Délibération n° 2016-277 du 13 septembre 2016 autorisant la société OBERTHUR TECHNOLOGIES à mettre en œuvre un traitement automatisé de données à caractère personnel dans le cadre de recherches sur le développement et l’amélioration des algorithmes de reconnaissance faciale
Nature: Autre autorisation

(Demande d’autorisation n° 1937805)
La Commission nationale de l'informatique et des libertés,
Saisie par la Société OBERTHUR TECHNOLOGIES d’une demande d’autorisation portant sur un traitement automatisé de données à caractère personnel portant sur un projet de recherche dont la finalité est le développement et l’amélioration des algorithmes d’un système de surveillance par reconnaissance faciale et comportementale ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-8°, 68 et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société OBERTHUR TECHNOLOGIES, est spécialisée dans la conception et la fabrication de solutions et services de sécurité embarqués, pour les secteurs du paiement, des télécommunications et de l’identité. OBERTHUR TECHNOLOGIES participe notamment aux travaux de l’ISO (Organisation Internationale de Normalisation ou « International Standardization Organization ») portant sur la normalisation de la qualité d’image des documents de voyage et sur les problématiques de distorsion de l’image du visage lors de prises de vue. Dans le cadre des réunions d’experts au sein de l’ISO, la création d’un groupe de recherche ad hoc chargé d’étudier ce sujet a été décidée. Ce groupe de travail co-présidé par un représentant d’OBERTHUR TECHNOLOGIES réunit des partenaires privés et publics de différents pays.Son rôle est de déterminer via des recherches effectuées sur une base de données (comprenant notamment des photographies de visages) temporairement constituée par les partenaires, l’effet des distorsions d’image en matière de reconnaissance faciale.  
Sur la finalité
OBERTHUR TECHNOLOGIES souhaite constituer une base  de données biométriques afin d’étudier la sensibilité des scores de différents algorithmes de reconnaissance faciale, en fonction de la fidélité de l’image utilisée. Le traitement de données biométrique est mis en œuvre dans le cadre d’un projet de recherche impliquant des partenaires privés et public internationaux.  Le projet de recherche a notamment pour objet d’estimer l’impact de la distance de prise de vue du visage sur la qualité de la reconnaissance biométrique faciale, tant au stade de la prise de vue de l’image permettant de produire le gabarit biométrique, qu’au stade de la captation de l’image à comparer avec le gabarit initial.Pour ce faire, le responsable du traitement recourt à un banc permettant des prises de photos à différentes distances, de manière automatisée et systématique. La caméra se déplace sur un rail afin de prendre jusqu’à 40 photographies d’avant en arrière, en s’éloignant de cinquante centimètres à trois mètres par rapport au sujet.OBERTHUR TECHNOLOGIES estime devoir faire appel à trois-cents participants volontaires pour constituer une base de données suffisante permettant de contribuer au projet de recherche. Cette base de données est transmise au Fraunhofer Institute, institut allemand spécialisé dans la recherche en sciences appliquées regroupant 57 instituts répartis sur 40 sites à travers l'Allemagne. Le Fraunhofer Institute est chargé d’héberger dans ses locaux en Allemagne les bases constituées par chaque partenaire du projet de recherche, de les consolider, puis d’effectuer les tests sur ces bases de données à partir des algorithmes créés et partagés par les partenaires du projet. Chaque partenaire fournisseur d’algorithme peut participer au test, concernant uniquement sa propre base de données et son propre algorithme, ou déléguer l’opération au Fraunhofer Institute. Au regard de l’objectif du traitement et de son caractère expérimental, la Commission considère que la finalité poursuivie est déterminée, explicite et légitime. 
Sur les données traitées
Les données traitées concernent les personnes participant au projet de recherche sur la base du volontariat. Il s’agit, d’une part, des membres du personnel de la société OBERTHUR TECHNOLOGIES et, d’autre part, de salariés de partenaires agissant également sur la base du volontariat.  
Les catégories de données concernées sont : 
les photographies du visage de chaque volontaire,
l’âge de la personne, 
première lettre et dernière lettre du nom de famille et du prénom, 
la photographie numérique figurant dans la zone DG2 du passeport biométrique.
Dans ces conditions, la Commission considère que la collecte des données est proportionnée à la finalité du traitement.
Sur les destinataires
Jusqu’à la fin des tests, le Fraunhofer Institute est seul à accéder à l’intégralité des données et des algorithmes des partenaires et fournisseurs, afin d’éviter tricherie et espionnage industriel.
Ensuite, dans l’hypothèse où les résultats des tests ne sont pas probants, le Fraunhofer Institute peut diffuser à chaque partenaire la base de données consolidée complète, afin de permettre l’étude de la qualité des images.
Les partenaires suivants peuvent à ce titre accéder aux données collectées par OBERTHUR TECHNOLOGIES. 
Partenaires établis dans l’Union Européenne : 
le Fraunhofer Institute, 
Bundesdrückerei, 
Gemalto, 
KIS SAS, 
Morpho, 
Thales, 
Cognitec, 
Fotofix, 
Photo-Me International plc, 
ID3
Partenaires établis hors de l’Union Européenne : 
Nippon Auto Photo, NEC (Japon)
Australia passports, Gouvernement australien (Australie)
Chaque partenaire est signataire d’un engagement de confidentialité le contraignant notamment à ne traiter les informations collectées que dans le strict cadre du projet de recherche et à les supprimer définitivement à l’issue de ce projet, en juin 2017.  
De plus, les transferts de données hors de l’UE vers les partenaires situés au Japon et en Australie seront encadrés par un accord intégrant les clauses contractuelles types européennes de responsable du traitement à responsable du traitement.  
A l’issue de l’étude, OBERTHUR TECHNOLOGIES partagera les résultats des tests effectués sur sa propre base avec le NIST, l’ICAO, l’ISO sous forme anonymisée (courbe de sensibilité), traduisant en pourcentage les taux de faux rejet et de fausse acceptation.
Ces destinataires n’appellent pas d’observation particulière de la part de la Commission.
Sur l’information et le droit d’accès 
Le consentement des personnes concernées par l’expérimentation est recueilli préalablement à leur participation au projet. Un formulaire spécifique leur est délivré à cet effet.Ce formulaire à signer comprend notamment une explication sur la nature du projet de recherche, la durée de conservation des données, les destinataires des données et les modalités d’exercice des droits, y compris la possibilité de demander la suppression des données à tout moment auprès d’OBERTHUR TECHNOLOGIES.Les personnes ayant accepté de participer à l’expérimentation pourront à tout moment, et sans motif, mettre fin à leur participation. Les formulaires signés sont conservés aux fins de preuve jusqu’au terme du projet de recherche. La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès. Notamment, les données sont conservées localement sur un disque dur dédié, non connecté au réseau et protégé par un mot de passe connu par une seule personne.La Commission recommande que cette personne ait signé un engagement de confidentialité spécifique et que le mot de passe soit composé de douze caractères minimum, comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciauxAprès signature de l’accord de confidentialité et de coopération entre partenaires, les données sont transférées à Darmstadt dans les locaux du Fraunhofer Institute ; à l’issue des tests, les partenaires sont susceptibles de se voir communiquer, par le Fraunhofer Institute, l’ensemble des données testées.Tout transfert entre le Fraunhofer Institute et les partenaires, dans un sens comme dans l’autre, se fera par chiffrement des données à l’aide du logiciel PGP (ou GPG) afin de garantir la confidentialité du contenu ainsi que son authenticité. Chaque partenaire ainsi que le Fraunhofer Institute générera une bi-clé (privée et publique, une bi-clé par entité) et partagera ensuite sa clé publique ; chacun chiffrera les envois avec sa clé privée. A cet égard, la Commission rappelle que l’accès à une clé privée doit être protégé par une phrase secrète forte. Il est également nécessaire de vérifier l’authenticité d'une clé publique ; pour cela, un contact téléphonique doit permettre de vérifier que l’empreinte de la clé publique récupérée correspond bien à l’empreinte de la clé publique du correspondant.En outre, la Commission recommande d’utiliser, pour le chiffrement avec PGP (ou GPG), des algorithmes publics réputés forts (par exemple ElGamal, AES et SHA-256) et une longueur de clé suffisante.Les mesures de sécurité mises en place sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur les autres caractéristiques du traitement
Les données collectées et traitées dans le cadre du projet de recherche sont conservées, par  le Fraunhofer institute  et par OBERTHUR TECHNOLOGIES jusqu’au 30 juin 2017, date de fin du projet de recherche. La Commission demande qu’un bilan d’évaluation de l’expérimentation lui soit présenté dans les trois à six mois après la fin du projet. La Commission rappelle que la présente autorisation ne préjuge en aucune manière de l’éventuelle délivrance d’une autorisation pérenne.
Autorise, conformément à la présente délibération, la société OBERTHUR TECHNOLOGIES à mettre en œuvre le traitement susmentionné.
Pour La Présidente,
Le Vice-Président Délégué
Marie-France MAZARS