La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation, présentée par la Commission bancaire d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès au contenu de clés USB ;
Après avoir entendu M. Philippe NOGRIX, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l'informatique des libertés a été saisie le 15 décembre 2006 par la Commission bancaire d'un dossier de formalité préalable relatif à la mise en oeuvre d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès au contenu de clés USB.
Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Afin d'améliorer la gestion des documents confidentiels transmis à ses membres en séance, la Commission bancaire, chargée de contrôler le respect par les établissements de crédit et par les entreprises d'investissement des dispositions législatives et réglementaires qui leur sont applicables et de sanctionner les manquements constatés, souhaite se doter de clés USB sécurisées par reconnaissance de l'empreinte digitale de l'utilisateur.
Le dispositif présenté à la Commission reposera sur l'enregistrement du gabarit de l'empreinte digitale dans une clé USB de cinq personnes au maximum à savoir un membre de la Commission bancaire, des assistants et les personnels du secrétariat général de la Commission bancaire dont l'administrateur de la clé.
La clé USB est divisée en deux partitions :  une partition privée pour le stockage des données de l'utilisateur et une partition publique hébergeant le logiciel d'enregistrement des empreintes.
La partition privée de la clé USB est accessible uniquement par les personnes dont les doigts sont enrôlés.
Pour contrôler l'accès au contenu des clés USB, une comparaison sera effectuée entre le doigt apposé sur le lecteur incorporé à la clé USB et le gabarit chiffré de l'empreinte digitale enregistré dans cette clé.
Les personnes concernées seront informées du fonctionnement de leurs clés par une notice d'information remise lors de l'enrôlement.
Compte tenu de l'impératif de sécurité lié à la nécessité de contrôler l'accès à des documents confidentiels relatifs, notamment, aux sanctions prononcées à l'encontre d'entreprises responsables de manquements au Code monétaire et financier, le recours à une clé USB dans laquelle est enregistré le gabarit de l'empreinte digitale des seules personnes habilitées à accéder audits documents, est adapté et proportionné à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès du Secrétariat général de la Commission bancaire- Service informatique de Gestion et de Développement sis 115 rue de Réaumur 75002 Paris.
Les catégories de données à caractère personnel enregistrées seront le gabarit de l'empreinte digitale, le numéro de série de la clé, le nom des personnes concernées.
Les données traitées seront conservées jusqu'à la cessation de fonction de la personne concernée ou en cas de restitution définitive de la clé.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les gestionnaires habilités des clés USB, personnels de la Banque de France.
Dans ces conditions, la Commission autorise la Commission bancaire à mettre en ceuvre le traitement de données à caractère personnel présenté.
Le Président, Alex TURK.
