(Demande d’autorisation n° 1643498)
La Commission nationale de l'informatique et des libertés,
Saisie par la Société Générale d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un système d’authentification par biométrie;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Société Générale a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative aux traitements automatisés nécessaires à l’expérimentation d’un service basé sur un moyen d'authentification biométrique.
La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour assurer le contrôle de l’identité des personnes. Il relève, à ce titre, du 8° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit  dès lors être autorisé par la CNIL.
Sur la finalité
La Société Générale envisage une expérimentation d’une solution d’authentification vocale.
L’expérimentation  permettra de tester l’outil de manière autonome sans modification des systèmes informatiques de la Société Générale. Au stade de l’expérimentation, aucun cas d’usage ne sera mis en œuvre.
Les personnes concernées par l’expérimentation sont uniquement les collaborateurs de la Société Générale (environ 200 personnes).
L’expérimentation est réalisée pendant une durée de 3 mois.
La participation est basée sur le volontariat.
Il s’agit d’analyser les performances de l’outil en termes de faisabilité, de qualité de la reconnaissance vocale par la mesure des faux positifs et faux négatifs, de fiabilité et enfin de facilité d’utilisation.
Les tests annoncés concernent :
Le logiciel de reconnaissance vocale est utilisé en authentification de la personne sur le poste informatique à usage strictement individuel.
la gestion des inscriptions et du déroulement de l’expérimentation
l’enregistrement des gabarits des voix
l’étude d’impact et calcul de retour sur investissement en vue d’un déploiement futur.
Suite à l’expérimentation, une étude générale interne  permettra d’évaluer  l’intérêt de la mise en place d’un outil d’authentification vocale et les éventuels cas d’usage dont il pourrait faire l’objet  ainsi que l’impact de la mise en œuvre de l’outil sur les systèmes informatiques et  l’organisation de la Société Générale.
Sur les données traitées
Les données collectées auprès des participants sont les suivantes :
Ces données sont collectées directement auprès de la personne concernée. Les données sont conservées pendant la durée de l’expérimentation, 3 mois maximum.
Identité : nom, prénom,
Vie professionnelle : numéro d’identité professionnel, courriel professionnel,
Biométrie : empreinte vocale, conservation uniquement du gabarit vocal de chaque utilisateur ne permettant pas de reconstituer l’échantillon vocal initial.
Sur les destinataires
Les destinataires des données sont :
le personnel habilité du prestataire (responsable en charge de la prestation, informaticiens, techniciens, etc.),
le personnel du déclarant dûment habilité (personnel du service en charge de la mise en œuvre du projet).
Sur l’information et le droit d’accès
Les personnes sont informées de la finalité poursuivie et des modalités de mise en œuvre de l’expérimentation lors de l’envoi des mails d’invitation et par l’apposition d’une mention d’information sur le formulaire d’inscription.
La Commission prend acte que les personnes ayant accepté de participer à l’expérimentation ne seront jamais obligées d’utiliser le service d’authentification biométrique.
Ainsi, les participants pourront à tout moment choisir d’utiliser une procédure alternative d’authentification par la saisie d’un identifiant et d’un mot de passe.
Sur les mesures de sécurité
Le système de reconnaissance vocale est le logiciel « Vocal Password » de la société Nuance Communication.
Les identifiants des gabarits ainsi que les gabarits font l’objet d’un chiffrement à l’état de l’art. Les gabarits sont également stockés sur un serveur sécurisé dans un format propriétaire ne permettant pas de reconstituer l’échantillon vocal initial.
L’accès aux locaux est sécurisé par des badges d’accès.
Une traçabilité est présente par une journalisation des accès à l’application et des accès aux fichiers de données en consultation, création, mise à jour et suppression. A ce titre, les informations collectées sont un horodatage de connexion et les identifiants de l’utilisateur et du poste de travail ainsi que les opérations effectuées et l’horaire de déconnexion.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur la communication d’un bilan
La Commission demande qu'au terme de l’expérimentation, lui soit adressé un bilan des modalités de fonctionnement et d’utilisation du dispositif. Le bilan devra notamment comporter les éléments suivants :
une description des conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté (taux de participation, temps moyen d’authentification, éventuels dysfonctionnements, causes des dysfonctionnements, taux de fausses acceptations, taux de faux rejets) ;
perception utilisateur (phase de l’enrôlement, ergonomie du service, acceptabilité de la biométrie vocale, taux d’utilisation et de non utilisation ;
une présentation des enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ;
suites envisagées par le responsable de traitement sur la base du bilan effectué : axe d’amélioration, abandon du projet, demande de nouvelle expérimentation, demande d’autorisation de mise en œuvre à titre permanent ;
Dans ces conditions, la Commission autorise la Société Générale à mettre en œuvre, à titre expérimental, selon les modalités décrites ci-dessus, et pour une durée de 3 mois, les traitements automatisés relatifs à l’utilisation du système d’authentification biométrique.
La Présidente
Isabelle FALQUE-PIERROTIN