Délibération n° 2018-079 du 22 février 2018 autorisant la société MEMENTO à mettre en œuvre, à titre expérimental, un système d’identification par reconnaissance faciale des personnes prises en photographie pour leur permettre d’accéder directement à celles qui les concernent

(Demande d’autorisation n° 2062781)

Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
Saisie par la société MEMENTO d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’identification biométrique de personnes prises en photographie pour leur permette d’accéder directement à celles qui les concernent ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-8 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations, 
Formule les observations suivantes :
La société MEMENTO a mis au point une solution qui vise à permettre aux clients d’un club ou séjour de vacances d’accéder directement aux photographies sur lesquelles ils apparaissent au moyen d’une application mobile dédiée afin de les partager et/ou commander auprès du photographe. 
Outre son aspect pratique et dématérialisé, cette solution a, selon la société, pour objectif d’éviter que ne soit exposé à tous l’ensemble des photographies prises au cours du séjour.
Afin présenter directement les photographies aux seules personnes qui y apparaissent, la société MEMENTO souhaite baser le fonctionnement de son service sur une identification par reconnaissance faciale. 
Le projet de traitement automatisé, parce qu’il prévoit le recours à des données biométriques pour assurer le contrôle de l’identité des personnes, relève du paragraphe I, 8°, de l’article 25 de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par la CNIL.
La société MEMENTO a ainsi saisi la Commission d’une demande d’autorisation de mettre en œuvre un tel traitement. 
Sur la finalité du traitement :
 
Afin notamment d’éviter que les photographies prises lors d’un séjour ou d’évènement ne soient exposées à tous via des tableaux géants ou des bornes numériques, la société MEMENTO a développé une plateforme permettant que ces photographies soient accessibles directement aux personnes qui y figurent dans un espace numérique personnel dédié et sécurisé. 
Au-delà de l’aspect pratique que cette plateforme peut recouvrir pour les personnes concernées qui pourront dès lors aisément partager et commander les photographies de leur choix et du souci de préservation de toute exposition publique des photographies, cette solution a vocation à permettre aux personnes concernées de mieux contrôler et gérer leur droit à l’image. 
A leur arrivée sur le lieu d’un séjour de vacances ou d’un évènement, chaque personne potentiellement concernée se voit remettre un formulaire d’information relatif à la solution déployée, formulaire sur lequel il leur sera demandé de consentir ou non à la mise en œuvre du dispositif de reconnaissance faciale que cette solution implique. 
Les photographes sur place ne transmettent à la société MEMENTO que les seules photographies sur lesquelles figurent les personnes ayant signé cette autorisation (ou dont les représentants légaux ont signé cette autorisation) ; celles-ci sont identifiées par un bracelet de couleur pour permettre aux photographes de clairement les distinguer. Les photographies représentant les personnes qui n’auraient pas consenti à un tel traitement se sont pas enregistrées par les photographes sur la plateforme MEMENTO et peuvent être consultées par les personnes concernées par les moyens classiques (tableau d’affichage, bornes, etc.).
Les personnes ayant consenti à un tel dispositif peuvent accéder aux photographies sur lesquelles elles figurent à partir de l’application MEMENTO, après avoir procédé à leur enrôlement. 
Pour s’inscrire sur l’application, les utilisateurs fournissent une adresse courriel, un identifiant et un mot de passe. 
A l’installation de cette application, les utilisateurs sont informés des traitements de données à caractère personnel mis en œuvre et invités à consentir au traitement de reconnaissance faciale, notamment lors de la phase d’enrôlement. Pour ce faire, ils doivent réaliser jusqu’à trois autoportraits avec leur téléphone mobile.
Une comparaison biométrique des gabarits calculés à partir de ces autoportraits est ensuite réalisée afin que les photographies transmises par le photographe soient affectées, en temps réel, à l’utilisateur correspondant. 
Les utilisateurs de l’application ne pourront accéder aux photographies sur lesquelles ils figurent sans avoir préalablement et spécifiquement consenti à la mise en œuvre du dispositif biométrique. 
Au sein de l’application, l’utilisateur dispose de la possibilité d’activer ou de désactiver la reconnaissance faciale grâce à un bouton inséré dans le menu de l’application. La durée de conservation des données biométriques est fixée à quinze jours à compter de l’enrôlement de l’utilisateur sur l’application mobile.
L’utilisateur est informé que son compte utilisateur et ses données seront conservés par défaut pendant une durée de trois semaines à compter de la date de création du compte sur l’application mobile ou, à défaut, de la date d’envoi sur la plateforme MEMENTO d’une première photographie.
Les utilisateurs seront néanmoins notifiés à l'avance de la suppression prochaine de leur compte, et il leur sera possible, à tout moment, d'étendre, s'ils le souhaitent, la période d'utilisation de la solution dans le paramétrage du compte utilisateur. 
Le caractère novateur d’une telle solution et le cadre strict applicable aux traitements de données biométriques sous l’égide du RGPD a conduit la société MEMENTO à opter pour la mise en œuvre d’une phase expérimentale. Celle-ci permettra d’évaluer la fiabilité du système dans un cadre opérationnel, d’analyser les performances de l’outil et d’apprécier l’appétence des clients pour ce type de service. La durée prévue de l’expérimentation est de six mois. A partir d’estimation sur l’affluence et sur le taux d’utilisation du service, la société MEMENTO évalue que l’expérimentation est susceptible de concerner entre 100 et 700 utilisateurs.
La Commission considère que la finalité du traitement mis en œuvre à titre expérimental est déterminée, explicite et légitime.
Sur le fondement juridique du traitement :
La Commission rappelle que, conformément aux dispositions de l’article 7 de la loi du 6 janvier 1978 modifiée, le consentement ne peut servir de base légale valable au traitement que s’il est libre, spécifique et informé.
 
