(Demande d’autorisation n° 1549539)
La Commission nationale de l’informatique et des libertés,
Saisie par le GIE EURECOM d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l'évaluation de la sécurité des systèmes biométriques reposant sur la reconnaissance du visage, de la voix ou du visage parlant;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le GIE EURECOM
Sur la finalité
Le GIE EURECOM est une école d’ingénieurs et un centre de recherche en systèmes de communication, organisé en groupement d’intérêt économique (GIE) qui associe partenaires
académiques et industriels internationaux.
Le traitement a pour finalité l'évaluation de la sécurité des systèmes biométriques reposant sur la reconnaissance du visage, de la voix ou du visage parlant.
Il s’inscrit dans le cadre du projet de recherche européen, TABULA RASA, qui vise à évaluer la sécurité des systèmes biométriques face à une tentative de les tromper (modification d’apparence, changement de voix..). En l’occurrence, le projet du GIE EURECOM évaluera les systèmes biométriques sur :
Pour cela, des séquences vidéo et audio des personnes enrôlées seront enregistrées afin de constituer des gabarits.
la reconnaissance du visage,
La reconnaissance de la voix,
La reconnaissance du visage parlant.
Il y a lieu de faire application des dispositions prévues à l’article 25-I 8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
La Commission constate que la finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données traitées sont relatives :
Les données collectées sont adéquates, pertinentes et non excessives au regard de la finalité.
au visage, à la voix
aux noms, prénoms ; adresse ; téléphone ; adresse électronique ;
à un identifiant unique dans le cadre du programme de recherche faisant apparaître le sexe par la mention F ou M (première lettre de l’identifiant)
Sur les destinataires
Sont destinataires les organismes publics ou privés, membres du projet TABULA RASA, et bénéficiant d’une licence d’exploitation de la base sous réserve que :
La Commission prend acte que les organismes souhaitant recevoir la base de données s’engageront, au préalable et par écrit, à ne pas divulguer les données, à n’utiliser les données qu’à des fins de recherche, et à ne publier que les résultats obtenus à partir de ces données, ne permettant pas d’identifier directement ou indirectement les personnes, sauf accord express.
les traitements soient mis en œuvre pour leurs besoins propres de recherche interne, à l’exclusion de toute exploitation industrielle ou commerciale de la base ;
la confidentialité des données soit garantie dans les mêmes conditions que pour le GIE EURECOM.
La Commission rappelle que lorsque les destinataires sont situées dans des pays n’assurant pas un niveau de protection suffisant des données, le transfert de données doit faire l’objet d’un encadrement contractuel soumis pour autorisation préalable à la Commission nationale de l’informatique et des libertés, conformément aux dispositions de l’article 69 de la loi du 6 janvier 1978 susvisée.
Sur l’information et le droit d’accès
L’information des personnes est réalisée à l’aide d’un formulaire de recueil de consentement qu’elles doivent signer.
Dans l’hypothèse où des données biométriques seraient utilisées pour illustrer les résultats des travaux de recherche, les personnes en seront informées et leur accord sera spécifiquement demandé.
Les droits d’accès et de rectification s’exerceront auprès du service juridique du GIE EURECOM, 2229 route des crêtes, 06560 VALBONNE.
Sur les mesures de sécurité
La Commission constate que les données d’identification (nom, prénoms, et coordonnées) sont disjointes de la base de données biométriques constituée, et ne seront jamais communiquées. Elles seront conservées sous format papier et rangées dans un coffre-fort localisé dans un bureau sécurisé dont l’accès est réservé aux personnes habilitées.
En cas de partage de données avec les autres membres du projet TABULA RASA, elles seront transmises sur un Cd-rom chiffré, la clé de déchiffrement étant transmise séparément.
Sur les autres caractéristiques du traitement
Les utilisateurs de la base de données s’engagent à ne pas utiliser le traitement à des fins commerciales ainsi qu’à détruire la base en leur possession à l’issue de trois ans, sauf autorisation de la Commission nationale de l’informatique et des libertés permettant de prolonger cette période.
Autorise, conformément à la présente délibération, le GIE EURECOM à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN