La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-401 du 25 mars 2007 ;
Vu la demande d’autorisation déposée le 18 juillet 2007 par la société Electricité de France ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise la société Electricité de France (EDF), dans les conditions figurant dans le tableau ci-dessous, à mettre en œuvre le traitement de données à caractère personnel reposant sur la reconnaissance du contour de la main et ayant pour finalité le contrôle de l’accès aux véhicules.
Responsable du traitement
La société Electricité de France (EDF).

EDF souhaite utiliser un dispositif de reconnaissance du contour de la main afin de contrôler l’accès à l’armoire contenant les clés des véhicules par les employés du centre nucléaire de production d'électricité (CNPE) de Golfech. Le traitement comporte également la gestion des véhicules (réservations, informations techniques (niveau de carburant, kilométrage, parking) et nature des missions effectuées).
Le Président
Alex TURK
Données traitées
Les données traitées seront :
l’identité (nom, prénom) ;
le gabarit du contour de la main ;
la nature de la mission ;
la date de réservation ;
le niveau de carburant ;
le kilométrage ;
le parking.
Destinataires
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels habilités du service logistique de site (SLS) et le chef de mission ressources humaines. Seuls les personnels habilités du service logistique de site auront accès aux données biométriques.
Information et droit d’accès
Le droit d’accès et de rectification s’exercera directement auprès du service logistique de site du centre nucléaire de production d'électricité de Golfech, BP 24 – 82 401 Valence d’Agen.
Les personnes concernées seront informées conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004 par la l’envoi d’un courrier électronique ou la remise d’une note par leur responsable hiérarchique.
Observations particulières
La vérification s’effectuera entre la main apposée par l’employé sur le lecteur et le gabarit du contour de la main préalablement enregistré dans le poste informatique.
Le gabarit biométrique sera renouvelé tous les ans tant que la personne travaille au centre nucléaire de production d'électricité de Golfech. Les éléments d’identification des utilisateurs ne seront conservées que le temps pendant lequel ils travaillent pour EDF. Les informations relatives à l’utilisation des véhicules seront conservées pendant 2 ans.
La Commission considère que le contour de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès aux véhicules et de gérer leur utilisation ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du contour de la main n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
