(demande d’autorisation 1233098)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Sur le rapport de M. Didier GASSE et M. Hubert BOUCHET, commissaires et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société GMB Electronique d’un traitement de données à caractère personnel reposant sur la reconnaissance des visages et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
La société GMB Electronique souhaite utiliser un dispositif de reconnaissance faciale pour sécuriser l’accès au local technique dans lequel se situent les équipements électroniques et informatiques ainsi que les sauvegardes du système d’information.
D’une manière générale, la Commission observe qu’une donnée biométrique constitue un élément d’identification dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes.
Elle souligne que ce risque est d’autant plus grand en matière de reconnaissance faciale que l’image du visage peut être aisément captée et utilisée à l’insu de la personne concernée.
C’est pourquoi, la Commission considère que le recours à un dispositif de reconnaissance faciale ne peut être admis que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un impératif de sécurité, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
En l’espèce, la Commission relève que cet objectif pourrait être atteint, par exemple, par le recours à des dispositifs reposant sur la reconnaissance d’autres données biométriques telles que le contour de la main ou le réseau veineux du doigt de la main qui, en l’état actuel de la technique, ne sont pas susceptibles d’être capturées à l’insu des personnes et dès lors, ne comportent pas de risques particuliers pour les libertés et les droits fondamentaux des personnes.
En outre, compte tenu de la facilité avec laquelle l’image du visage d’une personne peut être captée et diffusée notamment, sur le réseau internet, il est nécessaire d’encadrer et de limiter son utilisation dans le cadre d’un procédé automatisé de reconnaissance biométrique. Il s’agit d’empêcher qu’une photographie du visage récupérée ne puisse être utilisée pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif de photographies ou de gabarits de visages ;
usurper l’identité d’une personne, c’est-à-dire d’utiliser la photographie de son visage pour frauder un dispositif de reconnaissance faciale.
A cet égard, les tests pratiqués sur le matériel remis à la Commission dans le cadre de l’instruction révèlent que les mécanismes sensés prévenir les risques de fraude précités sont insuffisants. Il a ainsi été possible d’usurper l’identité de personnes enrôlées notamment, par la présentation de photographies devant la caméra.
Dans ces conditions, la Commission n’autorise pas la société GMB Electronique, 40 rue Constant Coquelin – 94400 Vitry sur Seine, à mettre en œuvre le traitement de données à caractère personnel présenté.
