Délibération n° 2012-101 du 5 avril 2012 autorisant la société NATIXIS à mettre en œuvre à titre expérimental un traitement automatisé de données à caractère personnel reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un support individuel et ayant pour finalité le contrôle d'accès à un service de banque en ligne et la signature électronique d'ordres de paiement
Nature: Autre autorisation

(Demande d’autorisation n° 1529446)
La Commission nationale de l’informatique et des libertés, 
Saisie par NATIXIS d’une demande d’autorisation concernant la mise en œuvre à titre expérimental d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un support individuel et ayant pour finalité le contrôle d'accès à un service de banque en ligne et la signature électronique d'ordres de paiement ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire et après avoir entendu les observations de Mme Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
NATIXIS
Sur la finalité
La Commission nationale de l’informatique et des libertés a été saisie par la société NATIXIS d’une demande d’autorisation d’expérimentation pour une durée de six mois d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un support individuel et ayant pour finalité le contrôle d’accès à une application informatique permettant d’accéder à un service de banque en ligne et de signer électroniquement des ordres de paiement.Il y a lieu de faire application des dispositions prévues à l’article 25.I.8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Seul le gabarit de l’empreinte digitale de deux doigts est enregistré sur la clé USB et non une image ou une photographie de l’empreinte digitale. Le certificat est également stocké sur la clé USB.La durée de conservation du gabarit de l’empreinte digitale est égale au temps pendant lequel la personne concernée est habilitée à accéder au service de banque en ligne et à la durée de l’expérimentation.La Commission prend acte que le gabarit de l’empreinte digitale n’est pas associé aux traces des ordres de paiement donnés.La Commission considère que ces données sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement et qu’elles sont conservées pendant la durée nécessaire à la finalité pour laquelle elles sont collectées et traitées.
Sur l’information et le droit d’accès 
Le responsable du traitement s’assure que les sociétés participant à cette expérimentation procèdent conformément aux dispositions des articles L. 2323-13, L. 2323-14 et L. 2323-32 du code du travail à l'information et à la consultation des instances représentatives du personnel avant la mise en œuvre de ce traitement.Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes sont informées de leurs droits par la remise d’une notice au moment de leur enrôlement et de la remise de la Clé USB.Ces modalités d’information et d’exercice des droits d’accès et de rectification sont satisfaisantes. 
Sur les mesures de sécurité
Le responsable de traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées notamment pour empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance. L’authentification de l’utilisateur au service de banque en ligne permettant de réaliser des transactions bancaires s’effectue soit par le dispositif biométrique, soit à l’aide d’un identifiant et un mot de passe, soit à l’aide d’un certificat électronique stocké sur clé USB ou carte à puce non biométrique. Le mode d’authentification conditionne ensuite les possibilités applicatives (signature, etc.). La Commission prend acte qu’aucune conservation dans une ou plusieurs bases de données des gabarits biométriques des empreintes digitales n’est prévue. Les données biométriques ne sont conservées que sur la clé USB.Les gabarits des empreintes digitales sont stockés sur la clé USB sous une forme chiffrée. En outre, les utilisateurs sont tenus de ne stocker aucune autre information sur ce support.Dès lors, les mesures de sécurité mises en place sont de nature à sécuriser de manière satisfaisante le recours à ce dispositif.
Sur les autres caractéristiques du traitement
Le dispositif présenté est composé d’une clé USB comportant un lecteur biométrique. Il vise à sécuriser l’accès à un certificat permettant de s’authentifier lors de l’accès à un service de banque en ligne et de signer électroniquement des ordres de paiement. La Commission observe que ce dispositif n’a pas pour finalité le contrôle du temps de travail de l’utilisateur.Le gabarit de l’empreinte digitale est exclusivement enregistré sous forme chiffrée par l’intermédiaire d’un algorithme cryptographique réputé fort sur la clé USB détenue uniquement par l’utilisateur, et dont l’usage est strictement individuel et professionnel. L’enrôlement s’effectue lors de la remise de la clé biométrique, en présence d’une personne habilitée de Natixis. Le contrôle d’accès au certificat s’effectue par comparaison entre le gabarit de l’empreinte digitale du doigt apposé sur le lecteur et le gabarit de l’empreinte digitale enregistré lors de l’enrôlement de l’utilisateur sur la clé USB. En cas de dysfonctionnement, le certificat stocké dans la clé est révoqué, la clé est alors réinitialisée et la personne est ré-enrôlée avec attribution d’un nouveau certificat. La Commission prend acte qu’à aucun moment, le gabarit de l’empreinte digitale ne circulera sur un réseau, et qu’il n’est ni stocké ni archivé hors de la clé elle-même.La Commission observe que seuls les personnels volontaires habilités à accéder aux services de banque en ligne des sociétés clientes de NATIXIS participant à cette expérimentation seront concernés par ce traitement. La Commission prend acte qu’il sera toujours possible d’utiliser une autre solution d’authentification par exemple à l’aide d’un login et d’un mot de passe.La Commission prend acte qu'au terme de cette expérimentation, lui sera communiqué un bilan des modalités de fonctionnement et d'utilisation du dispositif à l'appui de la nouvelle demande d'autorisation nécessaire à la généralisation de cette application. Ce bilan devra notamment inclure les éventuelles solutions alternatives et l’appréciation du dispositif au regard de la protection des données. La Commission rappelle que la présente autorisation ne saurait préjuger de sa décision au regard d'une future demande d'autorisation, notamment s'agissant d'une généralisation du procédé expérimenté. 
Autorise, conformément à la présente délibération, NATIXIS à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN