Délibération n°2011-408 du 15 décembre 2011 autorisant la mise en œuvre par NATIXIS ASSET MANAGEMENT  d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès à des postes informatiques  (autorisation n°1538531)
Nature: Autre autorisation

La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur le rapport de Monsieur Jean-Paul AMOUDRY, commissaire et les observations de Madame Elisabeth ROLIN, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée, la Commission est saisie par NATIXIS ASSET MANAGEMENT d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès à des postes informatiques.
Formule les observations suivantes :
Responsable du traitement
NATIXIS ASSET MANAGEMENT
Finalités
Le dispositif a pour finalité de sécuriser les accès aux postes informatiques des personnels chargés de la gestion d’actifs, de la gestion des taux, des opérations (middle office) et des bases référentielles basés sur Paris. Il s’agit de renforcer l’authentification de ces personnels qui ont accès à des applications sensibles pour NATIXIS ASSET MANAGEMENT, de prévenir tout risque d’usurpation d’identité et de tracer les opérations effectuées par ces personnels.
Données traitées
Les données traitées seront :
l’identité (nom, prénom) ;
l’identifiant d’utilisateur (le nom de compte);
le gabarit du réseau veineux de deux doigts de la main de la personne.
Destinataires
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée les personnels assurant la sécurité des systèmes d’informations de NATIXIS ASSET MANAGEMENT
Information et droit d’accès
Le droit d’accès et de rectification s’exercera directement auprès du service Sécurité des Systèmes d’information de NATIXIS ASSET MANAGEMENT, 21 quai d’Austerlitz, 75 013 PARIS ;
Observations particulières 
La Commission observe que les personnels concernés ont une activité en lien direct avec la gestion de fonds et le passage d’ordre.Les postes informatiques des personnels comporteront un lecteur de gabarit de réseau veineux du doigt de la main.La procédure d’enrôlement du réseau veineux de deux doigts de la main s’effectuera en présence d’un administrateur de la sécurité des systèmes d’information.Au moment de l’accès aux applications concernées, la vérification s’effectuera entre le doigt apposé par l’employé sur le lecteur et le gabarit de l’empreinte du réseau veineux du même doigt enregistré sur le serveur de NATIXIS ASSET MANAGEMENT.Les gabarits biométriques et les éléments d’identification seront conservés pendant la durée de l’habilitation des personnes concernées à accéder aux applications sensibles.Les données de suivi des accès sont conservées pendant une durée de 12 mois.Les gabarits biométriques et les mots de passe sont chiffrés par trois clés successives.Compte tenu de ce qui précède et dans la mesure où le réseau veineux du doigt de la main en l’état actuel de la technique, est une biométrie sans trace non susceptible d’être capturée à l’insu des personnes, la Commission considère que la mise en œuvre d’un traitement reposant sur la reconnaissance du réseau veineux du doigt apparaît, dans ces conditions adaptée et proportionnée à la finalité assignée au dispositif au regard de la protection des données personnelles.
Dans ces conditions, la Commission autorise la société NATIXIS ASSET MANAGEMENT à mettre en œuvre un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès à des postes informatiques
La Présidente
Isabelle FALQUE-PIERROTIN