Le bureau de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-8° ;
Vu la délibération n°2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement en ses observations ;
Vu la demande d'autorisation, présentée par l'Institut National des Hautes Etudes de Sécurité, d'un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle des accès par reconnaissance des empreintes digitales.
Formule les observations suivantes :
La déclaration adressée par l'Institut National des Hautes Etudes de Sécurité (INHES) a pour objet l'utilisation d'un dispositif de reconnaissance des empreintes digitales en vue de contrôler l'accès des différents lieux de passage desservant de façon exclusive les locaux affectés à l'Institut au sein du bâtiment qu'il occupe.
Il y a lieu pour la Commission de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
L'INHES, établissement public à caractère administratif sous tutelle du ministère de l'intérieur, a notamment pour mission d'organiser des séminaires et des formations sur le thème de la sécurité.  A ce titre, il doit faire face à un nombre important de visiteurs dont il n'est pas possible, du fait de leur nombre et de la multiplicité des possibilités d'accès aux locaux concernés, de contrôler les déplacements.
Le dispositif de reconnaissance des empreintes digitales cloisonnera les zones accessibles aux participants à une formation et celles dans lesquelles sont situés les bureaux des employés de l'institut, afin de garantir la sécurité des informations sensibles, voire confidentielles, détenues par l'institut.
Le gabarit de L'empreinte digitale des personnes habilitées à pénétrer dans les locaux occupés par l'INHES sera enregistré au sein d'une base de données centralisée située dans la salle informatique qui sera raccordée à un réseau interne non accessible de l'extérieur.  En outre, les lecteurs biométriques seront équipés d'un système "antivol" afin de pallier tout risque d'enlèvement du matériel.
Compte tenu du fort impératif de sécurité lié à la nécessité de contrôler l'accès à ces locaux.
les traitements et notamment, le recours à la constitution de bases de données biométriques, sont adaptés et proportionnés à la finalité assignée au dispositif.
Le droit d'accès défini au chapitre VII de la loi s'exercera auprès de l'Institut National des Hautes Etudes de Sécurité, cellule informatique, 3 avenue du Stade de France - 93218 Saint Denis la Plaine.
Les catégories de données à caractère personnel enregistrées seront le gabarit de l'empreinte digitale des employés de l'Institut National des Hautes Etudes de Sécurité et leur identité (nom, prénom).
Les destinataires des informations seront le Directeur informatique de l'INHES et son adjoint, tous deux habilités au "Secret Défense".
Autorise, dans ces conditions, l'Institut National des Hautes Etudes de Sécurité, à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité le contrôle des accès par reconnaissance des empreintes digitales.
Le président Alex TURK.
