Délibération n° 2014-369 du 25 septembre 2014 autorisant le groupe des écoles nationales d’économie et statistique (GENES) à mettre en œuvre un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique des empreintes digitales et ayant pour finalité de sécuriser l’accès aux données mises à disposition dans un centre d’accès sécurisé distant (CASD)
Nature: Autre autorisation

(Demande d’autorisation n° 1619100)
La Commission nationale de l’informatique et des libertés,
Saisie par le groupe des écoles nationales d’économie et statistique (GENES) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique des empreintes digitales et ayant pour finalité de sécuriser l’accès aux données mises à disposition dans un centre d’accès sécurisé distant (CASD) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (CE) n° 223/2009 du Parlement européen et du Conseil du 11 mars 2009 relatif aux statistiques européennes ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 51-711 du 7 juin 1951 modifiée sur l’obligation, la coordination et le secret en matière statistique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2009-250 du 3 mars 2009 modifié relatif à l'Autorité de la statistique publique ;
Vu le décret n° 2009-318 du 20 mars 2009 relatif au Conseil national de l’information statistique et au comité du secret statistique ;
Vu le décret n° 2010-1670 du 28 décembre 2010 relatif au Groupe des écoles nationales d’économie et de statistique ;
Après avoir entendu M. Philippe LEMOINE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie par le groupe des écoles nationales d’économie et statistique (GENES) d’une demande d’autorisation concernant la mise en œuvre d’un traitement automatisé de données à caractère personnel dénommé « contrôle par un dispositif biométrique de l'accès aux données mises a disposition dans le centre d'accès sécurisé distant aux données (CASD) ».
Le GENES est un établissement public à caractère scientifique, culturel et professionnel (EPSCP) chargé d’assurer les missions auparavant confiées à la Direction de l’enseignement supérieur et de la recherche de l’Institut national de la statistique et des études économiques (INSEE), conformément au décret n° 2010-1670 du 28 décembre 2010 susvisé. Dans le cadre de la convention signée en janvier 2011 avec l’INSEE, le GENES est notamment en charge de l’exploitation d’une infrastructure informatique sécurisée et centralisée offrant un accès distant aux données. Ce centre d'accès sécurisé à distance (CASD) permet de mettre des données à la disposition de personnes habilitées, notamment des données confidentielles issues des enquêtes réalisées par les services de la statistique publique ou des sources administratives.
Dans la mesure où le contrôle de l’accès aux données ainsi mises à disposition est réalisé par un dispositif biométrique, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation de la Commission les traitements automatisés comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Sur la finalité du traitement :
Le dispositif a pour finalité le contrôle d’accès logique au CASD et permet de s’assurer de l’authentification de la personne à laquelle l’accès à certaines données confidentielles qui y sont mises à disposition a été préalablement autorisé à titre individuel.
Il s’agit de sécuriser l’accès à distance au CASD en enregistrant dans une carte individuelle détenue par chaque personne concernée le gabarit d’empreintes digitales. Pour ouvrir une session informatique sur un poste dédié, l’utilisateur introduit sa carte à puce dans le lecteur spécifiquement créé. Il lui est demandé par le logiciel d’ouverture de session de présenter son doigt sur le lecteur d’empreinte. Le processeur de la carte à puce calcule la signature de l’empreinte digitale et vérifie qu’elle est bien identique à la signature stockée sur la carte. L’utilisateur accède alors à un environnement sécurisé permettant d’analyser les données confidentielles auxquelles il a été individuellement autorisé à accéder.
La Commission rappelle que le CASD a vocation à mettre à disposition des données qui sont soumises à une obligation de confidentialité. En particulier, ce centre contient des « données individuelles détaillées » issues des enquêtes de statistique publique réalisées dans le cadre de la loi n° 51-711 du 7 juin 1951 modifiée et soumises à ce titre au secret statistique. Ainsi, seules peuvent obtenir un accès à ces données hébergées sur le CASD les personnes individuellement habilitées conformément à la procédure prévue à l’article 6 de ladite loi, soit par décision de l'administration des archives, prise après avis du comité du secret statistique et relative à une demande effectuée à des fins de statistique publique ou de recherche scientifique ou historique.
C’est pourquoi l’accès au CASD fait l’objet d’un contrôle strict par le GENES. La personne habilitée doit ainsi signer une charte d’utilisation, composée d’un accord de confidentialité sur les données rendues accessibles et des conditions d’utilisation des outils mis à disposition par le CASD. L’établissement hébergeant le matériel organisant l’accès sécurisé doit également signer un contrat avec le CASD du GENES, tout particulièrement pour contraindre l’emplacement de ce matériel et pour identifier les coordonnées du réseau de l’établissement. Le responsable de traitement doit avoir accompli, le cas échéant, les formalités nécessaires auprès de la CNIL et en justifier auprès du CASD afin d’activer les accès individuels des membres de son équipe de recherche. Enfin, il convient de formuler une demande d’accès pour chaque projet de recherche, même s’il implique une personne bénéficiant déjà de matériel d’accès sécurisé.
Dans ce cadre, le GENES souhaite compléter l’ensemble de ces mesures par un système d’authentification individuelle forte, à savoir l’ajout d’un dispositif biométrique de contrôle d’accès logique.
Au regard de l’ensemble de ces éléments, la Commission estime qu’il existe un fort impératif de sécurité de nature à justifier la mise en œuvre d’un dispositif recourant à la biométrie pour organiser l’accès de personnes individuellement habilitées à des données confidentielles. Elle considère dès lors que la finalité ainsi définie est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Les données à caractère personnel collectées directement auprès de toute personne concernée et traitées pour l’enrôlement sont les suivantes :
les nom, prénom et coordonnées ainsi que les références et coordonnées de sa structure de rattachement ;
le numéro de l’habilitation et les dates de début et de fin de l’habilitation ;
la description du projet de recherche, sa finalité, les données dont l’accès est demandé ;
le suivi des travaux effectués dans son compte dédié à ce projet, créé dans l’espace sécurisé du CASD jusqu’à l’autorisation d’export des résultats ainsi constitués ;
les identifiants des terminaux ;
les identifiants de connexion ;
les informations d’horodatage ;
les traces des accès aux journaux de connexion ;
l’enregistrement du gabarit de deux empreintes digitales au maximum et le certificat d’authentification afférent à cette donnée, stockés uniquement dans le support individuel exclusivement détenu par la personne concernée.
La Commission relève, d’une part, l’existence d’un dispositif de secours (utilisé en cas de défaillance du lecteur biométrique, du système d’enrôlement ou encore lorsque la prise d’empreinte est physiologiquement impossible) et, d’autre part, le stockage des seuls gabarits d’empreintes digitales exclusivement sur un support individuel détenu par la personne habilitée.
Cependant, elle observe que, d’un point de vue technique, le dispositif actuel a la capacité de collecter de multiples gabarits, permettant jusqu’à la représentation des dix empreintes digitales de chaque personne habilitée. La Commission considère à cet égard que seul l’enregistrement de deux gabarits d’empreintes est proportionné à la finalité de contrôle d’accès logique du dispositif. Des moyens techniques permettant de matérialiser cette limitation doivent dès lors être définis.
La Commission considère, sous cette réserve, que les données collectées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies par le traitement.
Sur la durée de conservation des données :
Les données d’identité sont conservées trois mois après l’expiration de l’habilitation de la personne. Les données de connexion générées par le dispositif sont conservées six mois après la date de connexion ou de l’accès au journal. Les données biométriques sont conservées sur le support individuel pendant toute la durée de l’habilitation de la personne sur le projet de recherche concerné.
La Commission rappelle que le GENES doit mettre en œuvre une procédure de destruction, définitive et sécurisée, des supports individuels contenant les données biométriques. Elle demande à être informée des évolutions envisagées pour garantir cette destruction permettant de ne pas conserver de données pendant une durée qui excèderait la finalité poursuivie.