Dans le cas présent, les personnes concernées sont invitées par deux fois à consentir ou non au traitement de leurs données biométriques :
dès leur arrivée sur le lieu du séjour ou de l’évènement, elles sont invitées à accepter ou non le calcul d’un gabarit biométrique nécessaire à la recherche de correspondances entre les visages figurant sur les photographies enregistrées sur la plateforme MEMENTO et les utilisateurs qui s’y seront enrôlés ;
lors de l’installation de l’application MEMENTO, au stade de leur enrôlement, les utilisateurs sont à invités à manifester ou non leur accord à la réalisation d’une comparaison biométrique entre les gabarits issus de leurs autoportraits et ceux des visages figurant sur les photographies enregistrées sur la plateforme MEMENTO. Dans la mesure où les gabarits extraits des visages présents sur les photographies sont exploités en temps réel pour effectuer la comparaison et permettre l’éventuel rapprochement avec les gabarits des utilisateurs de l’application, ceux-ci ne se verront affecter dans l’application que les photographies sur lesquelles ils figurent prises postérieurement à leur enrôlement.
Les personnes conservent la possibilité de ne pas consentir ou de retirer leur consentement à tout moment du processus, ainsi que d’obtenir la suppression des modèles biométriques constitués et de choisir d’accéder aux photographies sur lesquelles ils figurent par les moyens usuels (tableau d’affichage, borne, etc.). 
Dans le cadre de l’expérimentation, les photographies des personnes ayant consenti à la biométrie continueront d'être accessibles par défaut par le procédé classique. Si une personne exprime le souhait contraire, les outils MEMENTO permettront au photographe de distinguer automatiquement les photographies la représentant afin qu’elles n’apparaissent pas sur les moyens d’accès aux photographies classiques. 
La mise à disposition d’un moyen alternatif n’impliquant pas de dispositif biométrique, sans surcoût ni contrainte particulière pour les personnes concernées, est essentielle afin de garantir la liberté du consentement. La Commission rappelle donc que l’alternative existante doit être présentée aux personnes potentiellement concernées avant qu’elles n’expriment leur choix et être maintenue, sans contrainte additionnelle, en tant qu’option permettant d’accéder aux photographies sur lesquelles elles figureraient. 
Sous ces réserves, le traitement soumis à la présente autorisation repose sur le consentement préalable des personnes concernées, conformément à l’article 7 de la loi du 6 janvier 1978.
 
Sur la nature des données traitées :
Le traitement envisagé par la société MEMENTO implique la collecte des données suivantes :
les coordonnées des personnes concernées ;
des photographies et autoportraits des personnes concernées ;
des modèles biométriques calculés.
La Commission considère que la collecte de ces données est proportionnée à la finalité poursuivie.
Sur la durée de conservation des données :
Le gabarit issu des autoportraits des utilisateurs de l’application mobile est conservé pendant une durée de quinze jours à compter de l’enrôlement de la personne concernée sur l’application. Passé ce délai, les gabarits issus des autoportraits sont automatiquement détruits. Néanmoins, l’utilisateur dispose de la faculté de définir la durée exacte de son autorisation d’exploitation en paramétrant l’application et/ou en révoquant le cas échéant son consentement au traitement biométrique.
 
S’agissant des gabarits biométriques issus des visages présents sur les photographies transmises par les photographes, ils ne sont calculés qu’au moment où une photographie est transmise sur la plateforme MEMENTO afin de permettre le rapprochement avec un gabarit issu des autoportraits. Ces gabarits sont traités en temps réel et ne sont pas conservés une fois cette comparaison effectuée. Dans le cadre de l’expérimentation, les utilisateurs ne pourront récupérer les photographies qui auraient été prises avant leur inscription et enrôlement sur l’application.
 
Les autres données collectées (compte utilisateur, coordonnées, photographies, etc.) sont conservées par défaut pendant une durée de trois semaines à compter de la création du compte sur l’application mobile ou, à défaut, de la date d’envoi sur la plateforme MEMENTO d’une première photographie. L’utilisateur dispose néanmoins de la possibilité de définir une durée de vie du compte et de conservation de ses données qui soit inférieure ou supérieure à trois semaine en indiquant dans les paramètres de l’application la date de son choix. 
Sur les destinataires des données :
 
Seul aura accès aux données le personnel spécifiquement habilité à cet effet de la société MEMENTO.
Sur l'information des personnes :
Les personnes concernées sont informées de manière granulaire des opérations de traitement conformément aux dispositions de l’article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée et ce notamment, dès leur arrivée sur le lieu du séjour ou de l’évènement puis au stade de l’enrôlement à l’ouverture de l’application MEMENTO.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les personnes concernées peuvent exercer leur droit d’accès auprès de MEMENTO. 
 
Elles peuvent à tout moment demander la suppression des données qui les concernent, y compris de leur gabarits, en suivant la procédure prévue à cet effet sur l’application ou en contactant directement la société MEMENTO par courriel ou téléphone.
Sur la sécurité des données et la traçabilité des actions :
La création d’un compte MEMENTO est accessible à partir de l’espace personnel créé sur l’application mobile Club Med Villages (disponible à partir de l’Apple Store ou du Play Store). Ce procédé prévient ainsi les créations de compte par des personnes non-autorisées, c'est‑à‑dire n’ayant pas été sur les lieux de vacances et n’ayant donc pas été prises en photographie.
L’accès à l’espace personnel est conditionné à l’utilisation d’un couple identifiant/mot de passe. Les règles régissant la composition des mots de passe et leur stockage sont conformes aux exigences fixées par la Commission dans la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
Les échanges de données entre l’espace personnel et les serveurs de la société MEMENTO se font via le protocole HTTPS/TLS, qui permet de garantir la confidentialité des données échangées ainsi que l'authentification. Les recommandations techniques publiées par l’ANSSI dans sa note technique recommandations pour la sécurisation des sites web  sont mises en œuvre.
Une fois l’espace personnel MEMENTO créé, un gabarit biométrique est dérivé à partir de photographies (entre un et trois autoportraits). Plusieurs vérifications assurent (i) que chaque photographie montre bien un unique visage ; (ii) que cette photographie n’a pas déjà été utilisée dans le cadre du traitement mis en œuvre par la société MEMENTO ; (iii) que toutes les photographies fournies appartiennent bien à la même personne ; et (iv) que la personne n’est pas déjà enrôlée. 
Une fois le gabarit extrait, les images sources sont supprimées. En revanche, une version dégradée de celles-ci – rendant l’extraction fiable de caractéristiques biométriques inopérante – est conservée pour être affichée dans l’espace personnel du client.
Les gabarits biométriques sont conservés dans une base séparée, isolée du reste du traitement. Les accès à cette base sont restreints aux applications bénéficiant d’un certificat logiciel approprié. Enfin, les gabarits sont chiffrés avec des algorithmes à l'état de l'art et des procédures de gestion de clés appropriées sont mises en œuvre. 
Les photographes mettent à disposition de la société MEMENTO un accès vers les photographies des personnes ayant donné leur consentement pour le traitement de leurs données biométriques. Ces photographies sont rapatriées dans le système d’information de la société MEMENTO par des canaux de communication sécurisés. La comparaison biométrique est ensuite réalisée. Les algorithmes sont réglés afin de privilégier des taux de faux positifs très bas, c'est-à-dire assurant qu’un cliché aura très peu de chance d’être attribué à une mauvaise personne.
Une journalisation des opérations de consultation, création, modification et suppression des données est mise en place. Ces traces sont conservées pendant toute la durée du compte, celle-ci n’excédant pas six mois. 
Des sauvegardes sont réalisées quotidiennement. Elles sont fréquemment testées afin de vérifier leur intégrité. Leur transfert est sécurisé ; elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité.
Enfin, la société MEMENTO prévoit des audits de sécurité réguliers.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Par ailleurs, la Commission prend note que la société MEMENTO s’engage à lui fournir, à l’issue de l’expérimentation, un bilan de l’expérimentation qui devra notamment comporter les éléments suivants :
une description des conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté (taux de participation, temps moyen d’authentification, éventuels dysfonctionnements, causes des dysfonctionnements, taux de fausses acceptations, taux de faux rejets) ;
une évaluation de la perception utilisateur (phase de l’enrôlement, ergonomie du service, acceptabilité de la biométrie faciale, taux d’utilisation et de non utilisation) ;
une présentation des enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter) ;
les suites envisagées par le responsable de traitement sur la base du bilan effectué : axes d’amélioration ou abandon du projet.
En outre, la Commission prend acte que ce dispositif a été conçu dans un contexte expérimental et que les conditions présentées dans ce dossier ne présagent nullement de celles qui pourraient être retenues dans l’hypothèse où la pérennisation d’un tel dispositif serait envisagée. Dans un tel cas, la Commission recommande que soit examinée la possibilité de déployer un dispositif qui assure aux personnes concernées de conserver le contrôle sur leurs données biométriques, en envisageant par exemple un stockage sous forme chiffrée des gabarits biométriques dont les clés de chiffrement/déchiffrement seraient uniquement détenues par les utilisateurs.
La Commission rappelle à cet égard l’entrée en vigueur le 25 mai 2018 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE. L’article 35-3 de ce texte dispose qu’une analyse d’impact relative à la protection des données [...] est, en particulier, requise dans les cas suivants : [...] le traitement à grande échelle de catégories particulières de données visées à l’article 9, paragraphe 1 [...]  parmi lesquelles les données biométriques aux fins d’identifier une personne physique de manière unique.
 
Aussi, la Commission prend acte de l’engagement pris par la société MEMENTO de réaliser une analyse d’impact relative à la protection des données dans le cas où une pérennisation de cette expérimentation serait envisagée à son issue, ainsi que de consulter la Commission, sur la base de cet examen et ce, quel qu’en soit le niveau de risques évalué.
 
Dans ces conditions, la Commission autorise la société MEMENTO à mettre en œuvre, à titre expérimental, pour une durée de six mois, un système d’identification par reconnaissance faciale des personnes prises en photographie pour leur permettre d’accéder directement à celles qui les concernent.
Le Vice-Président Délégué 
 
Marie-France MAZARS