Délibération n° 2016-027 du 11 février 2016 habilitant des agents de la CNIL à procéder à des missions de vérification
NOR: CNIL1604793X

Le bureau de la Commission nationale de l’informatique et des libertés, Vu le code de la sécurité intérieure, notamment son article L. 253-3 ; Vu la loi n° 78-17 modifiée du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 11 (2°, f), 19, 20 et 44 ; Vu le décret n° 2005-1309 modifié du 20 octobre 2005 pris pour l’application de la loi du 6 janvier 1978, notamment ses articles 57 à 60 ; Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d’attributions au bureau de la Commission nationale de l’informatique et des libertés ; Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés, notamment son article 61 ; Après avoir entendu Mme Marie-France MAZARS, vice-présidente déléguée, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations, Décide : Article 1 Les agents de la Commission nationale de l’informatique et des libertés ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l’article 44 de la loi du 6 janvier 1978 et à l’article L. 253-3 du code de la sécurité intérieure : Mme Maryline ABIVEN, chef du service du droit d’accès indirect à la direction de la protection des droits et des sanctions ; Mme Fabienne AMIARD, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Leslie BASSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Franck BAUDOT, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ; Mme Margalith BENECH-KOPELIANSKIS, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Anna BENISTI, juriste au service des plaintes à la direction de la protection des droits et des sanctions ; Mme Alma BENZAÏD, juriste au service de la santé à la direction de la conformité ; Mme Tiphaine BESSIERE, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Thomas BIZET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Stéphanie BOURGEOIS, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Coraline BORIE, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Soumia BOUASSAM, juriste au service de la santé à la direction de la conformité ; M. Erik BOUCHER-DE-CREVECOEUR, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ; Mme Stéphanie BOISSEAU, juriste au service des plaintes à la direction de la protection des droits et des sanctions ; Mme Céline BOYER, juriste au service du secteur régalien et des collectivités locales à la direction de la conformité ; Mme Véronique BREMOND, juriste au service des plaintes à la direction de la protection des droits et des sanctions ; M. Thierry CARDONA, ingénieur au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Delphine CARNEL, juriste au service du secteur régalien et des collectivités locales à la direction de la conformité ; Mme Johanna CARVAIS, responsable du pôle labels à la direction de la conformité ; Mme Anne-Sophie CASAL, juriste au service des plaintes à la direction de la protection des droits et des sanctions ; M. Jérôme COUZIGOU, juriste au service des questions sociales et ressources humaines à la direction de la conformité ; M. Guillaume DELAFOSSE, juriste au service des plaintes à la direction de la protection des droits et des sanctions ; M. Geoffrey DELCROIX, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l’innovation ; M. Eric DELISLE, juriste au service des correspondants Informatique et Libertés à la direction de la conformité ; M. Xavier DELPORTE, adjoint au chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ; M. Olivier DESBIEY, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l’innovation ; M. Jérôme DE MERCEY, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Alexandra DORE, juriste au service de la santé à la direction de la conformité ; M. Julien DROCHON, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ; M. Nicolas de DROUIN DE BOUVILLE, juriste au service des affaires européennes et internationales ; M. Thomas DUONG, juriste au service de la santé à la direction de la conformité ; Mme Wafae EL BOUJEMAOUI, chef du service des questions sociales et ressources humaines à la direction de la conformité ; M. Lionel ERRANDONEA, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Marie FERTE, juriste au service du secteur régalien et des collectivités locales à la direction de la conformité ; Mme Florence FOURETS, directrice de la protection des droits et des sanctions ; M. Emile GABRIE, chef du service du secteur régalien et des collectivités locales à la direction de la conformité ; M. Gaston GAUTRENEAU, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ; M. Edouard GEFFRAY, secrétaire général ; Mme Sophie GENVRESSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Mathieu GINESTET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Matthieu GRALL, chef du service de l’expertise technologique à la direction des technologies et de l’innovation ; M. Stéphane GRÉGOIRE, chef du service du secteur économique à la direction de la conformité ; M. Michel GUEDRÉ, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Hélène GUIMIOT-BREAUD, juriste au service de la santé à la direction de la conformité ; Mme Fatima HAMDI, chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ; Mme Aurélie HARVENT-LAFFONT, juriste au service des correspondants Informatique et Libertés à la direction à de la conformité ; M. Paul HEBERT, directeur adjoint de la conformité ; Mme Amandine JAMBERT, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ; Mme Véronique JENNEQUIN, assistante au service des contrôles à la direction de la protection des droits et des sanctions Mme Pauline KIENLEN, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Karin KIEFER, chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Chloé KURFUST, juriste au service des plaintes à la direction de la protection des droits et des sanctions ; M. Florian LABAUDINIERE, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Alice de LA MURE, juriste au service des correspondants Informatique et Libertés à la direction à de la conformité ; Mme Elise LATIFY, juriste au service des affaires européennes et internationales ; M. Bernard LAUNOIS, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ; M. Gwendal LE GRAND, directeur des technologies et de l’innovation ; Mme Maud LETAY, juriste au service des plaintes à la direction de la protection des droits et des sanctions ; Mme Noémie LICHON, juriste au service du secteur économique à la direction de la conformité ; M. Laurent LIM, juriste au service des affaires européennes et internationales ; Mme Astrid MARIAUX, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Richard MONTBEYRE, chef du service des contrôles à la direction de la protection des droits et des sanctions ; M. Mathias MOULIN, directeur adjoint de la protection des droits et des sanctions ; Mme Sophie NERBONNE, directrice de la conformité ; Mme Ingrid NKOUENJIN, juriste au service des correspondants informatique et libertés à la direction de la conformité ; Mme Rabia OUADDAH, juriste au service des plaintes à la direction de la protection des droits et des sanctions ; Mme Daniéla PARROT, chef du service des plaintes à la direction de la protection des droits et des sanctions ; M. Frédéric PATTE-BRASSEUR, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ; M. Stéphane PETITCOLAS, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ; Mme Astrid PEYRARD, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Délia RAHAL-LOFSKOG, chef du service de la santé à la direction de la conformité ; Mme Florence RAYNAL, chef du service des affaires européennes et internationales ; M. Adrien ROUSSEAUX, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ; M. David RUIZ, juriste au service des questions sociales et ressources humaines à la direction de la conformité ; Mme Isabelle SANSOT, juriste au service du secteur économique à la direction de la conformité ; Mme Katty SAINT-GELAIS, juriste au service du secteur économique à la direction de la conformité ; Mme Clémence SCOTTEZ, juriste au service du secteur économique à la direction de la conformité ; Mme Emilie SERUGA-CAU, juriste au service du secteur régalien et des collectivités locales à la direction de la conformité ; M. Vincent TOUBIANA, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ; Mme Sophie VANNIER, juriste au service des affaires européennes et internationales ; M. Benjamin VIALLE, ingénieur au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Albine VINCENT, chef du service des correspondants Informatique et Libertés à la direction de la conformité ; M. Christophe VIVENT, adjoint au chef du service des contrôles à la direction de la protection des droits et des sanctions ; Mme Sophie VULLIET-TAVERNIER, directrice des relations avec les publics et la recherche. Article 2 La délibération n° 2015-055 du 12 février 2015 habilitant des agents de la CNIL à procéder à des missions de vérification sur place est abrogée. Article 3 Les habilitations mentionnées à l’article 1er sont délivrées pour une durée de cinq ans. Article 4 La présente décision prendra effet à compter de la date de sa publication au Journal officiel de la République française. La présidente, I. Falque-Pierrotin


Délibération n° 2016-186 du 30 juin 2016 portant autorisation unique de mise en œuvre de dispositifs ayant pour finalité le contrôle d’accès par authentification biométrique aux locaux, aux appareils et aux applications informatiques sur les lieux de travail et garantissant la maîtrise par la personne concernée sur son gabarit biométrique
(AU-052)

Extrait du Journal officiel électronique authentifié PDF - 243,3 Ko La Commission nationale de l'informatique et des libertés, Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ; Vu le code du travail, notamment ses articles L 1222-4, L 2143-22, L 2315-5, L 2323-13 et suivants, L 2323-32, L 2325-11 et L 8113-4 et suivants ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment ses articles 25.I.8° et 25.II ; Vu la loi n° 83-634 du 13 juillet 1983 portant droits et obligations des fonctionnaires ; Vu la loi n° 84-16 du 11 janvier 1984 portant dispositions statutaires relatives à la fonction publique de l'Etat ; Vu la loi n° 84-53 du 16 janvier 1984 portant dispositions statutaires relatives à la fonction publique territoriale ; Vu la loi n° 86-33 du 9 janvier 1986 portant dispositions statutaires relatives à la fonction publique hospitalière ; Vu le décret 82-452 du 28 mai 1982 relatif aux comités techniques paritaires ; Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ; Vu la délibération n° 2006-102 du 27 avril 2006 portant autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance de l'empreinte digitale exclusivement enregistrée sur un support individuel détenu par la personne concernée et ayant pour finalité le contrôle de l'accès aux locaux sur les lieux de travail ; Vu la délibération n° 2009-316 du 7 mai 2009 portant autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux locaux sur les lieux de travail ; Vu la délibération n° 2011-074 du 10 mars 2011 portant autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance de l’empreinte digitale et ayant pour finalité le contrôle de l’accès aux postes informatiques portables professionnels ; Vu la délibération n° 2012-322 du 20 septembre 2012 portant autorisation unique de mise en œuvre de traitements reposant sur la reconnaissance du contour de la main et ayant pour finalités le contrôle d'accès ainsi que la restauration sur les lieux de travail ; Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations, Formule les observations suivantes : Les données biométriques ont la particularité d'être uniques et permanentes, car elles permettent d'identifier un individu à partir de ses caractéristiques physiques, biologiques, voire comportementales (par ex. : empreinte digitale, contour de la main). Elles ne sont pas attribuées par un tiers ou choisies par la personne. Elles sont produites par le corps lui-même et le désignent de façon définitive. Elles permettent de ce fait le suivi des individus et leur identification. La gestion des contrôles de l’accès à des zones, appareils et applications limitativement identifiées par le responsable de traitement comme faisant l'objet d'une restriction de circulation et d’accès peut s’effectuer grâce à la mise en œuvre d’un dispositif de reconnaissance biométrique résultant d'un traitement technique spécifique des caractéristiques physiques, physiologiques ou comportementales d'une personne physique, permettant ou confirmant son identification unique, telles que des images faciales ou des données dactyloscopiques. Le caractère sensible des données issues de ce traitement justifie que la loi prévoie un contrôle spécifique de la CNIL, pour apprécier la proportionnalité du traitement au regard de la finalité recherchée telle que la gestion des restrictions d’accès mises en place dans un contexte professionnel. De tels dispositifs relèvent en effet de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes. Par ailleurs, il y a lieu, en l’état des connaissances sur la technologie utilisée, de faire application des dispositions de l’article 25-II aux termes duquel les traitements qui répondent à une même finalité, portent sur des catégories de données identiques et les mêmes destinataires ou catégories de destinataires, peuvent être autorisés par une décision unique de la Commission. Au cours des dernières années, la Commission a émis plusieurs autorisations uniques de mise en œuvre de dispositifs biométriques de contrôle d’accès aux lieux de travail fondés soit sur la reconnaissance du contour de la main (délibération n° 2006-101 du 27 avril 2006 portant autorisation unique 007), soit sur la reconnaissance de l’empreinte digitale (délibération n° 2006-102 du 27 avril 2006 portant autorisation unique 008), soit sur la reconnaissance du réseau veineux des doigts de la main (délibération n° 2009-316 du 7 mai 2009 portant autorisation unique 019), ou de contrôle d’accès aux postes informatiques portables professionnels par reconnaissance de l’empreinte digitale (délibération n°2011-074 du 10 mars 2011 portant autorisation unique 027). Les dispositifs autorisés par ces décisions uniques ont pour finalité commune la gestion et le contrôle des restrictions d’accès définies dans un contexte professionnel, que ces accès soient logiques ou physiques, à partir de différentes caractéristiques biométriques. Toutefois, les modalités de conservation du gabarit qu’elles autorisent différent en fonction des caractéristiques biométriques utilisées. L’évolution des technologies appelle une révision des cadres de références actuels. Face au développement du recours aux dispositifs biométriques aux fins de contrôle d’accès, la Commission doit veiller, conformément à l’article 1er de la loi du 6 janvier 1978 modifiée à ce que ces traitements restent au service du citoyen et ne " portent atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques ". La présente autorisation concerne les dispositifs de contrôle d’accès biométriques mis en œuvre dans des conditions assurant la maîtrise de la personne concernée sur son gabarit biométrique et offrant des garanties de sécurité et de confidentialité fortes, qui peuvent se décliner sous deux formes de mise en œuvre. En premier lieu, la Commission estime que les systèmes recourant au stockage des données biométriques sur un support individuel détenu par les personnes concernées garantissent une meilleure protection de la vie privée. En effet, placer la donnée sous le contrôle exclusif des intéressés permet mécaniquement de réduire les risques de détournement et l’impact d’une usurpation, si le support est subtilisé. En cas de perte ou de vol du support individuel, seule la donnée concernée est compromise et non tous les gabarits des salariés soumis au contrôle d’accès. En second lieu, s’il est avéré que la détention d’un support dédié au seul stockage du gabarit n’est pas adaptée à l’architecture et au contexte d’exploitation du dispositif, le responsable du traitement peut, de manière alternative, assurer le verrouillage des données biométriques stockées en base, par un secret détenu par la seule personne concernée. Dans ces deux hypothèses, l’utilisation du gabarit biométrique reste conditionnée à une action de la personne concernée en tant que détentrice du gabarit ou du secret permettant de le déverrouiller. Le périmètre des traitements biométriques couverts par la présente autorisation unique s’étend à toute personne disposant d’une habilitation d’accès contrôlée par le dispositif biométrique mis en œuvre par le responsable du traitement concerné, et à toute caractéristique biométrique, utilisée seule ou de manière combinée. Enfin, la présente autorisation ne vise pas un type de local ou d’appareil précis mais, de manière plus générale, tout local, appareil ou application identifié de manière limitative par le responsable du traitement comme faisant l’objet d’une restriction d’accès par contrôle d’accès biométrique. Le responsable de traitement mettant en œuvre un dispositif de contrôle d’accès reposant sur la reconnaissance d’une des caractéristiques biométriques visées par la présente décision dans le respect de ses dispositions adresse à la Commission un engagement de conformité de celui-ci aux caractéristiques de la présente autorisation. Dès lors, les responsables de traitement qui adressent à la Commission une déclaration comportant un engagement de conformité pour leurs traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en œuvre ces traitements. Article 1 : Finalités du traitement Seuls peuvent faire l’objet d’un engagement de conformité en référence à la présente décision unique les traitements reposant sur un dispositif de reconnaissance d’une caractéristique biométrique, mis en œuvre par les organismes privés ou publics, à l’exception des traitements mis en œuvre : pour le compte de l’Etat ; lorsque les personnes concernées sont des mineurs. Ces traitements peuvent uniquement avoir pour finalité : le contrôle des accès à l'entrée et dans les locaux limitativement identifiés par l'organisme comme devant faire l’objet d’une restriction de circulation, à l’exclusion de tout contrôle des horaires des employés ; le contrôle des accès à des appareils et applications informatiques professionnels limitativement identifiés de l'organisme, à l'exclusion de tout contrôle du temps de travail de l'utilisateur. Le responsable du traitement s’engage à documenter les éléments démontrant la pertinence du recours à un dispositif de contrôle d’accès biométrique, plutôt qu’à un dispositif de contrôle d’accès moins risqué pour la vie privée des personnes concernées, au regard de ses besoins et du contexte de mise en œuvre du dispositif. Il devra mettre à disposition de la Commission ces éléments sur simple demande. Article 2 : Données à caractère personnel traitées Seules les données à caractère personnel suivantes peuvent être traitées : l’identité : nom, prénom, photographie et gabarit de la caractéristique biométrique, clé biométrique résultat du traitement des mesures par un algorithme (et non une image ou une photographie de cette caractéristique), numéro d'authentification ou numéro de support individuel, coordonnées ; la vie professionnelle : numéro de matricule interne, corps ou service d'appartenance, grade, nom de l’employeur ; le déplacement des personnes : porte utilisée, zones et plage horaire d'accès autorisées, date et heure d'entrée et de sortie ; en cas d'accès à un parking : numéro d'immatriculation du véhicule, numéro de place de stationnement. Article 3 : Modalités et durée de conservation : Les caractéristiques biométriques ne peuvent être conservées que sous la forme d’un gabarit chiffré ne permettant pas de recalculer la donnée biométrique d’origine. Afin de garantir la maîtrise par la personne concernée de son gabarit, ce dernier doit être exclusivement conservé sur un support individuel de stockage placé sous son contrôle exclusif. Si la détention d’un support individuel de stockage n’est pas adaptée au contexte de mise en œuvre du contrôle d’accès, le responsable du traitement peut conserver le gabarit en base de données ou dans la mémoire interne du terminal de lecture comparaison sous réserve : de justifier et documenter la nécessité de recourir au stockage en base, compte-tenu du contexte de mise en œuvre du dispositif ; et de ne conserver les gabarits biométriques que sous forme chiffrée par une clé de chiffrement/déchiffrement uniquement détenue par la personne concernée. La clé ne doit être envoyée au serveur qu’au moment de l’authentification de la personne concernée. Elle ne doit pas être conservée sur le serveur. Le gabarit de la donnée biométrique associé ne peut être conservé que le temps de l’habilitation de la personne concernée et doit être supprimés à son départ. Les catégories de données relatives à l'identité, à la vie professionnelle et à la gestion du parking peuvent, être conservées au maximum cinq ans après le départ de la personne disposant d’une habilitation d’accès de longue durée, et trois mois après le départ des personnes disposant d’une habilitation d’accès ponctuelle. Les éléments relatifs aux déplacements des personnes ne doivent pas être conservés plus de trois mois. Article 4 : Destinataires des informations Personnes habilitées du service du personnel Identité (à l'exception du gabarit de la biométrie utilisé et du code d'authentification), vie professionnelle, déplacement des personnes et informations en relation avec la gestion du parking Personnes habilitées du service gérant la sécurité des locaux Identité (à l'exception du gabarit de la biométrie utilisée et du code d'authentification), plages horaires autorisées, déplacement des personnes, vie professionnelle et informations en relation avec la gestion du parking ou des locaux Personnes habilitées du service ou de l'organisme gérant le restaurant d'entreprise ou administratif Identité (à l'exception du gabarit du gabarit de la biométrie utilisée et du code d'authentification), informations en relation avec la gestion de la restauration Les personnes habilitées énumérées ci-dessus ne peuvent avoir accès au gabarit de l'empreinte digitale que de façon temporaire et pour les stricts besoins de l’enrôlement de la personne concernée ou de la suppression du gabarit. Il leur est impossible d'accéder directement, de modifier ou de copier sur un autre support les gabarits enregistrés. Article 5 : Liberté de circulation des employés protégés Les contrôles d'accès aux locaux du responsable de traitement et aux zones limitativement désignées, faisant l'objet d'une restriction de circulation justifiée par la sécurité des biens et des personnes qui y travaillent, ne doivent pas entraver la liberté d'aller et venir des employés protégés dans l'exercice de leurs missions conformément aux dispositions du code du travail. Article 6 : Mesures de sécurité Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance. Dans cet objectif, le responsable de traitement adopte des mesures suivantes, ou des mesures équivalentes dont il démontre l’équivalence : mesures portant sur les données : cloisonner les données lors de leur transmission et leur conservation ; chiffrer les données biométriques, dont les gabarits, à l’aide d’un algorithme cryptographique et d’une gestion des clés conformes à l’état de l’art ; en particulier, une politique de chiffrement et de gestion des clés doit être clairement définie (changement des clés par défaut, algorithmes et tailles des clés conformes à l’état de l’art, renouvellement prévu…) ; associer un code d’intégrité aux données (par exemple, signature par hachage) ; interdire tout accès externe à la donnée biométrique (" match-on-card " ou module de sécurité physique/logique type HSM) ; effectuer le contrôle d'accès par une comparaison entre l’échantillon calculé et le gabarit d’enrôlement enregistré (en base interne/distante ou sur support individuel) sans copie du gabarit ; veiller à l’effectivité de l’effacement des données à l’issue de la durée de conservation ; supprimer la donnée biométrique en cas d’accès non autorisé au terminal de lecture-comparaison ou au serveur distant ; supprimer toute donnée non utile au traitement ultérieur lors de la fin de vie du dispositif biométrique ; mesures portant sur l’organisation : informer les personnes concernées, de manière complète, spécifique et intelligible, via des supports clairs et synthétiques ; responsabiliser les personnes concernées sur les bonnes conditions d’utilisation des matériels ; mettre à disposition un dispositif alternatif " de secours " ou utilisé à titre exceptionnel, sans contrainte ni surcoût pour les personnes n’utilisant pas la solution biométrique ; en particulier, pour les personnes ne répondant pas aux contraintes du dispositif biométrique (enrôlement ou lecture de la donnée biométrique impossible) et en prévision d’une indisponibilité du dispositif biométrique (tel qu’un dysfonctionnement du dispositif), une " solution de secours " doit être mise en œuvre pour assurer une continuité du service proposé, limitée toutefois à un usage exceptionnel ; tester le système selon une procédure formalisée, avant sa mise en place et après toute modification, dans un environnement dédié et sans recourir à des données réelles ; déterminer les actions à entreprendre en cas d’échec de l’authentification (impossible de vérifier une identité, défaut d’habilitation à pénétrer dans une zone sécurisée...) ; gérer de manière stricte l’accès physique et logique aux dispositif et bases de données par les personnes habilitées ; en particulier, une politique de gestion des droits et des accès doit être clairement définie ; il s’agit de formaliser les différentes catégories de personnes habilitées (utilisateurs, administrateurs et gestionnaires de bases de données, personnes en charge de la gestion des données, personnes techniques de maintenance…), leurs droits sur les données, la manière dont les habilitations sont gérées, la manière dont leur accès est contrôlé, la manière dont les secrets sont gérés, les traces journalisées, la manière dont les traces sont gérées, etc. former spécifiquement les administrateurs et personnes habilités à gérer les données (enrôlement, traitements, effacement…) ; intégrer une mesure technique ou organisationnelle de détection anti-fraude ; prévenir les personnes concernées en cas d’accès non autorisé à leurs données ; formaliser, appliquer et faire connaître une procédure de secours en cas d’incident (prévoyant notamment le ré-enrôlement) ; mesures portant sur les matériels : mettre en œuvre des mesures permettant d’être alerté en cas de tentative d’effraction sur le lecteur ou le dispositif de stockage ; en particulier, en cas de stockage de la donnée sur une base locale intégrée au dispositif biométrique, toute tentative d’ouverture ou d’arrachement du terminal de lecture-comparaison doit être détectée, suivie d’un signalement à l’administrateur du dispositif ; réserver un matériel spécifique au stockage des données ; utiliser des matériels certifiés aux conditions d’usage et en termes de sécurité ; garantir la traçabilité du cycle de vie du matériel ; mesures portant sur les logiciels : réserver un logiciel spécifique à l’usage des données ; signer le logiciel et vérifier sa signature ; tenir les logiciels à jour selon une procédure formalisée ; vérifier que les modifications apportées par les éditeurs de logiciels ne favorisent pas la fuite de données ; recourir à des mécanismes de détection et de protection contre les logiciels malveillants et logiciels espions, éprouvés et tenus à jour ; limiter les actions des usagers sur les logiciels ; garantir la traçabilité du cycle de vie des logiciels ; vérifier régulièrement les licences des logiciels utilisés ; interdire l’installation de logiciels permettant une observation interne (dans le cas d’un badge) ; s’assurer du cloisonnement de l’application de biométrie ; mesure portant sur les canaux informatiques : sécuriser les canaux informatiques (canaux réservés et chiffrés). Article 7 : Information et droits des personnes L'information des personnes est effectuée, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004, par la diffusion à chaque personne concernée, préalablement à la mise en œuvre du traitement, d'une note explicative. La notice explicative précise notamment la manière d’exercer les droits d’accès, de rectification et d’opposition pour motif légitime. Le responsable du traitement procède également, conformément aux dispositions des articles L 2323-13 et suivants, L 2323-32 du Code du travail et à la législation applicable aux trois fonctions publiques, à l’information et à la consultation des instances représentatives du personnel avant la mise en œuvre des traitements visés à l’article premier. Article 8 : Abrogation des délibérations n° 2011-074, n° 2009-316, n° 2006-102, n° 2012-322 et dispositions transitoires La présente délibération abroge et remplace la délibération n° 2011-074 du 10 mars 2011 portant autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance de l’empreinte digitale et ayant pour finalité le contrôle de l’accès aux postes informatiques portables professionnels, la délibération n° 2009-316 du 7 mai 2009 portant autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux locaux sur les lieux de travail, la délibération n° 2006-102 du 27 avril 2006 portant autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance de l'empreinte digitale exclusivement enregistrée sur un support individuel détenu par la personne concernée et ayant pour finalité le contrôle de l'accès aux locaux sur les lieux de travail ainsi que la délibération n° 2012-322 du 20 septembre 2012 portant autorisation unique de mise en œuvre de traitements reposant sur la reconnaissance du contour de la main et ayant pour finalités le contrôle d'accès ainsi que la restauration sur les lieux de travail. Les organismes privés et publics ayant effectué un engagement de conformité à ces autorisations uniques et qui ne respectent plus les conditions fixées par la présente norme disposent d'un délai de deux ans à compter de la publication de la présente délibération pour mettre en conformité leur traitement avec la présente délibération ou la délibération n° 2016-187 adoptée ce jour ou demander une autorisation spécifique auprès de la Commission dans les formes prescrites par les articles 25-I-8° et 30 de la loi du 6 janvier 1978 modifiée. Tout traitement automatisé de données à caractère personnel reposant sur l’utilisation d’un dispositif de reconnaissance d’une caractéristique biométrique, qui n’est pas conforme aux dispositions qui précèdent, doit faire l’objet d’une demande d’autorisation auprès de la Commission dans les formes prescrites par les articles 25-I-8° et 30 de la loi du 6 janvier 1978 modifiée. Article 10 La présente délibération sera publiée au Journal officiel de la République française. La Présidente Isabelle FALQUE-PIERROTIN


Délibération n° 2016-187 du 30 juin 2016 portant autorisation unique de mise en œuvre de dispositifs ayant pour finalité le contrôle d’accès par authentification biométrique aux locaux, aux appareils et aux applications informatiques sur les lieux de travail, reposant sur une conservation des gabarits en base par le responsable du traitement
(AU-053)

Extrait du Journal officiel électronique authentifié PDF - 243,5 Ko La Commission nationale de l'informatique et des libertés, Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ; Vu le code du travail et notamment ses articles L 1222-4, L 2143-22, L 2315-5, L 2323-13 et suivants, L 2323-32, L 2325-11 et L 8113-4 et suivants ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment ses articles 25.I.8° et 25.II ; Vu la loi n° 83-634 du 13 juillet 1983 portant droits et obligations des fonctionnaires ; Vu la loi n° 84-16 du 11 janvier 1984 portant dispositions statutaires relatives à la fonction publique de l'Etat ; Vu la loi n° 84-53 du 16 janvier 1984 portant dispositions statutaires relatives à la fonction publique territoriale ; Vu la loi n° 86-33 du 9 janvier 1986 portant dispositions statutaires relatives à la fonction publique hospitalière ; Vu le décret 82-452 du 28 mai 1982 relatif aux comités techniques paritaires ; Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ; Vu la délibération n° 2011-074 du 10 mars 2011 portant autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance de l’empreinte digitale et ayant pour finalité le contrôle de l’accès aux postes informatiques portables professionnels ; Vu la délibération n° 2009-316 du 7 mai 2009 portant autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux locaux sur les lieux de travail ; Vu la délibération n° 2006-102 du 27 avril 2006 portant autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance de l'empreinte digitale exclusivement enregistrée sur un support individuel détenu par la personne concernée et ayant pour finalité le contrôle de l'accès aux locaux sur les lieux de travail ; Vu la délibération n° 2012-322 du 20 septembre 2012 portant autorisation unique de mise en œuvre de traitements reposant sur la reconnaissance du contour de la main et ayant pour finalités le contrôle d'accès ainsi que la restauration sur les lieux de travail ; Après avoir entendu Mme. Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations, Formule les observations suivantes : Les données biométriques ont la particularité d'être uniques et permanentes, car elles permettent d'identifier un individu à partir de ses caractéristiques physiques, biologiques, voire comportementales (ex : empreinte digitale, contour de la main). Elles ne sont pas attribuées par un tiers ou choisies par la personne. Elles sont produites par le corps lui-même et le désigne de façon définitive. Elles permettent de ce fait le suivi des individus et leur identification. La gestion des contrôles de l’accès à des zones, appareils et applications limitativement identifiées par le responsable de traitement comme faisant l'objet d'une restriction de circulation et d’accès peut s’effectuer grâce à la mise en œuvre d’un dispositif de reconnaissance biométrique résultant d'un traitement technique spécifique des caractéristiques physiques, physiologiques ou comportementales d'une personne physique, permettant ou confirmant son identification unique, telles que des images faciales ou des données dactyloscopiques. Le caractère sensible des données issues de ce traitement justifie que la loi prévoie un contrôle spécifique de la CNIL, pour apprécier la proportionnalité du traitement au regard de la finalité recherchée telle que la gestion des restrictions d’accès mises en place dans un contexte professionnel. De tels dispositifs relèvent en effet de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes. Par ailleurs, il y a lieu, en l’état des connaissances sur la technologie utilisée, de faire application des dispositions de l’article 25-II aux termes duquel les traitements qui répondent à une même finalité, portent sur des catégories de données identiques et les mêmes destinataires ou catégories de destinataires, peuvent être autorisés par une décision unique de la Commission. Au cours des dernières années, la Commission a émis plusieurs autorisations uniques de mise en œuvre de dispositifs biométriques de contrôle d’accès aux lieux de travail fondés soit sur la reconnaissance du contour de la main (délibération n° 2006-101 du 27 avril 2006 portant autorisation unique 007), soit sur la reconnaissance de l’empreinte digitale (délibération n° 2006-102 du 27 avril 2006 portant autorisation unique 008), soit sur la reconnaissance du réseau veineux des doigts de la main (délibération n° 2009-316 du 7 mai 2009 portant autorisation unique 019), ou de contrôle d’accès aux postes informatiques portables professionnels par reconnaissance de l’empreinte digitale (délibération n° 2011-074 du 10 mars 2011 portant autorisation unique 027). Les dispositifs autorisés par ces décisions uniques ont pour finalité commune la gestion et le contrôle des restrictions d’accès définies dans un contexte professionnel, que ces accès soient logiques ou physiques, à partir de différentes caractéristiques biométriques. Toutefois, les modalités de conservation du gabarit qu’elles autorisent différent en fonction des caractéristiques biométriques utilisées. L’évolution des technologies appelle une révision des cadres de références actuels. Face au développement du recours aux dispositifs biométriques aux fins de contrôle d’accès, la Commission doit veiller, conformément à l’article 1er de la loi du 6 janvier 1978 modifiée, à ce que ces traitements restent au service du citoyen et ne " portent atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques ". La délibération n°2016-186 portant autorisation unique de mise en œuvre de dispositifs ayant pour finalité le contrôle d’accès par authentification biométrique aux locaux, aux appareils et aux applications informatiques sur les lieux de travail et garantissant la maîtrise par la personne concernée sur son gabarit biométrique, pose des conditions garantissant un haut niveau de confidentialité et une limitation des risques de détournement ou d’usurpation de la donnée. Dès lors, la Commission appelle les responsables du traitement à privilégier les dispositifs biométriques répondant aux conditions édictées par cette délibération de manière à préserver la maîtrise des personnes sur leurs données biométriques. Toutefois, la détention d’un support de stockage ou d’un secret par la personne concernée n’est pas toujours compatible avec les besoins du responsable du traitement et avec le contexte de mise en œuvre du dispositif biométrique. La conjugaison de plusieurs facteurs tels que le nombre de personnes concernées, les exigences sanitaires applicables aux locaux protégés, leur sensibilité ou encore la nécessité pour le responsable du traitement de maitriser en temps réel l’ensemble du dispositif, peut contribuer à justifier un stockage des gabarits en base centrale interconnectée aux différents terminaux de lecture comparaison ou sur le serveur de ces derniers. Afin de tenir compte de ces situations, la présente décision précise les conditions de mise en œuvre des traitements biométriques reposant sur une conservation des gabarits en base par le responsable du traitement. Ces conditions portent tant sur la justification de la pertinence de ces dispositifs, que sur les mesures à mettre en œuvre pour limiter les risques de détournement et d’usurpation de la donnée et plus généralement les risques pour la vie privée des personnes concernées. Le périmètre des traitements biométriques couverts par la présente autorisation unique s’étend à toute personne disposant d’une habilitation d’accès contrôlée par le dispositif biométrique mis en œuvre par le responsable du traitement concerné, et à toute caractéristique biométrique, utilisée seule ou de manière combinée. Enfin, la présente autorisation ne vise pas un type de local ou d’appareil précis mais, de manière plus générale, tout local, appareil ou application identifié de manière limitative par le responsable du traitement comme faisant l’objet d’une restriction d’accès par contrôle d’accès biométrique. Le responsable de traitement mettant en œuvre un dispositif de contrôle d’accès reposant sur la reconnaissance d’une des caractéristiques biométriques visées par la présente décision dans le respect de ses dispositions adresse à la Commission un engagement de conformité de celui-ci aux caractéristiques de la présente autorisation. Il s’engage à documenter les mesures prises pour répondre à chacune des dispositions de la présente autorisation. Dès lors, les responsables de traitement qui adressent à la Commission une déclaration comportant un engagement de conformité pour leurs traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en œuvre ces traitements. Article 1 : Finalités du traitement Seuls peuvent faire l’objet d’un engagement de conformité en référence à la présente décision unique les traitements reposant sur un dispositif de reconnaissance d’une caractéristique biométrique, mis en œuvre par les organismes privés ou publics, à l’exception des traitements mis en œuvre : pour le compte de l’Etat ; lorsque les personnes concernées sont des mineurs. Ces traitements peuvent uniquement avoir pour finalité : le contrôle des accès à l'entrée et dans les locaux limitativement identifiés par l'organisme comme devant faire l’objet d’une restriction de circulation, à l’exclusion de tout contrôle des horaires des employés ; le contrôle des accès à des appareils et applications informatiques professionnels limitativement identifiés de l'organisme, à l'exclusion de tout contrôle du temps de travail de l'utilisateur. Toutefois, le responsable du traitement s’engage à justifier au moyen d’une documentation appropriée : du choix de recourir à un dispositif biométrique plutôt qu’à un traitement non biométrique au regard de la finalité du traitement ; du choix du stockage des gabarits en base et des contraintes faisant obstacle au maintien de la maitrise individuelle des personnes sur leur gabarit. Article 2 : Données à caractère personnel traitées Seules les données à caractère personnel suivantes peuvent être traitées : l’identité : nom, prénom, photographie et gabarit de la caractéristique biométrique, clé biométrique résultat du traitement des mesures par un algorithme (et non une image ou une photographie de cette caractéristique), numéro d'authentification ou numéro de support individuel, coordonnées ; la vie professionnelle : numéro de matricule interne, corps ou service d'appartenance, grade, nom de l’employeur ; le déplacement des personnes : porte utilisée, zones et plage horaire d'accès autorisées, date et heure d'entrée et de sortie ; en cas d'accès à un parking : numéro d'immatriculation du véhicule, numéro de place de stationnement. Article 3 : modalités et durée de conservation : Les caractéristiques biométriques ne peuvent être conservées que sous la forme d’un gabarit chiffré ne permettant pas de recalculer la donnée biométrique d’origine, soit en base de données où elles peuvent être associées à un numéro d’authentification de la personne, soit dans la mémoire interne du terminal de lecture comparaison qui ne dispose d’aucun port de communication permettant l’extraction de ce gabarit. Le gabarit de la donnée biométrique ne peut être conservé que le temps de l’habilitation de la personne concernée et doit être supprimés à son départ. Les catégories de données relatives à l'identité, à la vie professionnelle et à la gestion du parking peuvent, être conservées au maximum cinq ans après le départ de la personne disposant d’une habilitation d’accès de longue durée, et trois mois après le départ des personnes disposant d’une habilitation d’accès ponctuelle. Les éléments relatifs aux déplacements des personnes ne doivent pas être conservés plus de trois mois. Article 4 : Destinataires des informations Personnes habilitées du service du personnel Identité (à l'exception du gabarit de la biométrie utilisé et du code d'authentification), vie professionnelle, déplacement des personnes et informations en relation avec la gestion du parking Personnes habilitées du service gérant la sécurité des locaux Identité (à l'exception du gabarit de la biométrie utilisée et du code d'authentification), plages horaires autorisées, déplacement des personnes, vie professionnelle et informations en relation avec la gestion du parking ou des locaux Personnes habilitées du service ou de l'organisme gérant le restaurant d'entreprise ou administratif Identité (à l'exception du gabarit du gabarit de la biométrie utilisée et du code d'authentification), informations en relation avec la gestion de la restauration Les personnes habilitées énumérées ci-dessus ne peuvent avoir accès au gabarit de l'empreinte digitale que de façon temporaire et pour les stricts besoins de l’enrôlement de la personne concernée ou de la suppression du gabarit, sans qu’il leur soit possible d'accéder directement, de modifier, ou de copier sur un autre support, les gabarits enregistrés. Article 5 : Liberté de circulation des employés protégés Les contrôles d'accès aux locaux du responsable de traitement et aux zones limitativement désignées, faisant l'objet d'une restriction de circulation justifiée par la sécurité des biens et des personnes qui y travaillent, ne doivent pas entraver la liberté d'aller et venir des employés protégés dans l'exercice de leurs missions conformément aux dispositions du code du travail. Article 6 : Mesures de sécurité Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance. Compte tenu de la sensibilité des traitements concernées et des risques liés au stockage des gabarits en base, le responsable du traitement s’engage à documenter la conformité de son traitement sous forme d’analyse d’impact relative à la protection des données. L’analyse doit comprendre une description systématique des opérations de traitement envisagées et des finalités du traitement ainsi qu’une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités, conformément à l’article 2 de la présente délibération. Elle doit également détailler les mesures envisagées afin de faire face aux risques pour les droits et libertés des personnes concernées, y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel, conformément au présent article. Au regard des risques identifiés par la Commission, le responsable du traitement s’engage notamment à adopter les mesures suivantes, ou des mesures équivalentes dont il démontre l’équivalence : mesures portant sur les données : cloisonner les données lors de leur transmission et leur conservation ; chiffrer les données biométriques, dont les gabarits, à l’aide d’un algorithme cryptographique et d’une gestion des clés conformes à l’état de l’art ; en particulier, une politique de chiffrement et de gestion des clés doit être clairement définie (changement des clés par défaut, algorithmes et tailles des clés conformes à l’état de l’art, renouvellement prévu…) ; associer un code d’intégrité aux données (par exemple, signature par hachage) ; interdire tout accès externe à la donnée biométrique (module de sécurité physique/logique type HSM) ; effectuer le contrôle d'accès par une comparaison entre l’échantillon calculé et le gabarit d’enrôlement enregistré (en base interne/distante) sans copie du gabarit ; veiller à l’effectivité de l’effacement des données à l’issue de la durée de conservation ; supprimer la donnée biométrique en cas d’accès non autorisé au terminal de lecture-comparaison ou au serveur distant ; supprimer toute donnée non utile au traitement ultérieur lors de la fin de vie du dispositif biométrique ; mesures portant sur l’organisation : informer les personnes concernées, de manière complète, spécifique et intelligible, via des supports clairs et synthétiques ; responsabiliser les personnes concernées sur les bonnes conditions d’utilisation des matériels ; mettre à disposition un dispositif alternatif " de secours " ou utilisé à titre exceptionnel, sans contrainte ni surcoût pour les personnes n’utilisant pas la solution biométrique ; en particulier, pour les personnes ne répondant pas aux contraintes du dispositif biométrique (enrôlement ou lecture de la donnée biométrique impossible) et en prévision d’une indisponibilité du dispositif biométrique (tel qu’un dysfonctionnement du dispositif), une " solution de secours " doit être mise en œuvre pour assurer une continuité du service proposé, limitée toutefois à un usage exceptionnel ; tester le système selon une procédure formalisée, avant sa mise en place et après toute modification, dans un environnement dédié et sans recourir à des données réelles ; déterminer les actions à entreprendre en cas d’échec de l’authentification (impossible de vérifier une identité, défaut d’habilitation à pénétrer dans une zone sécurisée...) ; gérer de manière stricte l’accès physique et logique aux dispositif et bases de données par les personnes habilitées ; en particulier, une politique de gestion des droits et des accès doit être clairement définie ; il s’agit de formaliser les différentes catégories de personnes habilitées (utilisateurs, administrateurs et gestionnaires de bases de données, personnes en charge de la gestion des données, personnes techniques de maintenance…), leurs droits sur les données, la manière dont les habilitations sont gérées, la manière dont leur accès est contrôlé, la manière dont les secrets sont gérés, les traces journalisées, la manière dont les traces sont gérées, etc. ; former spécifiquement les administrateurs et personnes habilitées à gérer les données (enrôlement, traitements, effacement…) ; intégrer une mesure technique ou organisationnelle de détection anti-fraude ; prévenir les personnes concernées en cas d’accès non autorisé à leurs données ; formaliser, appliquer et faire connaître une procédure de secours en cas d’incident (prévoyant notamment le ré-enrôlement) ; obtenir un engagement de responsabilité de la part des administrateurs ; journaliser les opérations effectuées sur les supports ; assurer des mesures de sauvegarde ; formaliser et tester une procédure de récupération du système ; mesures portant sur les matériels : mettre en œuvre des mesures permettant d’être alerté en cas de tentative d’effraction sur le lecteur ou le dispositif de stockage ; en particulier, en cas de stockage de la donnée sur une base locale intégrée au dispositif biométrique, toute tentative d’ouverture ou d’arrachement du terminal de lecture/comparaison doit être détectée, suivie d’un signalement à l’administrateur du dispositif ; réserver un matériel spécifique au stockage des données ; utiliser des matériels certifiés aux conditions d’usage et en termes de sécurité ; garantir la traçabilité du cycle de vie du matériel ; mesures portant sur les logiciels : réserver un logiciel spécifique à l’usage des données ; signer le logiciel et vérifier sa signature ; tenir les logiciels à jour selon une procédure formalisée ; vérifier que les modifications apportées par les éditeurs de logiciels ne favorisent pas la fuite de données ; recourir à des mécanismes de détection et de protection contre les logiciels malveillants et logiciels espions, éprouvés et tenus à jour ; limiter les actions des usagers sur les logiciels ; garantir la traçabilité du cycle de vie des logiciels ; vérifier régulièrement les licences des logiciels utilisés ; mesures portant sur les canaux informatiques : sécuriser les canaux informatiques (canaux réservés et chiffrés) ; interdire la transmission des gabarits stockés. Le responsable du traitement s’engage à tenir à la disposition de la Commission une copie de l’analyse d’impact relative à la protection des données établie en application du présent article. Article 7 : Information et droits des personnes L'information des personnes est effectuée, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004, par la diffusion à chaque personne concernée, préalablement à la mise en œuvre du traitement, d'une note explicative. La notice explicative précise notamment la manière d’exercer les droits d’accès, de rectification et d’opposition pour motif légitime. Le responsable du traitement procède également, conformément aux dispositions des articles L2323-13 et suivants, L 2323-32 du Code du travail et à la législation applicable aux trois fonctions publiques, à l’information et à la consultation des instances représentatives du personnel avant la mise en œuvre des traitements visés à l’article premier. Article 8 : Abrogation des délibérations n° 2011-074, n° 2009-316, n° 2006-102, n° 2012-322 et dispositions transitoires La délibération n° 2016-186 du 30 juin 2016 portant autorisation unique de mise en œuvre de dispositifs ayant pour finalité le contrôle d’accès par authentification biométrique aux locaux, aux appareils et aux applications informatiques sur les lieux de travail et garantissant la maîtrise par la personne concernée sur son gabarit biométrique a abrogé la délibération n° 2011-074 du 10 mars 2011 portant autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance de l’empreinte digitale et ayant pour finalité le contrôle de l’accès aux postes informatiques portables professionnels, la délibération n° 2009-316 du 7 mai 2009 portant autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux locaux sur les lieux de travail, la délibération n° 2006-102 du 27 avril 2006 portant autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance de l'empreinte digitale exclusivement enregistrée sur un support individuel détenu par la personne concernée et ayant pour finalité le contrôle de l'accès aux locaux sur les lieux de travail ainsi que la délibération n° 2012-322 du 20 septembre 2012 portant autorisation unique de mise en œuvre de traitements reposant sur la reconnaissance du contour de la main et ayant pour finalités le contrôle d'accès ainsi que la restauration sur les lieux de travail. Les organismes privés et publics ayant effectué un engagement de conformité à ces autorisation uniques et qui ne respectent plus les conditions fixées par la présente norme disposent d'un délai de deux ans à compter de la publication de la présente délibération pour mettre en conformité leur traitement avec la présente délibération ou la délibération n°… adoptée ce jour ou demander une autorisation spécifique auprès de la Commission dans les formes prescrites par les articles 25-8° et 30 de la loi du 6 janvier 1978 modifiée. Tout traitement automatisé de données à caractère personnel reposant sur l’utilisation d’un dispositif de reconnaissance d’une caractéristique biométrique, qui n’est pas conforme aux dispositions qui précèdent, doit faire l’objet d’une demande d’autorisation auprès de la Commission dans les formes prescrites par les articles 25-8° et 30 de la loi du 6 janvier 1978 modifiée. Article 9 La présente délibération sera publiée au Journal officiel de la République française. La Présidente Isabelle FALQUE-PIERROTIN


Délibération n° 2017-155 du 18 mai 2017 portant avis sur un projet de décret modifiant le décret du 5 mars 2015 portant création d’un traitement automatisé de données à caractère personnel dénommé " Fichier de traitement des signalements pour la prévention de la radicalisation à caractère terroriste " (FSPRT)
(demande d’avis n° 17006637)

Extrait du Journal officiel électronique authentifié PDF - 187,3 Ko La Commission nationale de l'informatique et des libertés, Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet de décret modifiant le décret du 5 mars 2015 portant création d’un traitement automatisé de données à caractère personnel dénommé " Fichier de traitement des signalements pour la prévention de la radicalisation à caractère terroriste " (FSPRT) ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code de la sécurité intérieure, notamment ses articles L. 114-1, L. 114-2, L. 211-11-1, R. 114-7 à R. 114-10, et R. 211-32 à R. 211-34 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 26-III et 30 ; Vu la loi n° 2016-731 du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l'efficacité et les garanties de la procédure pénale ; Vu le décret du 5 mars 2015 modifié portant création d’un traitement automatisé de données à caractère personnel dénommé " Fichier de traitement des signalements pour la prévention de la radicalisation à caractère terroriste " ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu le décret n° 2007-914 du 15 mai 2007 modifié pris pour l’application du I de l’article 30 de la loi 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu le décret n° 2017-588 du 20 avril 2017 portant création d’un service à compétence nationale dénommé " Commandement spécialisé pour la sécurité nucléaire " ; Vu le décret n° 2017-668 du 27 avril 2017 portant création d’un service à compétence nationale dénommé " service national des enquêtes administratives de sécurité " ; Vu l’arrêté du 20 juillet 2016 portant création du commandement spécialisé pour la sécurité nucléaire ; Vu l’arrêté du 20 avril 2017 portant organisation et fonctionnement du service à compétence nationale dénommé " Commandement spécialisé pour la sécurité nucléaire " ; Vu la délibération de la CNIL n° 2017-047 du 9 mars 2017 portant avis sur un projet de décret pris pour l'application de l'article L. 211-11-1 du code de la sécurité intérieure et relatif à l'accès aux établissements et installations accueillant des grands événements exposés, par leur ampleur ou leurs circonstances particulières, à un risque exceptionnel de menace terroriste ; Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations, Emet l’avis suivant : La Commission a été saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet de décret modifiant le décret du 5 mars 2015 portant création d’un traitement automatisé de données à caractère personnel dénommé " Fichier de traitement des signalements pour la prévention de la radicalisation à caractère terroriste " (FSPRT). Le traitement FSPRT, mis en œuvre par la direction générale de la police nationale et, plus précisément, par l’unité de coordination de la lutte anti-terroriste, a pour finalité le recensement et la centralisation des informations relatives aux personnes qui, engagées dans un processus de radicalisation, sont susceptibles de vouloir se rendre à l’étranger sur un théâtre d’opérations de groupements terroristes ou de vouloir prendre part à des activités à caractère terroriste. En application des dispositions du III de l’article 26 de la loi du 6 janvier 1978 modifiée, le décret du 5 mars 2015 portant création de ce traitement a fait l’objet d’une dispense de publication et figure ainsi à l’article 2 du décret n° 2007-914 du 15 mai 2007 susvisé. Dès lors, conformément aux dispositions des articles 26-III et 30 de la loi du 6 janvier 1978 modifiée, les modifications de ses conditions de mise en œuvre doivent être autorisées par décret en Conseil d’Etat, pris après avis motivé de la Commission, dont seul le sens devra être publié, dans les conditions prévues par l’article 83 du décret n° 2005-1309 du 20 octobre 2005 modifié. Les modifications envisagées visent à permettre la consultation du FSPRT dans le cadre d’enquêtes administratives prévues aux articles L. 114-1, L. 114-2 et L. 211-11-1 du code de la sécurité intérieure (CSI). La nécessité de ces modifications résulte, d’une part, de l’adoption de nouveaux dispositifs législatifs imposant la réalisation d’enquêtes administratives conditionnant l’accès à certains emplois ou sites sensibles et, d’autre part, de l’évolution des modalités de réalisation des contrôles réalisés à l’occasion de ces enquêtes. Les enquêtes prévues à l’article L. 211-11-1 du CSI, issu de l’article 53 de la loi n° 2016-731 du 3 juin 2016 susvisée et relatif à la sécurité des grands évènements, ainsi que celles mentionnées à l’article L. 114-2 du CSI, dans sa rédaction issue de la loi n° 2017-258 du 28 février 2017 relative à la sécurité publique et qui concerne la sécurité des transports publics et le transport de marchandises dangereuses, s’ajoutent en effet aux possibilités d’enquêtes administratives déjà prévues par l’article L. 114-1 du CSI. La Commission relève en outre qu’est envisagé, dans le cadre des enquêtes prévues aux articles L. 114-2 et L. 211-11-1 du CSI et pour certaines enquêtes prévues à l’article L. 114-1 du même code, un renforcement des contrôles effectués avec la consultation de multiples traitements de données à caractère personnel relevant de l’article 26 de la loi du 6 janvier 1978 modifiée. La Commission s’est prononcée sur ce criblage de fichiers, s’agissant du dispositif relatif aux grands événements, dans sa délibération susvisée du 9 mars 2017. Elle relève également qu’est prévue la création d’un outil spécifique, le traitement de données à caractère personnel ACCRED, dont la création est prévue par un acte réglementaire examiné ce même jour par la Commission, et qui doit permettre une consultation automatique et simultanée d’une partie des fichiers concernés, parmi lesquels figure le FSPRT. Ce dispositif de criblage sera mis en œuvre par deux nouveaux services à compétence nationale : le " Service national des enquêtes administratives de sécurité " (SNEAS), créé par le décret n° 2017-668 du 27 avril 2017 susvisé et rattaché à la Direction générale de la police nationale, et le " Commandement spécialisé pour la sécurité nucléaire " (CoSSeN), créé par le décret n° 2017-588 du 20 avril 2017 susvisé et rattaché à la Direction générale de la gendarmerie nationale. C’est dans ce contexte que le projet de décret soumis à la Commission prévoit de compléter l’article 3 du décret du 5 mars 2015 susvisé, en y précisant que les agents individuellement désignés et spécialement habilités du SNEAS et du CoSSeN peuvent avoir accès aux données et informations relatives à l’état civil de la personne et au service saisi, en vue de la réalisation des enquêtes administratives prévues aux articles L. 114- 1, L. 114-2 et L. 211-11-1 du CSI. La mention d’un tel accès pour la réalisation d’enquêtes administratives apparaît justifiée à la Commission, mais la référence aux enquêtes prévues à l’article L. 114-1 du CSI lui apparaît devoir être précisée. En effet, le ministère a indiqué à la Commission que, s’agissant des enquêtes relevant de l’article L. 114-1 du CSI, le champ d’application du dispositif se limiterait temporairement au secteur du nucléaire et serait ensuite étendu, mais il n’a aucunement défini les limites de cette extension, alors même que les enquêtes prévues par l’article L. 114-1 du CSI conditionnent l’adoption de décisions administratives nombreuses, très diverses et ne présentant pas toutes le même degré de sensibilité. La Commission considère que la consultation du traitement FSPRT, qui est particulièrement sensible et intéresse la sûreté de l’Etat, doit être réservée aux enquêtes préalables à certaines décisions, compte tenu de leur objet spécifique. En l’absence de précisions fournies par le ministère sur les enquêtes précisément concernées par le dispositif projeté et en l’absence de justification sur la nécessité, pour chacune d’entre elles, de consulter ce traitement, la Commission estime que la proportionnalité du dispositif n’est pas démontrée. Elle rappelle qu’elle devra en tout état de cause être informée de l’évolution des conditions d’utilisation du traitement FSPRT et prend acte que le ministère s’engage à respecter cette obligation. La consultation du traitement FSPRT étant effectuée de manière automatique par le biais de l’outil ACCRED, ce dernier permettra dans un premier temps aux agents du SNEAS et du CoSSeN de visualiser la mention " inconnu " ou " levée de doute ". L’accès des agents habilités du SNEAS et du CoSSeN à la mention du " service saisi ", enregistrée dans le FSPRT, doit ensuite leur permettre de prendre connaissance des informations relatives au service en charge du suivi de la personne faisant l’objet de l’enquête, de manière à pouvoir le contacter pour un complément d’information. Sur ce point, le projet de décret prévoit que " lorsque la consultation révèle que l’identité de la personne concernée a été enregistrée dans le traitement, l’enquête administrative ne peut aboutir à un avis ou une décision défavorable sans la saisine préalable, pour complément d’information, du service saisi mentionné au 3° de l’article 2 ou, à défaut, du responsable du traitement ". Si la nécessité d’un complément d’information préalable à une décision ou un avis défavorable apparaît indispensable, notamment pour assurer le respect des dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, la Commission relève toutefois que la communication aux agents du SNEAS ou du CoSSeN d’informations enregistrées dans le FSPRT autres que l’état civil de la personne faisant l’objet de l’enquête n’est prévue par aucune disposition du projet de décret. Elle considère que la référence à un complément d’information dans la disposition précitée, dont l’objet est uniquement d’interdire l’adoption d’un avis ou d’une décision défavorable sans ce complément et dont la présence dans l’acte réglementaire encadrant l’utilisation du fichier ACCRED apparaît au demeurant plus pertinente et suffisante, ne saurait être regardée, comme le soutient le ministère de l’intérieur, comme encadrant la communication d’informations complémentaires. Elle estime que la rédaction de cette disposition doit être clarifiée pour prévoir expressément, conformément à l’article 29 de la loi du 6 janvier 1978 modifiée, la communication aux agents habilités du SNEAS et du CoSSeN d’informations complémentaires issues du traitement FSPRT. La Commission rappelle en outre que seules les données nécessaires à la réalisation des enquêtes administratives doivent leur être communiquées. Elle prend acte, sur ce point, que sera notamment exclue la communication d’informations relatives aux personnes ayant procédé à des signalements. Enfin, compte tenu de la sensibilité des données concernées, des conséquences préjudiciables susceptibles de découler de la communication d’informations erronées et, surtout, de la nature particulière du traitement FSPRT, qui comporte des éléments déclaratifs provenant de signalements divers, la Commission considère que des précautions particulières doivent être mises en œuvre pour que les données communiquées dans le cadre du complément d’information prévu par le projet de décret aient été préalablement vérifiées et mises à jour. Au regard de l’ensemble de ces éléments, le sens de l’avis de la Commission qui devra être publié en même temps que le décret autorisant la dispense de publication du décret modifiant le décret du 5 mars 2015 susvisé, devra porter la mention : " favorable avec réserve ". La Présidente Isabelle FALQUE-PIERROTIN


Délibération n° 2017-222 du 20 juillet 2017 portant adoption d'une recommandation concernant le traitement des données relatives à la carte de paiement en matière de vente de biens ou de fourniture de services à distance et abrogeant la délibération n° 2013-358 du 14 novembre 2013

Extrait du Journal officiel électronique authentifié PDF - 261,6 Ko La Commission nationale de l'informatique et des libertés, Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ; Vu le code civil ; Vu le code de la consommation ; Vu le code monétaire et financier ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu la délibération n° 2012-209 du 21 juin 2012 portant création d'une norme simplifiée concernant les traitements automatisés de données à caractère personnel relatifs à la gestion de clients et de prospects ; Vu la délibération de la Commission nationale de l'informatique et des libertés n° 2005-213 du 11 octobre 2005 portant adoption d'une recommandation concernant les modalités d'archivage électronique, dans le secteur privé, de données à caractère personnel ; Vu la recommandation n° R (90) 19 du Conseil de l'Europe relative à la protection des données à caractère personnel à des fins de paiement et autres opérations connexes ; Vu les recommandations de la Banque centrale européenne pour la sécurité des paiements par internet publiées le 31 janvier 2013 ; Après avoir entendu M. François PELLEGRINI, Commissaire, en son rapport, et Mme Nacima BELKACEM, Commissaire du Gouvernement, en ses observations, Formule les observations suivantes : La Commission a adopté une délibération, le 19 juin 2003, portant adoption d'une recommandation relative au stockage et à l'utilisation du numéro de carte bancaire dans le secteur de la vente à distance. Dix ans après l'adoption de cette recommandation, la Commission a adopté une nouvelle délibération visant à l’actualiser et à proposer des préconisations concrètes à l’utilisation du numéro de carte bancaire par les professionnels de la vente à distance dans un traitement automatisé. Les plaintes reçues par la Commission, ainsi que les différents contrôles menés ces dernières années, ont mis en lumière la nécessité d'actualiser de nouveau ses recommandations afin d'apporter des réponses concrètes aux différentes parties prenantes et de prendre en compte l'évolution du cadre légal et technologique. Les dispositions de la présente recommandation, qui abroge celle de 2013, s'appliquent au traitement de données relatives à la carte de paiement (carte interbancaire ou dispositif similaire), ci-après " la carte ", lors de toute vente d'un bien ou fourniture d'une prestation de service conclu, sans la présence physique simultanée des parties, entre un consommateur (personne physique) et un professionnel, et qui, pour la conclusion de ce contrat, utilisent exclusivement une ou plusieurs techniques de communication à distance (Internet, téléphone, etc.). Les cartes de paiement visées sont celles qui permettent notamment d'effectuer des achats chez un commerçant ou un prestataire de services affiliés à un réseau de paiement national ou international (système CB, Visa, MasterCard, etc.) mais aussi les cartes de paiement dites privatives (cartes émises par les commerçants ou par les établissements financiers spécialisés dans le crédit à la consommation) et accréditives (carte présentée par un adhérent à un fournisseur affilié au réseau de l'émetteur de la carte). La présente délibération a pour objet, en l'état du droit et des procédés actuels de paiement, de préciser les recommandations de la Commission et les garanties minimales à respecter lors de la mise en œuvre, par les professionnels, de traitements afférents à des données relatives à la carte de paiement. Article 1 : Finalités du traitement La protection des données personnelles, et par là même de la vie privée, implique la capacité de l'individu à maîtriser la collecte, l'enregistrement et l'utilisation des données à caractère personnel qu'il est tenu de communiquer dans le cadre d'un paiement. La finalité première de l'utilisation d'un numéro de carte de paiement est de permettre la réalisation d'une transaction visant à la délivrance d'un bien ou la prestation d'un service en contrepartie du complet paiement d'un prix. La collecte des données relatives à une carte de paiement remplit toutefois d'autres finalités, liées à la particularité des opérations à distance : la réservation d'un bien ou d'un service ; le règlement d’abonnements souscrits en ligne impliquant des paiements définis et réguliers ; la conservation du numéro de la carte du client afin de faciliter ses éventuels achats ultérieurs sur le site du commerçant ; l'offre de solutions de paiement dédiées à la vente à distance par des prestataires de services de paiement (cartes virtuelles, porte-cartes numériques – " wallets ", comptes rechargeables, etc.). Ces solutions visent à éviter aux consommateurs de saisir les données relatives à leur carte lors d'achats effectués à distance ; la lutte contre la fraude à la carte de paiement. La Commission considère que ces finalités sont déterminées, explicites et légitimes. Elle rappelle que les données collectées et traitées aux fins de règlement de paiements multiples dans le cadre d’abonnements ne peuvent être ultérieurement utilisées pour une autre finalité telle que, par exemple, faciliter des paiements ponctuels ultérieurs et inversement. En outre, compte tenu de la sensibilité de cette donnée, le numéro de la carte de paiement ne peut être utilisé comme identifiant commercial. Article 2 : Base légale du traitement La Commission considère que la base légale du traitement des données bancaires peut varier en fonction de la finalité poursuivie par le traitement de données bancaires, de la nature de la transaction conclue et des modalités de son exécution, conformément à l'article 7 de la loi du 6 janvier 1978 modifiée. La Commission rappelle qu’il appartient au responsable de traitement de s’assurer des conditions de licéité de son traitement et, notamment de la base légale sur laquelle le fonder. 1. Le paiement unique La Commission relève que le numéro de carte bancaire ne peut être collecté et traité que pour permettre la réalisation d’une transaction dans le cadre de l’exécution du contrat conclu par la personne concernée conformément à l’article 7-4° de la loi n° 78-17 du 6 janvier 1978 modifiée. Ainsi, en cas de contrat impliquant un paiement unique, la Commission estime que les données n’ont donc pas vocation à être conservées au-delà du temps de transaction commerciale. 2. L’abonnement impliquant des paiements multiples La Commission considère que dans le cadre d’un contrat d’abonnement souscrit en ligne impliquant, de fait, des paiements successifs et réguliers, la conservation des données bancaires satisfait également à la condition prévue à l’article 7-4° de la loi n° 78-17 du 6 janvier 1978 modifiée. 3. Les solutions de paiement dédiées à la vente à distance En ce qui concerne le traitement des données bancaires dans le cadre de la souscription d’une solution de paiement dédiée à la vente à distance par des prestataires de services de paiement (cartes virtuelles, porte-cartes numérique –" wallets ", comptes rechargeables, etc.), la Commission estime que la communication des coordonnées bancaires entre également dans le cadre de l’exécution du contrat, celui-ci visant précisément à conserver les données relatives à la carte de paiement afin d’éviter aux consommateurs d’avoir à les saisir lors d'achats effectués à distance. 4. Le service commercial permettant de faciliter les éventuels paiements ultérieurs La Commission estime que la conservation du numéro de la carte du client afin de faciliter ses éventuels paiements ultérieurs sur le site du commerçant va au-delà de l’exécution du contrat conclu. Elle retient que cela constitue un service commercial indépendant de l’acte initial ayant conduit à la collecte des coordonnées bancaires et rappelle qu’un tel traitement nécessite que soit recueilli au préalable le consentement libre, spécifique et éclairé des personnes, en application de l’article 7 de la loi n° 78-17 du 6 janvier 1978 modifiée. 5. La lutte contre la fraude à la carte de paiement S’agissant de la finalité de la lutte contre la fraude à la carte de paiement, la Commission estime que la conservation des données relatives à la carte de paiement au-delà de la réalisation d'une transaction outrepasse également le cadre du contrat. Elle considère que ce traitement ne peut se faire que si cela participe de la réalisation d’un intérêt légitime du responsable de traitement et ce, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés des personnes en application de l’article 7-5° de la loi n° 78-17 du 6 janvier 1978 modifiée. A cet égard, la Commission rappelle qu’un traitement visant à utiliser des données relatives à la carte à des fins de lutte contre la fraude au paiement et, le cas échéant, conserver une trace de comportements frauduleux ayant généré des impayés lui ayant porté préjudice, doit faire l'objet d'une demande d'autorisation sur le fondement des dispositions de l'article 25-I-4° de la loi du 6 janvier 1978 modifiée. L'utilisation du numéro de carte pour cette finalité ne saurait aboutir à un refus de vente, même si elle peut conduire légitimement le commerçant à refuser ce mode de paiement. Article 3 : Les données collectées Les données nécessaires à la réalisation d'une transaction à distance par carte de paiement sont le numéro de la carte, la date d'expiration et le cryptogramme visuel. La Commission rappelle que seules les données adéquates, pertinentes et non excessives au regard de la finalité du traitement doivent être collectées. S'agissant de l'identité du titulaire de la carte, dès lors que cette donnée n'est pas requise pour la réalisation d'une transaction en ligne, elle ne doit pas être collectée par le système de paiement sauf lorsqu'elle est justifiée pour la poursuite d'une finalité déterminée et légitime, telle que la lutte contre la fraude. La Commission considère également que le responsable de traitement, ou son prestataire, ne peut demander la transmission de la photocopie ou de la copie numérique du recto et/ou du verso de la carte de paiement, même si le cryptogramme visuel et une partie des numéros sont masqués. En effet, la transmission de ce document n'est pas compatible avec les obligations de sécurité et les conditions d'utilisation que doit respecter le titulaire de la carte de paiement conformément à l'article L. 133-16 du code monétaire et financier. Article 4 : Sur la durée de conservation des données La Commission rappelle qu’en application de l’article 6-5° de la loi n° 78-17 du 6 janvier 1978 modifiée, les données doivent être conservées pendant la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées. Elle rappelle à cet égard que la conservation du cryptogramme après la réalisation de la première transaction est interdite, dans tous les cas de figure, y compris pour les abonnements nécessitant différents paiements. 1. Les paiements uniques et abonnements La Commission précise que : s’agissant de paiements uniques (achats ponctuels ou abonnement sans tacite reconduction, réglé en une seule fois), la durée de conservation des données relatives à la carte doit correspondre au délai nécessaire à la réalisation de la transaction, c'est-à-dire au paiement effectif qui peut être différé à la réception du bien ou à l’exécution de la prestation de service, augmenté, le cas échéant, du délai de rétractation prévu pour les ventes de biens et fournitures de prestations de services à distance (article L.121‑20‑12 du code de la consommation). en ce qui concerne les abonnements impliquant des paiements échelonnés, la conservation de ses données bancaires est justifiée : jusqu’à la dernière échéance de paiement, si l’abonnement ne prévoit pas de tacite reconduction ; jusqu’à résiliation de l’abonnement en cas de renouvellement par tacite reconduction, sous réserve des dispositions applicables et notamment de l’information des personnes concernées avant le renouvellement. 2. La gestion des réclamations : S'agissant des commerçants en ligne, le risque financier d'une utilisation non autorisée pesant in fine sur ces derniers dans le cas où ils n'ont pas mis en œuvre un système d'authentification de leurs clients, la Commission estime qu'ils peuvent conserver le numéro de carte et la date de validité de celle-ci dès lors que cette conservation est nécessaire pour la gestion des éventuelles réclamations des titulaires de cartes de paiement. Les données peuvent être conservées pour la durée prévue par l'article L. 133-24 du code monétaire et financier, en l'occurrence 13 mois suivant la date de débit. Ce délai peut être étendu à 15 mois afin de prendre en compte la possibilité d'utilisation de cartes de paiement à débit différé. Les données ainsi conservées à des fins de preuve doivent être versées en archives intermédiaires et utilisées uniquement en cas de contestation de la transaction. Les numéros de carte de paiement conservés à cette fin doivent faire l'objet de mesures de sécurité techniques, telles que décrites à l'article 6 de la présente recommandation, visant à prévenir toute réutilisation illégitime. 3. La lutte contre le blanchiment : Dans les cas où les données relatives à la carte seraient collectées par un organisme assujetti aux obligations de lutte contre le blanchiment de capitaux pour offrir une solution de paiement à distance, elles peuvent être conservées jusqu'à la clôture du compte puis, le cas échéant, archivées conformément aux obligations légales en la matière. 4. Autres finalités : Dans les cas où le numéro de la carte serait utilisé à d'autres fins, telles que la constitution d'un compte client visant à faciliter les achats ultérieurs ou la lutte contre la fraude, sa durée de conservation ne saurait excéder la durée nécessaire à l'accomplissement de cette finalité. Article 5 : Les droits des personnes 1. L’obligation générale d’information Toute utilisation du numéro de carte de paiement, quelle qu'en soit la finalité, doit faire l'objet d'une information complète et claire auprès des personnes. De manière générale, la personne concernée est informée de l'identité du responsable du traitement, des finalités du traitement, du caractère obligatoire ou facultatif des informations à renseigner, des conséquences éventuelles, à leur égard, d'un défaut de réponse, des destinataires des données, de la durée de conservation des catégories de données traitées, de l'existence et des modalités d'exercice de ses droits d'accès, de rectification et d'opposition au traitement de ses données, dont celui de définir des directives relatives au sort de ses données à caractère personnel après la mort et le cas échéant des transferts de données hors Union européenne. Dans l'hypothèse où les données relatives à la personne ont été communiquées à un tiers par le commerçant, celui-ci doit informer ces tiers sans délai de l'exercice du droit d'opposition ou de rectification par la personne concernée. Lorsque les données sont recueillies par voie de questionnaire, celui-ci doit porter mention de ces informations conformément au dernier alinéa de l'article 32 de la loi du 6 janvier 1978 modifiée. 2. L’information lors de la reconduction tacite de l’abonnement En ce qui concerne les contrats d’abonnement avec reconduction tacite, la Commission rappelle que le responsable de traitement est tenu d’informer la personne concernée de la reconduction tacite de son contrat et, sauf opposition de sa part, de la conservation de ses coordonnées bancaires pour le paiement des échéances du nouveau contrat. 3. L’information lors de la conservation des données aux fins de faciliter des paiements ultérieurs Lorsque les données relatives à la carte sont conservées au-delà du temps strictement nécessaire à la réalisation de la transaction, pour simplifier un paiement ultérieur, la Commission considère que ce traitement doit également avoir reçu le consentement libre, spécifique et informé de la personne concernée, conformément aux dispositions de l'article 7 de la loi du 6 janvier 1978 modifiée. La Commission estime, en effet, que ces données ne sont pas collectées pour permettre la réalisation d'un paiement mais pour offrir un service supplémentaire au client, en l'occurrence ne pas avoir à ressaisir son numéro de carte lors d'un prochain achat. Dès lors, ce traitement de données doit être effectué avec le consentement préalable de la personne concernée. Celui-ci ne se présume pas et doit prendre la forme d'un acte de volonté explicite, par exemple au moyen d'une case à cocher (non pré-cochée par défaut). L'acceptation des conditions générales d'utilisation ou de vente n'est pas considérée comme une modalité suffisante du recueil du consentement des personnes. La Commission recommande également que le responsable de traitement intègre directement sur son site marchand un moyen simple de retirer, sans frais, le consentement donné pour la conservation des données de la carte afin de faciliter les achats ultérieurs. Article 6 : Les mesures de sécurité La Commission considère que la responsabilité du traitement visant à conserver le numéro de la carte du client afin de faciliter ses éventuels achats ultérieurs sur un site marchand ou pour le règlement d’un abonnement incombe en principe au commerçant bénéficiant du stockage des données relatives à la carte, c'est-à-dire à celui au bénéfice duquel les transactions réalisées avec les données stockées seront opérées. Les prestataires qui réalisent le stockage des données relatives à la carte pour le compte du commerçant ont la qualité de sous-traitant et sont tenus à la mise en place de mesures de sécurité adaptées. La Commission observe que les pratiques liées à la collecte du numéro de carte de paiement entraînent la multiplication de bases de données pouvant potentiellement faire l'objet d'une réutilisation frauduleuse, en cas notamment de faille de sécurité aboutissant à la compromission de ces données. La Commission considère en conséquence que les responsables de traitement doivent s'efforcer d'élaborer et d'adopter des pratiques exemplaires et promouvoir des comportements qui tiennent compte des impératifs de sécurité et qui respectent les intérêts légitimes des individus. A cet égard, la Commission rappelle que : l'article 34 de la loi Informatique et Libertés impose au responsable de traitement de prendre des mesures de sécurité afin d'éviter notamment tout accès illégitime aux données traitées. Ces mesures doivent être proportionnées aux risques engendrés par le traitement pour les personnes concernées. Les accès non autorisés aux données relatives à la carte pouvant déboucher sur la réalisation de transactions frauduleuses, la confidentialité de ces données se doit d'être spécifiquement protégée. Le non-respect de cette obligation de sécurité est sanctionné par l'article 226-17 du code pénal ; l'article 35 de la loi Informatique et Libertés impose au responsable de traitement désirant externaliser la gestion du système de paiement de choisir un sous-traitant présentant des garanties suffisantes permettant de s'assurer de la mise en œuvre des mesures de sécurité rendues nécessaires au titre de l'article 34, et de fixer contractuellement les objectifs de sécurité qu'ils imposent à leur sous-traitant. Dans tous les cas, le recours à la sous-traitance ne dispense en aucun cas le responsable de traitement de ses obligations au titre de l'article 34. Ceci étant rappelé, elle recommande que : les responsables de traitements utilisent uniquement des services de paiement en ligne sécurisés et conformes à l'état de l'art et à la réglementation applicable. A cet égard, seuls les dispositifs conformes à des référentiels reconnus en matière de sécurisation de données relatives à la carte au niveau européen ou international (par exemple le standard PCI-DSS) doivent être utilisés. Le responsable doit également s'assurer de la conformité du traitement aux exigences des articles 34 et 35 de la loi du 6 janvier 1978 modifiée, au travers notamment de la mise en œuvre d'une démarche de gestion des risques de manière à déterminer les mesures de sécurité organisationnelles et techniques nécessaires. Pour accompagner les responsables dans cette démarche, des guides " Gestion des risques vie privée " sont accessibles sur le site web de la Commission ; le responsable de traitement et son/ses sous-traitants éventuels adoptent une politique de gestion stricte des habilitations de leurs personnels, ne donnant accès au numéro de la carte de paiement des clients que lorsque cela est rigoureusement nécessaire. Des mesures d'obfuscation (masquage de tout ou partie du numéro de la carte lors de son affichage ou de son stockage) ou de remplacement du numéro de carte par un numéro non signifiant (" tokenisation ") doivent être mises en œuvre afin de limiter l'accès aux numéros de cartes. Le personnel doit être sensibilisé aux risques de fraudes en matière de données relatives à la carte et aux mesures de sécurité permettant de les éviter ; le responsable de traitement et son ou ses sous-traitants éventuels ne procèdent en aucun cas à l'enregistrement de données relatives à la carte de paiement localement, sur l’équipement terminal de leurs clients (tels qu'ordinateurs ou ordiphones par exemple), et ne doivent pas non plus inciter ces derniers à procéder à un tel enregistrement, ces équipements n'étant pas conçus pour assurer la sécurité de ce type de données ; le responsable de traitement et son ou ses sous-traitants éventuels prennent les mesures nécessaires pour se prémunir contre toute atteinte à la confidentialité des données relatives à la carte lorsque celles-ci sont collectées via un service de communication au public en ligne. Les données transitant sur des canaux de communication publics ou susceptibles d’interception doivent notamment faire l'objet de mesures techniques visant à rendre ces données incompréhensibles à toute personne non autorisée ; lorsque les données relatives à la carte de paiement sont conservées afin de faciliter la réalisation ultérieure de transactions, les accès ou utilisations de ces données doivent faire l'objet de mesures de traçabilité spécifiques permettant de détecter a posteriori tout accès ou utilisation illégitime des données et de l'imputer à la personne responsable ; les personnes dont les données ont fait l'objet d'une violation de sécurité soient notifiées afin qu'elles puissent prendre les mesures appropriées pour limiter les risques de réutilisation frauduleuse de leurs données (contestation de paiements frauduleux, mise en opposition de la carte, etc.) ; lorsque les données relatives à la carte de paiement sont conservées pour une finalité de lutte contre la fraude, elles doivent faire l'objet de mesures techniques visant à prévenir toute réutilisation illégitime. Ces mesures peuvent notamment consister à stocker les numéros de la carte de paiement sous forme hachée avec utilisation d'un sel secret qui ne soit pas conservé dans le même espace de stockage ; des moyens d'authentification renforcée du titulaire de la carte de paiement soient mis en place, visant à s'assurer que celui-ci est bien à l'origine de l'acte de paiement à distance ; lorsque la collecte du numéro de la carte de paiement est effectuée par téléphone, il est également nécessaire de mettre en place des mesures de sécurité telle que la traçabilité des accès aux numéros de la carte. Elle recommande qu'une solution alternative sécurisée, sans coût supplémentaire, soit proposée aux clients qui ne souhaitent pas transmettre les données relatives à leurs cartes par ce moyen. Article 7 : La délibération n° 2013-358 du 14 novembre 2013 est abrogée. La présente délibération sera publiée au Journal officiel de la République française. La Présidente I. FALQUE-PIERROTIN