La Commission nationale de l'informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation présentée par la société Sagem Défense Sécurité d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation d'un dispositif de reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux ;
Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :
Le 18 octobre 2005, la société SAGEM Défense Sécurité a adressé à la Commission nationale de l'informatique et des libertés une déclaration normale relative à la mise en oeuvre d'un dispositif de contrôle d'accès à l'établissement et/ou a des zones sécurisées reposant sur la reconnaissance de l'empreinte digitale.
La Commission considère qu'il y a lieu de faire application de l'article 25-8° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
La société Sagem Défense Sécurité indique que le dispositif présenté a pour principal objet de sécuriser l'accès au site de Montluçon ainsi qu'à des zones réservées "secret défense" au sein de cet établissement.
Le dispositif reposera sur plusieurs boîtiers répartis aux différents points d'accès à l'établissement et aux zones sécurisées. Ces boîtiers seront reliés à un serveur au niveau duquel seront enregistrés l'identité des employés (nom, prénom), leur matricule et leur gabarit, résultat du traitement des mesures par un algorithme sur l'empreinte digitale.
Lors du contrôle d'accès, l'employé apposera son doigt sur le lecteur biométrique du boîtier, une comparaison s'effectuera alors entre cette empreinte digitale et le gabarit enregistré dans la base de données stockée sur le serveur.
La durée de conservation relative à l'identité, au matricule et au gabarit de l'empreinte digitale, sera égale au temps pendant lequel la personne concernée travaille pour la société et/ou est habilitée à pénétrer dans les zones sécurisées.  Aucun historique des passages ne sera conservé.
Une information et une consultation du comité d'entreprise ont été effectuées conformément aux dispositions de l'article L. 432-2 du Code du travail.  L'information individuelle des employés sera effectuée par la remise d'une note d'information au moment de l'enrôlement.
Enfin, les mesures prises en vue de garantir la sécurité des données apparaissent conformes à l'état de l'art et aux exigences de la Commission.  Ainsi, le serveur dans lequel seront enregistrées les données biométriques sera situé dans un local sécurisé (contrôle d'accès et alarme), seul le responsable de la sécurité disposera de l'habilitation pour accéder aux données.  Enfin, le dispositif reposera sur un réseau informatique interne distinct du réseau principal afin de prévenir tout risque d'intrusion extérieur.
Compte tenu du fort impératif de sécurité lié à la nécessité de contrôler l'accès à ces locaux, les traitements et notamment, le recours à la constitution de bases de données biométriques, sont adaptés et proportionnés à la finalité assignée au dispositif.
Les droit d'accès et de rectification s'exerceront auprès du responsable sécurité de la société Sagem Défense Sécurité, sise route de Chateauroux - BP3247 Montluçon.
Les catégories de données à caractère personnel enregistrées seront l'identité des employés (nom, prénom), leur matricule et le gabarit de leur empreinte digitale.
Le destinataire des informations sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, le responsable sécurité.
Autorise, dans ces conditions, la société Sagem Sécurité défense à mettre en oeuvre le traitement de données à caractère personnel présenté.
Le président, Alex TURK.
