La Commission nationale de l'informatique et des libertés,
Vu la Convention n'108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation, présentée par la société Sagem Défense Sécurité d'un traitement automatisé de données à caractère personnel ayant pour finalité principale le développement d'algorithmes de reconnaissance du visage en trois dimensions ;
Après avoir entendu M. Philippe Lemoine, commissaire en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l'informatique des libertés a été saisie par la société Sagem Défense Sécurité, le 3 août 2006, d'un traitement automatisé de données à caractère personnel ayant pour finalité principale le développement d'algorithmes de reconnaissance du visage en trois dimensions.
La Commission considère qu'il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Le dossier présenté par la société Sagem Défense Sécurité est l'un des projets de recherche du programme IST (Technologies pour la société de l'information) mis en oeuvre sous l'égide de la Commission européenne et qui s'inscrit dans le cadre du 6ème programme-cadre de recherche communautaire.  La société Sagem est le coordinateur de ce projet européen dénommé "3Dface", d'une durée de trois ans et qui réunit 12 autres partenaires tous situés au sein de l'Union européenne.
La finalité du dispositif présenté est principalement d'acquérir des données biométriques afin de développer des algorithmes de reconnaissance du visage en trois dimensions.  Un autre aspect de ce projet de recherche concerne la sécurisation des données biométriques.  Les traitements réalisés auront également pour objectif d'améliorer les dispositifs afin de renforcer la sécurité générale des systèmes (résistance aux attaques et fraudes aux capteurs) mais également de prévenir les risques de captation et de modification des données biométriques.  A terme, les technologies développées dans le cadre de ce projet de recherche devraient être évaluées dans les différents aéroports européens.
Dans ce contexte, il convient de souligner que la présente décision ne porte que sur l'autorisation de mise en oeuvre du dispositif projeté et ne saurait avoir valeur de labelisation de la technologie présentée.
La Commission prend acte que seules les données des personnes volontaires, employées de la société Sagem Défense Sécurité, seront traitées et qu'aucune information relative à l'identité (nom, prénom) des personnes volontaires ne sera enregistrée.  Ainsi, les seules données conservées seront :
- les images en trois et deux dimensions du visage des personnes ;
- le sexe ;

- la taille ;
- la présence de signes distinctifs sur le visage.
Elle relève également que l'ensemble de ces données sera détruit à l'issue du programme de recherche, soit au bout de trois ans et que les personnes volontaires seront informées dans les conditions fixées à l'article 32 de la loi du 6 janvier 1978 modifiée le 6 août 2004 par la remise d'une fiche d'information au moment de l'enrôlement.  La société Sagem Défense Sécurité procédera à l'information et à la consultation du comité d'entreprise.
Compte tenu de ce qui précède, dans la mesure où seules les données biométriques des personnes volontaires seront traitées et ce dans le seul but de développer des algorithmes de reconnaissance du visage en trois dimensions à des fins de recherche et de renforcer la sécurité de ces données, les traitements soumit à la Commission et en particulier, le recours à la constitution de bases de données biométriques, ne comportent pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d'accès et de rectification s'exerceront auprès du responsable du programme "3Dface" au sein de la société Sagem Défense Sécurité.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnes habilitées de l'unité recherche et développement urd27 située sur le site d'Eragny sur Oise (95).
De même, seront destinataires dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le personnel en charge du programme de recherche "3Dface" au sein des partenaires suivants :
- Flughafen Berlin-Schoenefeld Gmbh ;
- Bundesdruckerei Gmbh, Polygon Technology Gmbh ;
- Cognitec Systems Gmbh ;
- Visage Technology Aktiengesellschaft ;
- Zentrum Fuer Graphische Datenverarbeitung e.v ;
- Fraunhofer Gesellschaft zur foerderung der angewandten forschung e.v. ;
- Universiteit Twente Netherlands Philips electronics b.v.  ;
- University of Kent at Canterbury ;
- Consiglio Nazionale delle Ricerche.
Dans ces conditions, la Commission autorise la société Sagem Défense Sécurité à mettre en oeuvre un traitement automatisé de données à caractère personnel ayant pour finalité principale le développement d'algorithmes de reconnaissance du visage en trois dimensions.
Le président, Alex TURK.
