(Demande d’autorisation 1467233)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment ses articles 25-I 8° et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, modifié le 25 mars 2007 ;
Vu la demande d’autorisation présentée par la société STATE STREET BANQUE S.A.d’un traitement de données à caractère personnel reposant sur un procédé de reconnaissance vocale et ayant pour finalité l’accès au support informatique en charge de la réinitialisation des mots de passe ;
Après avoir entendu M. Emmanuel de GIVRY, Vice-Président, en son rapport, et Mme Isabelle ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par la société STATE STREET BANQUE S.A. d’un traitement de données à caractère personnel reposant sur un procédé de reconnaissance vocale et ayant pour finalité l’accès au support informatique en charge de la réinitialisation des mots de passe.
Il y a lieu de faire application des dispositions prévues à l’article 25-I 8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Le dispositif a pour objet de sécuriser la gestion et la réinitialisation par téléphone des mots de passe utilisés pour accéder au système d’information de la société STATE STREET BANQUE S.A. Il s’agit d’éviter les risques de fraude aux systèmes informatiques de la société.
Le dispositif reposera sur la reconnaissance du gabarit de l’empreinte de la voix des employés. Lors de la procédure d’enrôlement, l’utilisateur procédera à l’enregistrement du gabarit de son empreinte vocale grâce à la répétition d’une phrase choisie parmi trois phrases prédéfinies, de manière aléatoire.
Pour réinitialiser leur mot de passe informatique, l’utilisateur appellera le service informatique situé aux Etats-Unis. Une fois que l’utilisateur a été correctement authentifié grâce à la phrase pré-enregistrée, le service informatique réinitialise le mot de passe et le communique à l’utilisateur. Les données seront conservées le temps de l’existence du compte informatique de l’utilisateur.
La Commission constate que la solution proposée ne laisse pas le choix de la phrase prononcée dont le contenu n’est pas courant, ce qui réduit les risques de réutilisation dans un autre contexte, et donc d’usurpation d’identité.
La Commission observe qu’au regard des éléments dont elle a eu connaissance, le serveur situé aux Etats-Unis bénéficie d’un niveau de sécurité élevé. La communication s’effectue par ligne sécurisée. Et la solution permet la traçabilité des opérations réalisées sur le serveur et l’application permettant d’en garantir l’imputabilité.
Compte tenu des modalités de mise en œuvre du dispositif et notamment des moyens utilisés pour garantir la sécurité des données et prévenir tout risque d’usurpation d’identité ou d’utilisation des données pour d’autres finalités, le recours à la constitution d’une base de données de gabarit d’empreintes vocales aux fins de gérer les mots de passe informatique est adapté et proportionné à la finalité assignée au dispositif, au regard de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès du service juridique de la société STATE STREET BANQUE S.A., 23/25 rue Delarivière Lefoulion, 92064 La défense Cédex.
Les catégories de données à caractère personnel enregistrées seront :
les données d’identification des utilisateurs ;
les gabarits de leur voix.
Le destinataire des informations sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, les personnes habilitées de la société COURION CORPORATION située aux Etats-Unis D’Amérique.
Les garanties mises en œuvre par le destinataire des données sont des clauses contractuelles élaborées par la Commission européenne relatives au transfert de données de responsable de traitement à sous-traitant.
Dans ces conditions, la Commission autorise la société STATE STREET BANQUE S.A. à mettre en œuvre le traitement de données à caractère personnel présenté.
