La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et de Mme Catherine POZZO DI BORGO, commissaire adjointe du Gouvernement; en ses observations,
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par NATIXIS d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux postes informatiques.
Formule les observations suivantes :
Responsable du traitement


Le dispositif a pour finalité de sécuriser les accès aux postes informatiques des négociateurs (traders) basés sur Paris. Il s’agit de renforcer l’authentification de ces personnels qui ont accès à des applications sensibles pour NATIXIS, de prévenir tout risque d’usurpation d’identité et de tracer les interventions de ces personnels sur les marchés.
Données traitées
Les données traitées seront :
l’identité (nom, prénom) ;
l’identifiant d’utilisateur (le nom de compte);
le gabarit du réseau veineux de deux doigts de la main de la personne.
Destinataires
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée les personnels assurant la sécurité des systèmes d’informations de NATIXIS.
Information et droit d’accès
Le droit d’accès et de rectification s’exercera directement auprès du service Sécurité des Systèmes d’information NATIXIS, 30 avenue Pierre Mendès-France, 75013 PARIS.
Observations particulières
Les postes informatiques des personnels comporteront un lecteur de gabarit de réseau veineux du doigt de la main.
La procédure d’enrôlement du réseau veineux de deux doigts de la main s’effectuera en présence d’un administrateur de la sécurité des systèmes d’information.
Au moment de l’accès aux applications concernées, la vérification s’effectuera entre le doigt apposé par l’employé sur le lecteur et le gabarit de l’empreinte du réseau veineux du même doigt enregistré sur le serveur de NATIXIS.
Les gabarits biométriques et les éléments d’identification seront conservés pendant la durée de l’habilitation des personnes concernées à accéder aux applications sensibles.
Les données de suivi des accès sont conservées pendant une durée de 12 mois.
Les gabarits biométriques et les mots de passe sont chiffrés par trois clés successives.
Compte tenu de ce qui précède et dans la mesure où le réseau veineux du doigt de la main en l’état actuel de la technique, est une biométrie sans trace non susceptible d’être capturée à l’insu des personnes, la Commission considère que la mise en œuvre d’un traitement reposant sur la reconnaissance du réseau veineux du doigt apparaît, dans ces conditions adaptée et proportionnée à la finalité assignée au dispositif au regard de la protection des données personnelles.
Dans ces conditions, la Commission autorise la société NATIXIS à mettre en œuvre un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux postes informatiques