Délibération n° 2016-295 du 29 septembre 2016 autorisant la prolongation de délai d’un traitement automatisé de données à caractère personnel mis en œuvre par l’ASSOCIATION BIOSECURE ayant pour finalité l’évaluation d’algorithmes de reconnaissance de diverses données biométriques.
Nature: Autre autorisation

(Demande d’autorisation n° 1466075v1)
La Commission nationale de l'informatique et des libertés,
Saisie par l’ASSOCIATION BIOSECURE d’une demande de modification de la délibération n° 2011-294 du 21 septembre 2011 autorisant la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité l’évaluation d’algorithmes de reconnaissance de diverses données biométriques ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2007-296 du 4 octobre 2007 autorisant la mise en œuvre par le Groupe des Ecoles des Télécommunications (GET) d’un traitement automatisé de données à caractère personnel ayant pour finalité principale l’évaluation d’algorithmes de reconnaissance de diverses données biométriques ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
L’ASSOCIATION BIOSECURE a saisi la Commission nationale de l’informatique et des libertés d’une demande de modification de la délibération n° 2011-294 du 21 septembre 2011 autorisant la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité l’évaluation d’algorithmes de reconnaissance de diverses données biométriques. L’objet de cette modification porte sur la prolongation du traitement d’une durée de cinq ans.
Responsable du traitement
L’ASSOCIATION BIOSECURE contribue à la recherche en matière de biométrie et assure la mise à disposition des bases de données biométriques créé dans le cadre d’un projet géré par le Groupe des Ecoles des Télécommunications (GET) dénommé « BIOSECURE ». Ce projet, autorisé par la CNIL par délibération n° 2007-296 du 4 octobre 2007, s’appuie sur un « réseau d'excellence européen » coordonné par l’Institut National des Télécommunications (INT), regroupant trente partenaires internationaux et fédérant des équipes européennes impliquées dans la recherche en biométrie. Le projet « BIOSECURE » a pour finalité principale la promotion et l’intégration de la recherche en biométrie pour des applications de sécurité au niveau européen. C’est dans ce contexte que les différents partenaires ont constitué une base de données biométriques « multimodale » qui est utilisée pour effectuer des mesures de performance de différents algorithmes de reconnaissance. Cette base est mutualisée et mise à disposition par le responsable du traitement, l’ASSOCIATION BIOSECURE.
Sur la finalité
L’ASSOCIATION BIOSECURE demande à la CNIL de prolonger, pour une durée de cinq ans, l’autorisation qui lui a été délivrée le 21 septembre 2011 autorisant la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité l’évaluation d’algorithmes de reconnaissance de diverses données biométriques.Elle justifie cette prolongation par le besoin de poursuivre les expériences en cours de validation des nouveaux algorithmes biométriques. L’association souhaite également utiliser la base BIOSECURE dans le cadre de projets européens qui vont continuer sur les quatre à cinq ans à venir. La base a enfin vocation à servir de support lors de l’organisation de campagnes d’évaluation internationales.Les données biométriques ne sont utilisées que pour des objectifs de recherche, dans des conditions identiques à celles autorisées par la délibération du 21 septembre 2011.Il y a lieu de faire, à nouveau, application des dispositions prévues à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.La base de données biométriques dont l’ASSOCIATION BIOSECURE a la responsabilité, est utilisée pour effectuer des mesures de performance de différents algorithmes de reconnaissance.L’évaluation porte sur des algorithmes de reconnaissance du visage en deux dimensions, des empreintes digitales, de la forme de la main, de la signature manuscrite, de l’iris et du visage parlant (image et son).Des algorithmes dits de « fusion multimodale », c’est-à-dire permettant la reconnaissance d’une personne à partir de l’analyse simultanée de plusieurs caractéristiques biométriques, sont également testés.La mise en œuvre du dispositif repose sur la collecte de données qui a été effectuée auprès du personnel du laboratoire et des étudiants du Groupe des Ecoles des Télécommunications (GET) ainsi que des partenaires. Seules les données des personnes volontaires sont traitées. L’association n’a pas accès aux données d’identification. Elle reçoit seulement les bases de données biométriques accompagnées d’un identifiant.Compte tenu de ce qui précède, dans la mesure où seules les données biométriques de personnes volontaires sont traitées et ce dans le seul but d’évaluer des algorithmes de reconnaissance à des fins de recherche, les traitements soumis à la Commission et en particulier, le recours à la constitution de bases de données biométriques, ne comportent pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.La Commission estime que la finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données traitées sont relatives :
aux données biométriques des participants : image du visage, visage parlant audio/vidéo, signature manuscrite, image de l’iris, image d’empreintes digitales, image de la main, associées à un numéro identifiant ;
à la vie professionnelle : indication droitier ou gaucher, travailleur manuel ou non, support visuel (lentilles ou verres de contact), niveau d’anglais (bas/moyen/bilingue).
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité pour laquelle elles ont été collectées.
Sur les destinataires
Les destinataires des informations sont, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels des laboratoires et les services de recherche des membres de l’association.
De même, peuvent être destinataires des informations, à l’exclusion des données d’identification, les organismes publics ou privés bénéficiant d’une licence d’exploitation de la base sous réserve que :
les traitements soient mis en œuvre pour leurs besoins propres de recherche interne et dans le seul but de tester des systèmes de reconnaissance automatiques, à l’exclusion de toute exploitation industrielle ou commerciale de la base ;
la confidentialité des données soit garantie dans les mêmes conditions que pour les membres de l’association.
La Commission rappelle que lorsque les destinataires sont situés dans des pays n’assurant pas un niveau de protection suffisant des données, le transfert de données doit faire l’objet d’un encadrement contractuel soumis pour autorisation préalable à la Commission nationale de l’informatique et des libertés, conformément aux dispositions de l’article 69 de la loi du 6 janvier 1978 modifiée.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Le formulaire utilisé pour la collecte des données a été accompagné d’un formulaire de consentement que les personnes concernées ont signé et dans le cadre duquel elles ont été informées de la possible transmission d’une partie de leurs données à caractère personnel vers des laboratoires de recherche situés en dehors de l’Union européenne.L’ASSOCIATION BIOSECURE s’engage à prévenir individuellement les personnes concernées que la durée de conservation de leurs données a été prorogée de cinq ans pour une finalité d’expérimentation à des fins de recherche et qu’ils peuvent exercer à tout moment leur droit de retrait en envoyant un courriel à une adresse électronique communiquée sur un support écrit. L’information sera aussi diffusée sur le site web de l’association (http://www.biosecure.info).La Commission rappelle que l’association met à disposition une base de 330 personnes qui correspond à 30 personnes pour  chacun des 11 centres d’acquisition.Les droits d’accès et de rectification s’exercent auprès de l’ASSOCIATION BIOSECURE, 46 rue Barrault, 75634 Paris cedex 13.
Sur les mesures de sécurité
Le stockage des gabarits ou des données brutes est effectué sur un serveur situé dans un local à accès restreint (fermé à clé et à digicode), accessible uniquement dans la journée.Une partie des données peut être distribuée à des chercheurs pour effectuer des traitements (algorithmes biométriques) après validation du responsable du projet.La correspondance entre l’identité des personnes (nom, prénom et coordonnées) et le code identifiant figurant dans la base de données biométriques s’effectue grâce à un fichier distinct qui est sauvegardé sur un CD-ROM et conservé dans un coffre-fort sous le contrôle de chaque personne responsable du projet au sein du réseau. Il en va de même pour les formulaires remplis par les participants à la campagne d’acquisition des données.Les mesures de sécurité mises en place sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, l’ASSOCIATION BIOSECURE à mettre en œuvre le traitement susmentionné.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS