Délibération n°2008-098 du 10 avril 2008 autorisant la mise en œuvre par l’Ecole Nationale Supérieure d’Ingénieurs de Caen (ENSICAEN) d’un traitement de données à caractère personnel ayant pour finalité la création d’une plate-forme de test biométrique (autorisation n°1198593)
Nature: Autre autorisation

La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Philippe LEMOINE, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par l’Ecole Nationale Supérieure d’Ingénieurs de Caen (ENSICAEN) d’un traitement de données à caractère personnel ayant pour finalité la création d’une plate-forme de test biométrique.
Formule les observations suivantes :
Le projet de recherche de l’Ecole Nationale Supérieure d’Ingénieurs de Caen (ENSICAEN) a pour principal objet la création et l’utilisation d’une plate-forme de test de procédés biométriques. Ce programme sera mené en partenariat avec France Télécom Recherche et Développement.
Le dispositif servira à étudier « les usages » de la biométrie pour de nouveaux services liés au contrôle des accès. Pour mener à bien ce projet l’ENSICAEN souhaite constituer une base de données biométriques « multimodales » composée : d’images de visages en deux dimensions, d’iris, d’échantillon vocaux, d’empreintes digitales et de photographies de la main.
Ces données permettront d’élaborer des protocoles de caractérisation des différents capteurs biométriques ainsi que l’usage de ceux-ci par les utilisateurs. Ces protocoles donneront lieu à plusieurs procédures d’évaluation. Les objectifs sont de mesurer « l’impact » de nouveaux moyens d’accès sur les utilisateurs, de développer et de tester de nouvelles méthodes d’interactions (combinaisons de plusieurs biométries) et de définir des modèles ergonomiques. 
Cette plate-forme, appelée Visioportier, aura l’aspect d’un système de contrôle d’accès physique et de communication visiophonique procédant à l’identification biométrique des utilisateurs. Elle sera mise en œuvre dans des conditions « réelles » puisque utilisée pour contrôler les accès à un local réservé à un nombre limité de personnels et d’étudiants habilités qui n’excède pas cent personnes. Ceux qui ne souhaiteront pas participer à l’expérimentation pourront entrer par une autre porte à l’aide d’une simple clé.
Le dispositif permettra également la mise en relation visiophonique et l’ouverture à distance du local concerné. Enfin, un nouveau procédé d’anonymisation des données biométriques sera testé dans le cadre de cette application.
La collecte des données s’effectuera auprès du personnel de l’ENSICAEN et de France Télécom Recherche et Développement ainsi qu’auprès des étudiants de l’ENSICAEN. Seules les données des personnes volontaires seront traitées. Elles seront conservées pendant trois ans dans une base de données chiffrée.
La Commission prend acte que le formulaire utilisé pour la collecte des données est accompagné d’une fiche d’information que les personnes concernées doivent signer et dans le cadre de laquelle elles indiquent accepter ou refuser le traitement des informations relatives à la couleur de leur peau.
De même, elle souligne que sa décision ne porte que sur l’autorisation de mise en œuvre du dispositif projeté à des fins de recherche et ne saurait avoir valeur de labellisation des technologies utilisées.
Dans la mesure où seules les données biométriques des personnes volontaires seront traitées et ce, dans le seul but de constituer une plate-forme de test de procédés biométriques destinée à permettre l’étude « des usages » de la biométrie pour de nouveaux services liés au contrôle des accès, les traitements soumis à la Commission sont adaptés et proportionnés à la finalité assignée au dispositif au regard de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès du Département de Relations Industrielles de l’ENSICAEN, 6 bld Maréchal Juin – 14050 CAEN Cedex 4.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom) ;
les coordonnées (adresse et numéro de téléphone – facultatifs) ;
l’adresse de courrier électronique ;
l’image du visage ;
l’image de l’iris ;
l’image d’empreintes digitales ;
l’image de la main ;
des échantillons de la voix ;
la classe d’âge ;
l’indication de la couleur de la peau, des cheveux et des yeux, dont l’expression est laissée à la discrétion de la personne ;
la présence des signes distinctifs sur le visage (lentilles, barbe, piercing, lunettes, moustaches, cicatrices).
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnes habilitées de l’équipe :
Sécurité Monétique de l’ENSICAEN ;
Biométrie de France Télécom Recherche et Développement.
Dans ces conditions, la Commission autorise l’Ecole Nationale Supérieure d’Ingénieurs de Caen (ENSICAEN), à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK