La Commission nationale de l'informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation présentée par la société Brisach SAS relative à la mise en oeuvre d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation d'un dispositif de reconnaissance des empreintes digitales et ayant pour finalité le contrôle des horaires ;
Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :
Le 9 novembre 2005, la société Brisach SAS a adressé à la Commission nationale de l'informatique et des libertés un dossier de formalité préalable relatif à la mise en oeuvre d'un dispositif de contrôle des horaires et de contrôle de l'accès aux locaux reposant sur la reconnaissance de l'empreinte digitale.
La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-8° de la loi du 6 janvier 1978, modifiée qui soumet à autorisation les traitements comportant des données biométrique nécessaires au contrôle de l'identité des personnes.
L'utilisation d'un dispositif biométrique par la société Brisach SAS vise à renforcer l'identification des employés de cette société au moment des pointages et lors de l'accès aux locaux.  Le dispositif doit ainsi garantir qu'une tierce personne ne pourra se substituer au titulaire légitime du badge lors du contrôle des horaires.  Il permettra d'enregistrer les dates et heures d'entrée et de sortie des employés pour la gestion de leur temps de travail. Les traitements permettront de renforcer la sécurité des biens et des personnes, ainsi que des données traitées par la société Brisach s'agissant du contrôle d'accès à la salle informatique.
Le gabarit de l'empreinte digitale des personnes habilitées à pénétrer dans les locaux et dans la salle informatique sera exclusivement stocké sur une carte individuelle détenue par chaque employé.  Les données enregistrées dans le serveur dédié au contrôle d'accès et au contrôle des horaires se limiteront à celles nécessaires à l'identification de la personne (nom, prénoms, numéro de badge).  Le contrôle d'accès s'effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l'empreinte digitale enregistré sur le badge.
Une information et une consultation du Comité d'Entreprise ont été effectuées conformément aux dispositions de l'article L. 432-2 du Code du travail.  L'information individuelle des employés sera effectuée par le biais d'une note de service.
La durée de conservation relative à l'identité, au numéro de badge et au gabarit de l'empreinte digitale, sera égale au temps pendant lequel la personne concernée travaille pour la société. L'historique des passages, permettant d'effectuer le contrôle des horaires des employés, sera conservé pendant cinq années.
Dans la mesure où le dispositif repose sur l'enregistrement du gabarit de l'empreinte digitale dans un support individuel exclusivement détenu par la personne concernée, la mise en oeuvre d'un traitement reposant sur la reconnaissance de l'empreinte digitale apparaît, en l'état actuel des connaissances sur la technologie utilisée, adaptée et proportionnée aux finalités assignées au dispositif.
Les droit d'accès et de rectification s'exerceront auprès du service des ressources humaines de la société Brisach SAS, sise 204 route du Plan - 83120 Sainte Maxime.
Les catégories de données à caractère personnel enregistrées seront l'identité des employés (nom, prénom), le numéro de badge, le gabarit de l'empreinte digitale et l'historique des passages.
Les destinataires des informations seront, dans la limite de leurs attributions respectives, les personnes habilitées du service des ressources humaines.
Autorise, dans ces conditions, La société Brisach SAS à mettre en oeuvre le traitement de données à caractère personnel présenté.
Le président, Alex TURK.