À l’exception de ces modalités de destruction définitive et sécurisée, ces durées de conservation n’appellent aucune observation de la Commission.
Sur les destinataires des données :
Les seuls destinataires des données traitées pour gérer l’accès au CASD sont le directeur du CASD pour les missions de sécurité qui lui sont confiées, ainsi que les personnes déléguées à cet effet. Cela n’appelle pas d’observation particulière de la Commission.
Sur les droits des personnes :
Les personnes concernées reçoivent une information préalable à la collecte de leurs données biométriques. À cet égard, la Commission observe que ces personnes suivent nécessairement un atelier de formation et de sensibilisation, dispensé dans les locaux du CASD, au cours duquel l’enrôlement biométrique sera effectué.
Une note leur est également remise pour les informer de leurs droits « Informatique et Libertés » ainsi que de leurs obligations découlant de la manipulation de données détaillées couvertes par le secret statistique ou d’autres secrets exigeant de respecter une confidentialité particulière.
La Commission souligne que le caractère solennel et individuel de l’enrôlement des personnes concernées contribue à la prise de conscience quant aux enjeux de protection des données et aux modalités pratiques pour traiter ces données. Ces modalités d’information sont conformes aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle au GENES la nécessité de définir, avec tout autre producteur de données concernées par une telle demande d’accès, une procédure analogue à celle suivie pour les données couvertes par le secret statistique et adaptée aux obligations légales incombant plus particulièrement à ce producteur.
Les droits d’accès et de rectification s’exercent directement auprès du GENES, par courrier adressé au Service CASD, 18, Boulevard Adolphe PINARD – 75675 PARIS Cedex 14 ; ou par courriel.
La Commission prend acte de la mise en œuvre d’un dispositif d’accès de secours utilisable uniquement par les personnes ne pouvant pas prétendre, pour des raisons physiologiques, à l’authentification par ce dispositif biométrique (carte à puce avec mot de passe fort).
Sur la sécurité des données et la traçabilité des actions :
La Commission relève l’existence de bilans réalisés à la suite d’audits de sécurité organisés par le GENES ainsi que les perspectives d’amélioration continue des mesures de sécurité du dispositif pour lesquelles des bilans lui seront régulièrement communiqués.
Elle observe que ces documents précisent le niveau de fiabilité du dispositif biométrique. Les gabarits des empreintes digitales sont chiffrés et stockés uniquement sur le support individuel conservé par la personne habilité. Aucune donnée biométrique n’est extraite du traitement ou exploitée par le CASD en dehors du contrôle d’accès au CASD. En cas de perte ou de destruction du support individuel, une nouvelle séance d’enrôlement est nécessaire pour permettre la délivrance d’une nouvelle carte d’accès.
Des agents du CASD sont formés à la gestion des enrôlements, au traitement des données et à leur effacement. Seules ces personnes sont habilitées à effectuer la collecte des données biométriques durant l’enrôlement. L’accès du personnel au CASD se fait par boitier sécurisé après authentification forte (certificat sur carte à puce et mot de passe robuste).
Une journalisation des accès et des tâches d’administration du dispositif est mise en place. La traçabilité des mouvements d’entrée et de sortie est conservée en mémoire durant une durée de six mois glissants. Ces données sont conservées sur un espace sécurisé et dédié à cet usage.
Dès lors, la Commission observe que les mesures retenues par le responsable de traitement sont de nature à garantir la sécurité du dispositif d’accès distant à des données confidentielles et sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Dans ces conditions, la Commission autorise le GENES à mettre en œuvre un traitement de données à caractère personnel reposant sur un dispositif biométrique et ayant pour finalité de sécuriser l’accès, aux données mises à disposition dans un centre d’accès sécurisé distant (CASD).
La Présidente
I. FALQUE-PIERROTIN