Délibération n°2009-314 du 7 mai 2009 autorisant la mise en œuvre par la société Novadis d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des visages et ayant pour finalité le contrôle de l’accès aux locaux
Nature: Autre autorisation

(demande d’autorisation 1241522)
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Sur le rapport de M. Didier GASSE et M. Hubert BOUCHET, commissaires et les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société Novadis d’un traitement de données à caractère personnel reposant sur la reconnaissance des visages et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
La société Novadis souhaite utiliser un dispositif de reconnaissance faciale pour contrôler l’accès d’un nombre limité de personnes à certaines parties de ses locaux. Les zones concernées sont : la salle utilisée pour les démonstrations et les développements ainsi que le local dans lequel sont entreposés les matériels.
Le système reposera sur des boîtiers équipés d’une caméra et qui seront situés aux différents points d’accès aux zones concernées. Les photographies des visages des personnes habilités à pénétrer dans ces zones seront exclusivement enregistrées dans les boîtiers. 
Le dispositif imposera des contraintes à l’enrôlement (distance du capteur, luminosité, angle, arrière plan, temps de pose …) qui permettront de garantir que seules les données des personnes collaborant activement seront traitées. Il contrôlera automatiquement le respect de ces critères et ne pourra procéder à l’enrôlement s’ils ne sont pas réunis. Les personnes seront assistées par un employé de la société lors de cette procédure. Une seule prise de vue sera réalisée lors de cette phase et donnera lieu à un test avant d’être validée. 
Le système intégrera également des mécanismes de résistance à la fraude notamment, une caméra infra-rouge qui doit permettre de s’assurer que le capteur est bien en présence d’un visage en trois dimensions et non d’une photographie utilisée pour leurrer le dispositif.
Les boîtiers équipés d’une caméra fonctionneront de manière autonome sans être reliés à un poste informatique via le réseau. Lors du contrôle d’accès, l’employé se présentera devant la caméra, une comparaison s’effectuera alors entre son visage et sa photographie préalablement enregistrée dans le boîtier. Ce traitement sera réalisé localement au niveau du boîtier.
Un historique des passages sera édité et conservé pendant quinze jours. La photographie du visage et les données relatives à l’identité de l’employé seront conservées tant que la personne sera habilitée à pénétrer dans la zone dont l’accès est contrôlé.
La Commission considère qu’en l’espèce, les traitements présentés sont adaptés et proportionnés à la finalité qui leur est assigné dans la mesure où notamment : 
l’enrôlement, d’un nombre limité de personnes, s’effectue dans un environnement contrôlé nécessitant la participation des personnes concernées ;
le dispositif a pour seule finalité le contrôle des accès d’un nombre limité de personnes à des zones bien déterminées ;
le système intègre des mécanismes de lutte contre la fraude.
La Commission souligne que la présente autorisation ne porte que sur les traitements mis en œuvre par la société Novadis à l’occasion du contrôle de l’accès à ses propres locaux et ne saurait constituer une labellisation du procédé de reconnaissance faciale utilisé.
Les droits d’accès et de rectification s’exerceront auprès du responsable sécurité, 14 place Marie-jeanne Bassot – 92300 Levallois-Perret.
Les catégories de données à caractère personnel enregistrées seront :
La photographie du visage ;
le nom et prénom ;
l’historique des passages.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le responsable sécurité ainsi que le Directeur général.
Dans ces conditions, la Commission autorise la société Novadis, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK