraient utilisées pour illustrer les résultats des travaux de recherche, les personnes en seront informées et leur accord sera spécifiquement demandé.
Les droits d’accès et de rectification s’exerceront auprès du service juridique du GIE EURECOM, 2229 route des crêtes, 06560 VALBONNE.
Sur les mesures de sécurité
La Commission constate que les données d’identification (nom, prénoms, et coordonnées) sont disjointes de la base de données biométriques constituée, et ne seront jamais communiquées. Elles seront conservées sous format papier et rangées dans un coffre-fort localisé dans un bureau sécurisé dont l’accès est réservé aux personnes habilitées.
Seront stockées dans les mêmes conditions les données d’identification que sont l’âge et le sexe des personnes accompagnées de l’identifiant unique. Ces données (âge et sexe) pourront être communiquées sur demande aux organismes partenaires, si elles sont considérées comme nécessaires pour le projet de recherche.
En cas de communication aux organismes partenaires, toutes les données seront transmises sur un Cd-rom chiffré, la clé de déchiffrement étant transmise séparément.
Les mesures de sécurité mises en place sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les utilisateurs de la base de données s’engagent à ne pas utiliser le traitement à des fins commerciales ainsi qu’à détruire la base en leur possession à l’issue de trois ans, sauf autorisation de la Commission nationale de l’informatique et des libertés permettant de prolonger cette période.
Autorise, conformément à la présente délibération, le GIE EURECOM à mettre en œuvre le traitement susmentionné.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS