La Commission Nationale de l'Informatique et des Libertés,
Saisie pour avis par le Député-maire de Levallois-Perret, en application de l'article 15 de la loi du 6 janvier 1978, d'un projet d'arrêté portant création d'un traitement de gestion des accès au "roller-parc";
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 susvisée ;
Après avoir entendu M. Maurice BENASSAYAG, commissaire en son rapport et Mme Charlotte-Marie PITRAT, commissaire du Gouvernement en ses observations ;
FORMULE LES OBSERVATIONS SUIVANTES :
La Direction des sports de la mairie de Levallois-Perret met en oeuvre un traitement automatisé d'informations nominatives de contrôle de l'accès des abonnés au "roller-parc", recourant à un dispositif de reconnaissance des empreintes digitales.
La mairie fait valoir que l'utilisation d'un procédé biométrique permet d'éviter les difficultés liées à l'utilisation de cartes d'accès, lesquelles sont généralement oubliées, perdues, volées, échangées et ainsi d'assurer la sécurité des équipements récemment installés.
Le système repose sur la création d'une part d'un fichier des abonnés au "roller-parc" comportant les nom, prénom, date de naissance, adresse, numéro de téléphone ainsi qu'un numéro d'ordre chronologique, d'autre part, d'une base de données contenant l'enregistrement des caractéristiques des empreintes d'un doigt de la personne associé au numéro d'ordre chronologique.
Cette base de données biométriques est centralisée à la direction des Sports et reliée, via le réseau téléphonique commuté, à un boîtier de stockage situé à l'entrée du "roller-parc". En pratique, l'abonné désireux d'accéder aux équipements doit poser son doigt sur le lecteur d'empreintes digitales associé au boîtier. La reconnaissance de l'empreinte déclenche l'ouverture du tourniquet à l'entrée.
Les empreintes digitales sont des données biométriques qui "laissent des traces" pouvant ensuite être exploitées à des fins d'identification de personnes. Dès lors la constitution et l'utilisation de bases de données nominatives associées à des empreintes digitales, même limitée à la comparaison des empreintes aux seules fins de contrôle d'accès à des locaux ou à des services, comportent un risque d'atteinte aux libertés individuelles dans la mesure où elle est susceptible d'être utilisée à des fins étrangères à la finalité initialement poursuivie.
La Commission estime en conséquence que la constitution de bases de données d'empreintes digitales, compte tenu des caractéristiques de l'élément d'identification physique retenu et des usages possibles de ces bases de données, ne peut être admise que dans certaines circonstances particulières où l'exigence de sécurité et d'identification des personnes est impérieuse.
Or, en l'espèce, l'objectif invoqué par la mairie de se doter d'un dispositif évitant la manipulation de cartes pour gérer les accès ne justifie pas la conservation dans une base de données des empreintes digitales des personnes fréquentant le "roller-parc". En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné à l'objectif poursuivi.
EMET UN AVIS DEFAVORABLE au projet d'arrêté présenté par la mairie de Levallois-Perret.
Le Président, Michel GENTOT.
