La Commission nationale de l'informatique et des libertés,
Saisie par l’établissement public du Palais de la découverte et de la Cité des sciences et de l’industrie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel reposant sur un dispositif de reconnaissance faciale aux fins de démonstration dans le cadre d’une exposition temporaire sur les données numériques et leur traitement ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’établissement public du Palais de la découverte et de la Cité des sciences et de l’industrie (EPPDCSI ou Universcience) a pour mission de faire connaître les sciences et de promouvoir la culture scientifique et technique à travers notamment l’organisation d’évènements et d’expositions.
Sur la finalité
L’EPPDCSI organise, en collaboration avec la CNIL notamment, une exposition temporaire ouverte au grand public relative aux données numériques et leur traitement (TERRA DATA).
Dans ce cadre, l’EPPDCSI souhaite réaliser une démonstration à visée pédagogique du fonctionnement d’un dispositif de reconnaissance faciale.
Le dispositif utilisé est composé d’une caméra Morpho et de composants logiciels SAFRAN I&S qui est le partenaire de l’EPPDCSI pour la mise en œuvre de ce traitement.
En pratique, l’EPPDCSI souhaite filmer le visage de visiteurs à l’entrée de l’exposition et présenter le résultat de la reconnaissance faciale aux visiteurs à un autre point du parcours de l’exposition.
Les visiteurs seront informés de la mise en œuvre du traitement dès leur arrivée à l’exposition. Ceux qui ne souhaiteraient pas voir enregistrer leur image et participer à la démonstration de reconnaissance faciale seront invités à emprunter une entrée alternative.
L’enrôlement s’effectue à partir des images captées par des caméras. Aucun flux vidéo n’est enregistré. Les captures d’images réalisées par les caméras sont directement enregistrées sur un PC serveur. Les gabarits sont générés à partir de ce PC serveur pour enrôlement. L’intégralité des données (photographies et gabarits) sera effacée par procédure automatique au maximum trois heures après leur enregistrement.
La Commission considère que la finalité ainsi définie, en ce qu’elle se limite à la démonstration d’un dispositif de reconnaissance faciale dans le cadre d’une exposition pédagogique sur les données numériques et leur traitement, est déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données collectées auprès des personnes ayant emprunté le passage permettant la captation de leur image sont :
Les données biométriques : image puis gabarit du visage ;
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
Sur la durée de conservation des données
L’EPPDCSI a mis en place une procédure d’effacement de l’ensemble des données collectées dans le cadre de la démonstration de reconnaissance faciale.
D’une part, aucun flux vidéo n’est enregistré ; les captures d’images réalisées par les caméras sont directement enregistrées sur un PC serveur.
D’autre part, la suppression des photographies et gabarits sur le serveur est effectuée par une procédure logicielle automatique et périodique ; toutes les heures, les données enregistrées depuis plus de deux heures sont effacées.
Les données relatives à une personne sont ainsi conservées entre deux et trois heures sur le serveur.
Sur les destinataires
L’accès au traitement est restreint aux seules personnes habilitées par l’EPPDCSI à accéder aux données en vue de la démonstration.
Ceci n’appelle pas d’observation de la Commission.
Sur l’information et le droit d’accès
Un affichage d’information comprenant les mentions prévues par l’article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée sera disposé à l’entrée de l’exposition.
Celui-ci fera notamment apparaitre que les visiteurs ont la possibilité d’opter pour une entrée alternative afin de ne pas être filmés et que les données collectées dans le cadre de la démonstration sont détruites à son issue (trois heures maximum après leur enrôlement).
Les droits d’accès, de rectification et d’opposition s’exercent auprès des personnes en charge de la démonstration de la technique biométrique au sein de l’exposition.
Sous réserve que le panonceau d’information des visiteurs situé à l’entrée de l’exposition soit suffisamment lisible, la Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Les données biométriques ne seront stockées que sur le serveur d’enrôlement et d’identification installé sur le PC serveur. Toutes les heures, les dossiers enrôlés depuis plus de deux heures sont effacés du serveur.
Le PC serveur sera entreposé dans un mobilier d’exposition verrouillé, non accessible au public.
Le réseau utilisé pour le traitement est un réseau isolé.
Malgré la demande formulée sur ce point, la politique de gestion des utilisateurs n’a pas été fournie dans le cadre de l’instruction de cette formalité. Il est rappelé à l’EPPDCSI qu’il est recommandé de mettre en place :
des comptes utilisateurs personnels,
une politique contraignante relative aux mots de passe (8 caractères minimum dont au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial),
un blocage de l’accès à un compte après plusieurs tentatives de connexion infructueuses.
Il ressort de ce qui précède que les données des personnes ne sont conservées que pour la durée nécessaire à la démonstration et qu’aucune donnée personnelle n’est conservée à son issue ni par l’ EPPDCSI, ni par son partenaire Safran.
Il en ressort que le traitement mis en place dans le seul cadre de cette exposition ne comporte donc pas en l’espèce, de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Autorise, conformément à la présente délibération, l’établissement public du Palais de la découverte et de la Cité des sciences et de l’industrie à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN