La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Vu la demande d’autorisation présentée par la société ERAMET relative à un traitement de données à caractère personnel reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un support individuel et ayant pour finalité le contrôle d’accès à une application informatique permettant de réaliser des opérations bancaires ;
Sur le rapport de M. Jean-Paul AMOUDRY, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la société ERAMET d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un support individuel et ayant pour finalité le contrôle d’accès à une application informatique permettant de réaliser des opérations bancaires.
Il y a lieu de faire application des dispositions prévues à l’article 25, I, 8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Sur la finalité et les caractéristiques du traitement :
Afin de communiquer avec leur établissement financier, les entreprises ont recours à des protocoles de communication sécurisée. Ces protocoles permettent de procéder à des opérations bancaires notamment des virements, des ordres d’achat ou des confirmations de prêt dont certaines, en raison de leur importance ou de leur montant, peuvent être soumises à une procédure de double signature.
L’attribution d’un identifiant unique à chaque entreprise ne permet pas à la banque de contrôler que la personne ayant signé l’opération était habilitée à le faire. Dès lors, il appartient à chaque société de mettre en place un dispositif sécurisé permettant de contrôler que seules les personnes habilitées ont réalisé des opérations bancaires.
Le dispositif présenté est composé d’une clé USB comportant un lecteur biométrique. Il vise à sécuriser l’accès à un identifiant permettant de s’authentifier dans une application informatique dédiée à la réalisation d’opérations bancaires et de signer électroniquement ces opérations.
La Commission observe que ce dispositif n’a pas pour finalité le contrôle du temps de travail de l’utilisateur.
Le gabarit de l’empreinte digitale est exclusivement enregistré sous forme chiffrée par l’intermédiaire d’un algorithme cryptographique réputé fort sur la clé USB détenue uniquement par l’utilisateur, et dont l’usage est strictement individuel et professionnel. L’enrôlement s’effectue sur le poste informatique de l’utilisateur, en présence de personnes habilitées du service en charge de la sécurité informatique.
Le contrôle d’accès à l’identifiant s’effectue par comparaison entre le gabarit de l’empreinte digitale du doigt apposé sur le lecteur et le gabarit de l’empreinte digitale enregistré lors de l’enrôlement de l’utilisateur sur la clé USB. Afin de parer à un possible problème technique lié au dispositif biométrique, une solution alternative d’authentification telle qu’un identifiant et un mot de passe doit pouvoir être paramétrée sur le poste informatique.
La Commission prend acte qu’à aucun moment, le gabarit de l’empreinte digitale ne circulera sur un réseau, et qu’il n’est ni stocké ni archivé.
La Commission observe que seules les personnes habilitées à signer tout ou partie des opérations bancaires réalisées pour le compte de la société ERAMET seront concernées par ce traitement.
Sur les données collectées et la durée de conservation :
Seul le gabarit de l’empreinte digitale de deux doigts est enregistré sur la clé USB et non une image ou une photographie de l’empreinte digitale.
Un identifiant statique est également stocké sur la clé USB.
La durée de conservation du gabarit de l’empreinte digitale est égale au temps pendant lequel la personne concernée est habilitée à signer des transactions bancaires.
La Commission prend acte que le gabarit de l’empreinte digitale n’est pas associé aux traces de l’opération bancaire réalisée.
Sur l’information des personnes concernées :
Le responsable du traitement procède conformément aux dispositions des articles L. 2323-13, L. 2323-14 et L. 2323-32 du code du travail à l'information et à la consultation des instances représentatives du personnel avant la mise en œuvre de ce traitement.
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes sont informées de leurs droits par la remise d’une notice au moment de leur enrôlement et de la remise de la Clé USB.
Sur les mesures de sécurité :
Le responsable de traitement prend toutes précaution utiles pour préserver la sécurité et la confidentialité des données traitées notamment pour empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance. L’authentification de l’utilisateur à l’application informatique permettant de réaliser des opérations bancaires s’effectue soit par le dispositif biométrique, soit à l’aide d’un identifiant et un mot de passe.
La Commission prend acte qu’aucune conservation dans une ou plusieurs bases de données des gabarits biométriques des empreintes digitales n’est prévue. Les données biométriques ne sont conservées que sur la clé USB.
Les gabarits des empreintes digitales sont stockés sur la clé USB sous une forme chiffrée. En outre, les utilisateurs sont tenus de ne stocker aucune autre information sur ce support.
La Commission observe que l’identifiant permettant de s’authentifier dans l’application informatique est statique. La Commission rappelle qu’il est préférable d’avoir recours à un identifiant dynamique. Elle constate cependant qu’il est nécessaire de s’identifier à plusieurs reprises avant d’utiliser le dispositif biométrique. Dès lors, les mesures de sécurité mises en place sont de nature à sécuriser de manière satisfaisante le recours à ce dispositif.
Dans ces conditions, la Commission autorise la société ERAMET à mettre en œuvre un traitement automatisé de données à caractère personnel reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un support individuel et ayant pour finalité le contrôle d’accès à une application informatique permettant de réaliser des opérations bancaires.