Le bureau de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel :
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du fi janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Vu la demande d'autorisation présentée par la société Info Service Europe, d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance du contour de la main et ayant pour finalité le contrôle des horaires de ses employés ;
Après avoir entendu Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Le 4 juillet 2005, la Commission nationale de l'informatique des libertés a reçu un dossier de formalité préalable de la société Info Service Europe relatif à la mise en oeuvre d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance du contour de la main et ayant pour finalité le contrôle des horaires des employés de la société.
La Commission considère qu'il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
La société Info Service Europe souhaite avoir recours à un dispositif reposant sur la reconnaissance du contour de la main en vue de renforcer l'identification des employés an moment des pointages et d'éviter les contraintes liées à la gestion d'un badge magnétique. Ce dispositif permettra, via l'enregistrement des entrées et des sorties des employés, de gérer la diversité des horaires et d'assurer un suivi des temps de présence au sein de l'entreprise. II servira ainsi à gérer les plannings, les heures supplémentaires et les autorisations exceptionnelles d'absence.
Aucune image ou photo de la main des employés ne sera conservée. Le contour de la main l'ait partie des données biométriques qui ne laissent pas de traces susceptibles d'être utilisées à des fins étrangères à la finalité recherchée par le responsable du traitement. En outre, seul le gabarit du contour de la main, résultat du traitement des mesures par tin algorithme. sera enregistré dans le lecteur où il sera associé au code d'identification de la personne. Ces éléments sont de nature à prévenir toute utilisation détournée des données biométriques propres aux employés de la société Info Service Europe.
Compte tenu des caractéristiques du dispositif présenté à la Commission et en l'état actuel des connaissances sur la technologie utilisée, la mise en oeuvre d'un traitement reposant sur la reconnaissance de la géométrie de la main est adaptée et proportionnée à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès de Info Service Europe rue Raspail - 95185 Argenteuil Cedex
Les catégories de données à caractère personnel enregistrées seront l'identité (nom, prénom) de l'employé, le gabarit biométrique du contour de leur main, leur identifiant numérique, les dates et heures de leurs entrées et sorties, le cumul de leurs horaires et le solde de leurs droits à congés.
Les destinataires des informations seront, dans la limite de leurs attributions respectives et pour l'exercice de la finalité précitée, la Direction générale, le service du personnel et le service de comptabilité.
Autorise, dans ces conditions, la société Info Service Europe à mettre en oeuvre le traitement de données à caractère personnel ayant pour finalité le contrôle des horaires des employés.
Le président, Alex TURK.
