Délibération n° 2014-265 du 26 juin 2014 autorisant la société Morpho à mettre en œuvre pour une durée de 5 ans plusieurs traitements automatisés de données à caractère personnel ayant pour finalité principale la recherche  sur des algorithmes d’acquisition et de reconnaissance biométrique.
Nature: Autre autorisation

(demande d’autorisation n° 1762928)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Morpho d’une demande d’autorisation concernant la mise en œuvre pour une durée de 5 ans de plusieurs traitements de données à caractère personnel ayant pour finalité principale la recherche sur des algorithmes d’acquisition et de reconnaissance biométrique;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2010-336 du 22 juillet 2010 autorisant la mise en œuvre par la société Morpho d’un traitement de données à caractère personnel ayant pour finalité principale la recherche sur les algorithmes biométriques ;
Vu la délibération n°2012-118 du 12 avril 2012 autorisant la modification du traitement de données à caractère personnel ayant pour finalité principale la recherche sur les algorithmes biométriques par la société Morpho ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
En juillet 2010, la Commission Nationale de l’Informatique et des Libertés (CNIL) a autorisé la société Morpho à mettre en œuvre des traitements de données à caractère personnel ayant pour finalité principale la recherche scientifique sur des algorithmes biométriques (délibération 2010-336). Délivrée pour une période de 5 ans, l’autorisation était renouvelable, sous réserve que Morpho en fasse la demande.
Afin de porter la taille des bases de données de 300 à 1000 personnes, cette autorisation a été modifiée en 2012  (délibération 2012-118).
La présente demande d’autorisation implique de mettre en œuvre plusieurs traitements de données à caractère personnel, parmi lesquelles des données biométriques, collectées par la société Morpho et ses partenaires, liés à Morpho par des accords de consortium. 
A la différence des deux précédentes demandes d’autorisation soumises à la CNIL, en l’espèce, les données biométriques stockées en base seront indexées au moyen d’un numéro d’identification et non de l’Etat civil de la personne concernée (noms et prénoms).
Sur la finalité du traitement :
Le traitement a pour finalité principale l’élaboration et l’amélioration des algorithmes d’acquisition et de reconnaissance biométriques. 
Il répond également à l’objectif de développer de nouveaux axes de recherche en permettant des travaux : 
sur les séquences d’images, couvrant ainsi l’acquisition des données biométriques par vidéo, permettant la sélection de la ou des meilleures images (au sens performance biométrique) ; 
sur les performances d’acquisition et de rapidité de réponse, visant ainsi les applications biométriques sur smartphones et la recherche d’ergonomie ; 
d’amélioration des algorithmes d’acquisition biométrique, impliquant de comparer de nouvelles acquisitions avec des acquisitions réalisées antérieurement pour mesurer l’évolution des performances desdits algorithmes sur des volumes élevés de données.
Compte-tenu de ces éléments, elle considère que la constitution de bases de données est en l’espèce pertinente et adéquate au regard de l’objectif poursuivi qui consiste à évaluer et améliorer des algorithmes de reconnaissance
Sur la nature des données traitées :
Les données susceptibles d’être traitées dans le cadre des différentes expérimentations menées par Morpho sont les suivantes : nom et prénom, email ou  numéro mobile, images d’empreintes digitales, images de paumes, images d’iris, images de visages, images du réseau veineux, enregistrements de voix, tatouages, biométries comportementales (signature dynamique, démarche, frappe du clavier par exemple), silhouettes, géométrie de la main,  couleur de la peau, numéros d’identification de la personne (numéro de badge pour le personnel Morpho et référence unique aléatoire pour les autres participants)  et d’autres données d’identification (emails ou numéros de téléphone) en cas de nécessité dans le cadre expérimental. 
Une grande partie de ces données sont déjà traitées par Morpho dans le cadre de l’autorisation notifiée par la CNIL en 2010. 
Les données nouvellement traitées répondent, d’une part, aux besoins de nouveaux types de recherche (tatouages, biométries comportementales, silhouettes, géométrie de la main) et, d’autre part, à des données d’identification (emails ou numéros de téléphone) permettant une bonne gestion des protocoles de recherche et des droits des personnes dans le cadre de certains projets pilotes ou d’expérimentation.
Par ailleurs, une catégorie de données collectée en 2010 (la tranche d’âge) ne sera plus traitée. 
La Commission relève que les travaux de recherche ne porteront pas sur des données nominatives. En lieu et place des noms et prénoms des personnes concernées, seuls des numéros d’identification de la personne seront traités (numéro de badge pour le personnel Morpho et référence unique aléatoire pour les autres participants). 
Concrètement, cela signifie que les données de chaque campagne d’acquisition seront regroupées et stockées sous forme de données structurées ou non et que le lien entre les données biométriques et les données identifiantes sera conservé par le Garant informatique et libertés de la société Morpho. 
La Commission considère que les données ainsi modifiées répondent à la fois à l’objectif d’approfondir certaines recherches et à celui de répondre au principe de minimisation des données d’identification. De fait, elle considère que celle-ci sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées. 
Sur la durée de conservation des données :
Depuis 2010, la société Morpho a transposé dans ses accords de consortium les règles de conservation, d’accès et de rectification des données acquises dans le cadre du projet ainsi qu’un engagement de destruction des données acquises douze mois après le terme de la durée de chaque projet de recherche (afin d’être compatible avec la finalisation des travaux de recherche -publication d’articles, thèses). Elle a également fourni à la Commission des bilans annuels de ses expérimentations. 
C’est pourquoi, au vu de ces éléments et dans ces conditions, la Commission considère  qu’une durée de conservation de 5 ans n'excède pas la durée nécessaire aux finalités pour lesquelles elles seront collectées et traitées.
Sur les destinataires des données :
Comme en 2010, les destinataires des données correspondent aux partenaires européens et internationaux de Morpho (c’est-à-dire des universités, des laboratoires de recherche, des PME et des industriels européens) liés par un partenariat avec la société Morpho (accord de consortium). 
S’agissant des partenaires ou de tout destinataire situé dans des Etats n’assurant pas un niveau de protection adéquate de la vie privée, le transfert de donnée fera l’objet d’un encadrement contractuel (Clauses contractuelles ou Binding Corporate Rules du groupe Safran) soumis pour autorisation à la Commission nationale de l’informatique et des libertés conformément aux dispositions de l’article 69 de la loi du 6 janvier 1978 modifiée.
Lors de la transmission des données biométriques, le nom et les coordonnées des volontaires seront maintenus strictement confidentiels et ne seront pas transmis.
Par conséquent, la Commission considère que les données collectées par Morpho ne sont pas traitées ultérieurement de manière incompatible avec les finalités pour lesquelles elles ont été collectées. 
Sur l'information des personnes :
Les personnes concernées par l’expérimentation sont : 
en Europe, chez Morpho : les personnels volontaires travaillant sur les sites Morpho ; 
dans l’Union européenne, chez des partenaires : les personnels volontaires des partenaires, dans le cadre de projets de recherche collaboratifs français ou européens ; 
en dehors de l’Union européenne mais au sein de Morpho : les personnes volontaires à l’étranger afin de constituer des jeux d’essais représentatifs de la diversité de la population mondiale.
Les personnes concernées seront informées, notamment des modalités d’exercice de leurs droits, au moyen d’un formulaire d’information portant mention du lieu et de la date de la campagne. Signé par chaque participant, ce formulaire permettra donc le recueil du consentement exprès de la personne concernée.
La Commission observe, pour chaque projet d’expérimentation, que le recueil du consentement des personnes pourra être demandé et recueilli dans un format électronique, dans le respect des conditions identifiées par la CNIL (opt-in). 
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès, de rectification et de suppression s’exerceront auprès du Garant Informatique et Libertés de Morpho, relais de proximité du Correspondant Informatique et libertés du groupe Safran. Le droit d’accès s’effectuera par voie postale.
En cas de perte du numéro d’identification unique par la personne désirant exercer l’un de ses droits, une recherche du formulaire de consentement sera effectuée afin d’obtenir le numéro d’identification des données biométriques, ce qui n’appelle pas d’observation de la Commission. 
Sur la sécurité des données et la traçabilité des actions :
Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
A cet effet, la transmission des données s’effectue au sein du réseau interne Morpho, dont l’accès est sécurisé par un pare-feu revu périodiquement et des mesures de chiffrement des données.
L’accès aux locaux est sécurisé par la présence d’un gardiennage et contrôlé par badge avec un journal de suivi des entrées-sorties.
Les formulaires de recueil de consentement remplis par les participants volontaires à la campagne d’acquisition sont conservés de manière sécurisée, sous le contrôle du responsable des campagnes d’acquisition.
Les transferts sur support externe sont sécurisés par des outils de protection certifiés par l’ANSSI. Des sauvegardes sur bande sont effectuées mensuellement et stockées dans une armoire dont les accès sont restreints.
Une procédure spécifique d’effacement des données est mise en œuvre par un effacement sécurisé. Dans ce cas, un procès-verbal de suppression est fourni au propriétaire de la base de données en tant que preuve.
Des profils d’habilitation avec droits d’accès nominatifs et approuvés par les propriétaires de la base de données sont mis en œuvre. Le contrôle d’accès logique se fait alors par mot de passe (8 caractères minimum, constitué de chiffres, lettres et caractères spéciaux) avec changement périodique.
Une journalisation est effectuée sur les accès à l’application et aux fichiers de données (horodatages de connexion/déconnexion/accès, identifiants du poste de travail et de l’utilisateur, référence des données accédées et opération effectuée en consultation/création/mise à jour/suppression).
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions et compte tenu que la société Morpho remettra à la CNIL un bilan annuel de ses expérimentations, la Commission autorise la société Morpho à mettre en œuvre, pour une durée de 5 ans, plusieurs traitements de données à caractère personnel ayant pour finalité principale la recherche sur des algorithmes d’acquisition et de reconnaissance biométrique.
La Présidente
I. FALQUE-PIERROTIN