(déclaration n°1417744)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
L’entreprise TGT, qui commercialise et gère la manutention de « machines à sous » a fait le choix de recourir à un système de contrôle d’accès biométrique utilisant la reconnaissance des veines de la paume de la main, le VeinAccess IS.
En application des dispositions de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée le 6 août 2004, qui vise « les traitements automatisés comportant des données biométriques nécessaires au contrôle de l'identité des personnes », la Commission a été saisie par l’entreprise TGT d’une demande d’autorisation relative à un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux de la paume de la main et ayant pour finalité le contrôle de l’accès aux locaux.
La société TGT souhaite utiliser un système biométrique reposant sur la reconnaissance du réseau veineux de la paume de la main afin d’éviter qu’une personne accède aux locaux de l’entreprise alors qu’il ne fait pas partie de l’effectif de celle-ci.
Ce dispositif biométrique reposera sur un boîtier (terminal de lecture-comparaison) relié à un ordinateur (poste de contrôle), tous deux situés à l’entrée de l’entreprise. L’enrôlement des salariés s’effectuera à partir de ce boîtier. Outre les données biométriques, les éléments d’identification des personnes concernées seront également traités. Le traitement ne comporte pas de dispositif de reconnaissance faciale automatisée à partir de la photographie. L’image du réseau veineux de la paume de la main sera immédiatement convertie par le dispositif en un gabarit biométrique crypté.
Sur les finalités
La finalité du traitement est l’« authentification de la personne » accédant à l’entreprise. Le choix de la biométrie est justifié par le caractère confidentiel des données traitées par l’entreprise, dont l’activité principale est la commercialisation et la maintenance de machines à sous.
Au sein de l’entreprise TGT, ce système biométrique sans trace devrait permettre la gestion de plusieurs fonctionnalités :
la gestion des individus, des groupes et des zones ;
la gestion des portes (accès) et des calendriers (horaires d’accès autorisés) ;
le contrôle des droits d’accès ;
l’édition des historiques de passages (en cas d’incident dans les locaux).
La solution VeinAccess offre également la possibilité d’agrémenter la reconnaissance biométrique du salarié, lors de son accès aux locaux, d’une communication audiovisuelle dynamique (défilement de messages d’information interne).
La Commission relève qu’elle a déjà autorisé la mise en œuvre de dispositifs biométriques de reconnaissance du réseau veineux des doigts de la main ayant pour finalité le contrôle de l’accès aux locaux sur les lieux de travail (autorisation unique AU-019). En outre, dans une même finalité de contrôle d’accès, la CNIL avait déjà admis le recours à un dispositif biométrique de reconnaissance du réseau veineux de la paume de la main (délibération n°2009-360 du 18 juin 2009 relative au GMAT).
En l’état actuel de la technique, la Commission considère que le réseau veineux de la paume de la main est une biométrie sans trace. A cet égard, elle n’est pas susceptible d’être capturée à l’insu des personnes, et présente donc des risques réduits pour les libertés et les droits fondamentaux des personnes. Elle peut ainsi, lorsque le recours à un tel dispositif est justifié par des raisons sérieuses et entouré de garanties appropriées, être employée en matière de lutte contre la fraude à l’identité.
Or, l’activité de l’entreprise (commercialisation et maintenance de machines à sous) semble pouvoir être qualifiée de « raison sérieuse », son objectif étant effectivement de lutter contre la fraude d’identité.
Sur les données
Les données collectées sont :
des données d’identification (nom, prénom, identifiant, gabarit des veines de la main) ;
des données d’historiques de passage (date et heure de passage, porte, identifiant).
Sur les destinataires
Les destinataires du traitement, identifiés comme les personnes habilitées à accéder à l’application, sont le Responsable administratif et les collaborateurs du service affectés au traitement de ces données.
Sur la sécurité
Cette biométrie peut être considérée comme une biométrie sans trace dans la mesure où sa collecte à l’insu de la personne s’avère extrêmement difficile d’une part, et, d’autre part, la création d’une copie d’un réseau veineux est quasi impossible en l’état actuel des technologies et de nos connaissances. En outre, du fait de la quantité d’information contenue dans l’image d’un réseau veineux de la paume de la main, il est nécessaire de réduire cette information en un gabarit biométrique, soit la transformation d’une image du réseau veineux en une valeur numérique. Ce procédé de réduction permet notamment de faire abstraction des conditions d’acquisition de l’image du réseau veineux, ce qui rend possible une comparaison entre deux réseaux veineux, au moyen de calculs typiquement disponibles pour les appareils avec une informatique embarquée.
En l’espèce, conformément à l’article 34 de la loi, toutes précautions utiles seront adoptées afin de préserver la sécurité des informations, et, notamment, empêcher qu’elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés.
A cette fin, la sécurité du système sur le plan physique sera assurée par la sécurité des locaux où sont implantés les moyens informatiques et où sont conservés les supports d’information, papier et informatique, par un système de digicode et d’alarme.
Les supports d’information (y compris les sauvegardes) seront conservés dans des armoires fermées à clef. Les sauvegardes de données sur cassettes magnétiques seraient conservées dans un local protégé.
En outre, sur le plan logique, la mise en œuvre du traitement passe par une phase d’enrôlement -c'est-à-dire d’encodage du réseau veineux de la paume de la main en un gabarit permettant la reconnaissance de l’individu à chacun de ses passages, une phase de lecture biométrique et de comparaison avec le gabarit précédemment créé, et, lors du départ du salarié de l’entreprise, de suppression de son gabarit.
Concrètement, cette suppression pourra intervenir en présence du salarié. Le responsable administratif commentera alors la procédure réalisée devant le salarié. Elle pourra aussi intervenir en son absence. Le cas échéant, le responsable administratif effacera le gabarit enregistré en présence du responsable du service sécurité (ou des ressources humaines) ou d’une seconde personne. Dans les deux cas, un document sera émis, spécifiant les conditions de la suppression (date, opérateur, localisation des gabarits, personnes présentes). Une copie du document sera remise au salarié.
L’accès au logiciel VeinAccess sera limité aux administrateurs autorisés. L’accès se fera là aussi par reconnaissance biométrique du réseau veineux des paumes de la main. Toutefois, il convient de noter qu’un accès au moyen d’un login/mot de passe reste toujours possible. Or, en absence de précisions sur la politique de gestion de mots de passe, il convient de rappeler que ceux-ci doivent respecter des règles précises afin que leur complexité soit suffisante, à savoir être d’une longueur de 8 caractères minimum, être renouvelés fréquemment, et enfin utiliser des caractères alphanumériques et spéciaux.
En absence de précisions sur la traçabilité, il convient de rappeler que les accès par les administrateurs doivent être enregistrés dans des journaux dont l’intégrité doit être garantie au moyen de procédés rendant difficiles leur altération intentionnelle.
Lors des opérations de maintenance et de développement des fichiers, la confidentialité des données serait garantie par la présence d’un membre du personnel et par la tenue d’un registre de maintenance, avec les noms des intervenants et les dates des interventions.
Sur la durée de conservation
Les données d’identification et de passage seront supprimées au plus tard deux mois après le départ du salarié (licenciement, démission, retraite).
Sur les droits des personnes
L’entreprise procédera aux mesures d’information des salariés par voie d’affichage, via un panneau d’information sur les finalités du dispositif, les personnes à contacter en cas de questions relatives à l’application et à son utilisation. Par ailleurs, une réunion d’information accompagnera la mise en place du lecteur biométrique.
De plus, les utilisateurs de l’application seraient sensibilisés aux problèmes de sécurité par le biais de réunions d’information.
Le droit d’accès s’exercera auprès du Responsable Administratif et des Ressources Humaines. La communication des informations réclamées sera faite dans un délai de 2 jours. En conformité avec les dispositions de l’article 32-1 de la loi du 6 janvier 1078 modifiée en 2004, des mesures seront prises pour faciliter l’exercice de ce droit.
L’exercice du droit de rectification, ou le départ du salarié (licenciement, démission, départ en retraite) entraînera la suppression de l’enrôlement.
Dans ces conditions, la Commission considère que le recours à la reconnaissance du réseau veineux de la paume de la main répond à une finalité légitime et n'est pas excessif au regard de cette finalité.
Par conséquent, la Commission autorise l’entreprise TGT à mettre en œuvre le traitement de données à caractère personnel présenté.
