La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation, présentée par l'université d'Evry Val d'Essonne d'un traitement automatisé de données à caractère personnel ayant pour finalité principale l'évaluation d'algorithmes de reconnaissance du visage et de l'iris ;
Après avoir entendu M. Philippe Lemoine, commissaire en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l'informatique des libertés a été saisie par l'université d'Evry Val d'Essonne, le 22 juin 2006, d'un traitement automatisé de données à caractère personnel ayant pour finalité principale l'évaluation d'algorithmes de reconnaissance du visage et de l'iris.
Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Le dossier présenté par l'université d'Evry Val d'Essonne s'inscrit dans le cadre du projet IV  "identification par l'iris et le visage via vidéo" et relève plus particulièrement du programme de recherche "Technologie de la vision - Techno Vision" soutenu conjointement par les ministères de la recherche et de la défense.
Le dispositif projeté repose sur le partenariat entre les organismes suivants :  les laboratoires de biométrie de l'Institut National des Télécommunications et de l'Ecole Nationale Supérieure des Télécommunication, le laboratoire IMEDIA de l'Institut National de Recherche en Informatique et en Automatique, l'Institut EURECOM, la société Let It Wave, le laboratoire LIRIS de Ecole Centrale de Lyon, le Laboratoire Informatique, Biologie Intégrative et Systèmes Complexes (IBISC) de l'université d'Evry Val d'Essonne ainsi que les sociétés Thales Research & Technology (TRT) et Uratek.
Le premier objectif poursuivi par l'université d'Evry Val d'Essonne consiste à collecter les données permettant de constituer une base de données "multimodales" composée de d'images de visages en deux dimensions (2D) et trois dimension (3D), de l'iris ainsi que d'enregistrements de visages parlant.
La collecte des données s'effectuera auprès du personnel du laboratoire et des étudiants de l'UFR Sciences et Technologies de l'université d'Evry ainsi que des différents partenaires.  La population concernée sera comprise entre 500 et 1000 personnes. Seules les données des personnes volontaires seront traitées.
Les données biométriques précitées seront complétées par des données suivantes, recueillies auprès des personnes volontaires au moyen d'un formulaire :
- les nom, prénoms ;
- l'identifiant unique dans le cadre du programme de recherche ;
- l'adresse ;
- le téléphone ;
- l'adresse électronique ;
- la classe d'âge ;
- la couleur de la peau (blanche, noire, jaune, autre - précisez) ;
- la couleur des cheveux ;
- la couleur des yeux ;
- la présence de signes distinctifs sur le visage (lentilles, barbe, percing, lunettes, moustaches, cicatrices) ;
- l'existence d'un lien de parenté avec un autre ;
- l'indication du nom et prénom du parent, la nature du lien de parenté volontaire (mère, père, fille, fils, cousin) ;
- le cas échéant l'indication "vrais" ou "faux jumeaux".
Les données ainsi collectées serviront à élaborer des protocoles d'évaluation d'algorithmes mis au point dans des laboratoires de recherche publics ou privés.  Ces protocoles donneront lieu à une première procédure d'évaluation, l'objectif étant de permettre la comparaison des résultats obtenus par des équipes différentes travaillant sur une même problématique.  Les algorithmes évalués, dans un premier temps, porteront sur :
- l'identification ou la vérification d'identités fondée sur l'utilisation de différentes modalités (visage 2D, visage 2D/3D, visage 3D, visage parlant) ;
- la qualité de certains modules de traitement intermédiaires : position des yeux, précision de la reconstruction 3D du visage à partir de données stéréoscopiques.
Le programme Techno Vision se déroule sur vingt-quatre mois et est décomposé en six phases principales.  Une fois qu'il sera achevé, les données obtenues pourront être utilisées dans le cadre du projet IV2 afin de mener d'autres évaluations portant notamment sur l'identification de personnes grâce à l'utilisation de données "multimodales".
A cette occasion, les données pourront être communiquées à des laboratoires de recherche étrangers, dans le cadre de conventions de recherche, pour permettre de comparer les résultats obtenus par des laboratoires de recherche français ou européens à ceux de laboratoires situés hors union européenne.
La Commission prend acte que les laboratoires de recherche souhaitant recevoir la base de données s'engageront, au préalable et par écrit, à ne pas divulguer les données, à n'utiliser les données qu'à des fins de recherche, à ne publier que les résultats obtenus à partir de ces données.  S'agissant des laboratoires situés vers des Etats n'assurant pas un niveau de protection suffisant de la vie privée, le transfert de donnée fera l'objet d'un encadrement contractuel soumis pour autorisation à la Commission nationale de l'informatique et des libertés conformément aux dispositions de l'article 69 de la loi du 6 janvier 1978 susvisée.
La Commission relève également que les données d'identification (nom et prénoms) ne seront jamais communiquées et que les seules données transmises seront :
- les données biométriques :  Visage 2D, Visage 3D, Iris et Visage parlant ;
- les données dites "d'identification restreinte" :  catégorie d'âge, sexe, couleur de la peau, des yeux et des cheveux.
Par ailleurs, elle note que les données collectées dans le cadre du projet Techno Vision seront conservées trois ans après le début de l'exploitation, soit jusqu'en 2010 et que les organismes participants s'engagent, sauf autorisation de la CNIL prolongeant ce délai, à détruire la base en leur possession à l'issue de cette période ainsi qu'à ne pas l'utiliser à des fins commerciales.
De même, elle prend acte que le formulaire utilisé pour la collecte des données est accompagné d'une fiche d'information que les personnes concernées doivent signer et dans le cadre de laquelle elles :
- sont informées de la transmission d'une partie de leurs données à caractère personnel vers des laboratoires de recherche situés en dehors de l'Union européenne ;
- consentent expressément au traitement des informations relatives à la couleur de leur peau qui constituent des données sensibles en ce qu'elles sont susceptibles de faire apparaître les origines raciales ou ethniques, conformément aux dispositions de l'article 8-II-1° de la loi précitée.
Compte tenu de ce qui précède, dans la mesure où seules les données biométriques des personnes volontaires seront traitées et ce dans le seul but d'élaborer des protocoles d'évaluation d'algorithmes à des fins de recherche, les traitements soumis à la Commission et en particulier, le recours à la constitution de bases de données biométriques, ne comportent pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d'accès et de rectification s'exerceront auprès de la coordinatrice du projet IV2 au sein du Laboratoire Informatique, Biologie Intégrative et Systèmes Complexes (IBISC) - CNRS FRE 2873.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels des laboratoires et services de recherche en charge du projet IV2 "identification par l'iris et le visage via vidéo" de :
- l'Institut National des Télécommunications ;
- l'Ecole Nationale Supérieure des Télécommunications,
- l'Institut National de Recherche en Informatique et en Automatique ;
- l'Institut EURECOM ;
- la société Let It Wave ;
- l'Ecole Centrale de Lyon (LIRIS) ;
- l'Université d'Evry Val d'Essonne (IBISC) ;
- la société Thales Research & Technology (TRT) ;
- la société Uratek.
De même pourront être destinataires des seules données biométriques (Visage 2D, Visage 3D, Iris et Visage parlant) et des données dites "d'identification restreinte" (catégorie d'âge, sexe, couleur de la peau, des yeux et des cheveux) les laboratoires de recherche publics ou privés étrangers dans le domaine de la biométrie, y compris situés dans des pays n'assurant pas un niveau de protection suffisant des données, sous réserve que, le transfert de données ait préalablement été autorisé par la Commission nationale de l'informatique et des libertés.
Dans ces conditions, la Commission autorise l'université d'Evry Val d'Essonne à mettre en oeuvre un traitement automatisé de données à caractère personnel ayant pour finalité principale l'évaluation d'algorithmes de reconnaissance du visage et de l'iris.
Le président, Alex TURK.
