(Demande d’autorisation 1509533)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la délibération n°2007-296 du 4 octobre 2007 autorisant la mise en œuvre par le Groupe des Ecoles des Télécommunications (GET) d’un traitement automatisé de données à caractère personnel ayant pour finalité principale l’évaluation d’algorithmes de reconnaissance de diverses données biométriques ;
Vu la demande d’autorisation présentée par le Groupe des Ecoles des Télécommunications (GET) concernant la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité principale l’évaluation d’algorithmes de reconnaissance de diverses données biométriques ;
Après avoir entendu Mme Marie-Hélène MITJAVILE, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
Le 4 octobre 2007, la Commission nationale de l’informatique des libertés a autorisé la mise en œuvre d’un projet présenté par le Groupe des Ecoles des Télécommunications (GET) dénommé « BioSecure ». Ce projet s’appuyait sur un « réseau d'excellence européen » coordonné par l’Institut National des Télécommunications (INT), regroupant 30 partenaires internationaux et fédérant des équipes européennes impliquées dans la recherche en biométrie. Les données collectées dans le cadre de ce projet ne devaient pas être conservées au-delà de trois années.
Le GET souhaitant continuer d’exploiter ces données, il saisit à nouveau la Commission d’une demande d’autorisation afin de prolonger la mise en œuvre de son traitement ayant pour finalité l’évaluation d’algorithmes de reconnaissance de diverses données biométriques.
Il y a lieu de faire, à nouveau, application des dispositions prévues à l’article 25-I 8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Il convient de rappeler que le programme «BIOSECURE » a pour finalité principale « la promotion et l’intégration de la recherche en biométrie pour des applications de sécurité au niveau européen ». C’est dans ce contexte que les différents partenaires ont constitué une base de données biométriques « multimodale » qui est utilisée pour effectuer des mesures de performance de différents algorithmes de reconnaissance.
L’évaluation porte sur des algorithmes de reconnaissance :
du visage en deux dimensions ;
des empreintes digitales ;
de la forme de la main ;
de la signature manuscrite ;
de l’iris ;
du visage parlant (image et son).
Des algorithmes dits de « fusion multimodale », c’est à dire permettant la reconnaissance d’une personne à partir de l’analyse simultanée de plusieurs caractéristiques biométriques, sont également testés.
La mise en œuvre du dispositif repose sur la collecte de données effectuées auprès du personnel du laboratoire et des étudiants du GET ainsi que des partenaires. Seules les données des personnes volontaires sont traitées. Il s’agit d’une centaine de personnes. Une partie des informations est récupérée via un formulaire. Les données biométriques sont quant à elles collectées dans les laboratoires de l’INT et de ses partenaires.
Comme indiqué lors de la demande initiale, la base de données en résultant a vocation à être distribuée parmi tous les partenaires de BIOSECURE. C’est la raison pour laquelle l’association BIOSECURE a été créée. Sa mission est de mutualiser les bases de données biométriques des différents partenaires, sans avoir accès aux données d’identification. Cette centralisation et distribution des données par l’association BIOSECURE fait l’objet d’une demande d’autorisation distincte.
S’agissant du GET, la demande concerne la constitution et la conservation d’une base de données biométriques ainsi que des données d’identification associées.
Le stockage des gabarits ou des données brutes est effectué sur un serveur situé dans un local à accès restreint (fermé à clé et à digicode), accessible uniquement dans la journée.
La correspondance entre l’identité des personnes (nom, prénom et coordonnées) et le code identifiant figurant dans la base de données biométriques s’effectue grâce à un fichier distinct qui est sauvegardé sur un CD-ROM et conservé dans un coffre fort sous le contrôle de la personne responsable du projet. Les formulaires remplis par les participants à la campagne d’acquisition des données y sont également conservés.
Une partie des données, à l’exception des données d’identification, peut être distribuée à des chercheurs pour effectuer des traitements (algorithmes biométriques),  après validation du responsable du projet.
La Commission prend acte que lors de la transmission des données biométriques, le nom et les coordonnées des volontaires seront gardés et maintenus strictement confidentiels par le GET.
De même, elle prend acte que le formulaire utilisé pour la collecte des données est accompagné d’un formulaire de consentement que les personnes concernées ont signé et dans le cadre duquel elles sont informées de la possible transmission d’une partie de leurs données à caractère personnel vers des laboratoires de recherche situés en dehors de l’Union européenne.
Compte tenu de ce qui précède, dans la mesure où seules les données biométriques des personnes volontaires sont traitées et ce, dans le seul but d’évaluer des algorithmes de reconnaissance à des fins de recherche, les traitements soumis à la Commission et, en particulier, le recours à la constitution de bases de données biométriques ne comportent pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d’accès et de rectification s’exercent auprès du chef du département électronique et physique de l’INT d’Evry – 9 rue Charles Fournier – 91011 Evry Cedex.
Les catégories de données à caractère personnel enregistrées sont :
les données d’identification et d’état civil des participants : nom, prénom, coordonnées, âge, sexe, numéro identifiant ;
les données biométriques : image du visage, visage parlant audio/vidéo, signature manuscrite, image de l’iris, image d’empreintes digitales, image de la main) ;
leur vie personnelle : indication droitier ou gaucher, travailleur manuel ou non, support visuel (lentilles ou verres de contact), et niveau d’anglais (bas/moyen/bilingue).
Les destinataires des informations sont, dans la limite de leurs attributions et pour la poursuite de la finalité précitée:
pour les données relatives au nom, prénom et aux coordonnées des personnes concernées : le chef du département électronique et physique de l’INT d’Evry ;
pour les autres données : les personnels des laboratoires et services de recherche en charge du projet BIOSECURE du GET et de ses partenaires, notamment l’association BIOSECURE.
De même pourront être destinataires des informations, à l’exclusion des données d’identification, les organismes publics ou privés bénéficiant d’une licence d’exploitation de la base sous réserve que :
les traitements soient mis en œuvre pour leurs besoins propres de recherche interne et dans le seul but de tester des systèmes de reconnaissance automatiques, à l’exclusion de toute exploitation industrielle ou commerciale de la base ;
la confidentialité des données soit garantie dans les mêmes conditions que pour les membres de l’association.
La Commission rappelle que lorsque les destinataires sont situées dans des pays n’assurant pas un niveau de protection suffisant des données, le transfert de données doit préalablement être autorisé par la Commission nationale de l’informatique et des libertés.
Dans ces conditions, la Commission autorise le Groupe des Ecoles des Télécommunications (GET), à mettre en œuvre le traitement de données à caractère personnel présenté.