La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée et notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifié ;
Vu la demande d’autorisation de la société PROBAYES et ses compléments relative à un traitement de données à caractère personnel reposant sur la reconnaissance de la frappe au clavier et ayant pour finalité la démonstration de son  fonctionnement à de potentiels clients ;
Sur la proposition de M. Bernard Peyrat, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, Commissaire du Gouvernement ;
Formule les observations suivantes :
La société PROBAYES souhaite présenter dans le cadre de démonstration à de potentiels clients le fonctionnement d’un dispositif biométrique de reconnaissance par frappe au clavier.
Ce dispositif biométrique s'appuie sur la variation de la durée séparant la frappe de deux touches du clavier d'un ordinateur pour la saisie d’un identifiant et d’un mot de passe d’une séquence de huit caractères au minimum chacun. Il concernera uniquement les personnes volontaires lors des démonstrations et les salariés de la société PROBAYES dont l’activité professionnelle a pour objet de présenter ce dispositif.
Il y a lieu de faire application des dispositions prévues à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Les personnes pourront accéder à un système d’information de démonstration. Le contrôle d'accès s'effectuera par comparaison entre le gabarit de la frappe au clavier lors de la tentative d’accès au dispositif par la personne et le gabarit de sa frappe au clavier préalablement enregistré.
Les utilisateurs seront informés, au moment de la collecte de leurs données par la remise d’une note d’information et/ou par le bais d’une mention d’information sur son site internet, que les données biométriques recueillies seront utilisées dans un but uniquement de démonstration commerciale.
Les catégories de données à caractère personnel enregistrées seront :
Nom, prénom et/ou pseudonyme ;
Le gabarit de la frappe au clavier ;
L’adresse IP.
Les données traitées apparaissent pertinentes au regard de la finalité poursuivie par le traitement.
L’ensemble des données personnelles des personnes volontaires seront conservées par la société PROBAYES uniquement le temps de la démonstration.
Les données biométriques des salariés de PROBAYES seront supprimées lorsqu’ils ne seront plus en charge d’effectuer des démonstrations de ce dispositif biométrique. Leurs adresses IP seront conservées six mois à compter du jour de la connexion au dispositif.
Le dispositif reposera sur un identifiant et un mot de passe et également sur la reconnaissance de la frappe au clavier de ces données.
La Commission rappelle qu’elle est particulièrement vigilante sur le risque de dispersion des données biométriques, que son origine en soit accidentelle ou malveillante.  Cependant, la Commission constate que plusieurs mesures de sécurité seront mises en œuvre afin de garantir la protection des données. Les gabarits biométriques des personnes enrôlées seront chiffrés par l’intermédiaire d’un algorithme public réputé fort. La clef de chiffrement utilisée sera spécifique à la société PROBAYES. La base de données qui contient les gabarits biométriques chiffrés sera hébergée par la société PROBAYES et non par un prestataire. La société PROBAYES s’assurera qu’aucun logiciel ou dispositif matériel permettant d’enregistrer puis de simuler les caractéristiques de la frappe clavier d’une personne, à son insu notamment, ne pourra être installé sur le poste informatique.
Compte tenu de ce qui précède, dans la mesure où seules les données des personnes volontaires seront traitées, de l’absence de conservation de leurs données à l’issue de la démonstration, au regard des mesures de sécurité mises en œuvre et de l’utilisation de cette biométrie en complément d’un identifiant et d’un mot de passe, le traitement soumis à la Commission et en particulier, le recours à la constitution de bases de données biométriques, ne comporte pas en l’espèce de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d’accès, de rectification et d’opposition s’exerceront, conformément à l’article 32, par courrier auprès de la PROBAYES 345, RUE LAVOISIER, 38330 MONTBONNOT
Le destinataire des informations sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, l’administrateur du dispositif de la société PROBAYES.
Dans ces conditions, la Commission autorise, la société PROBAYES à mettre en œuvre le traitement de données à caractère personnel présenté.
La Présidente,
Isabelle FALQUE-PIERROTIN