La Commission nationale de l'informatique et des libertés ;
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Après avoir entendu M. de GIVRY, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société SCOR SE d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès à son système d’information.
Formule les observations suivantes :
Le dispositif choisi par SCOR SE a pour objectif de renforcer les conditions d’accès au système d’information par les salariés. Il doit permettre de garantir la sécurité et la confidentialité des données.
Le dispositif utilisé reposera sur une carte à puce et un lecteur d’empreintes digitales connecté au poste informatique. Les gabarits des empreintes digitales du salarié seront exclusivement stockés dans la mémoire de la carte à puce. Le contrôle d’accès aux données s’effectuera par une comparaison entre le gabarit de l’empreinte digitale du doigt apposé sur le lecteur et les gabarits enregistrés dans la carte à puce. A aucun moment, les gabarits des empreintes digitales ne circuleront sur un réseau et ne sortiront du lecteur. Le badge stockera également le login et mot de passe Windows de l'utilisateur ainsi que les identifiants et mots de passe d'autres applications. Le badge sera protégé par biométrie et également par code PIN en situation de secours.
L’utilisation du dispositif biométrique sera basée sur le volontariat. En cas de refus d’utiliser ce dispositif, le salarié recourra à un code PIN pour utiliser son badge.
Les personnes concernées seront informées par la remise d’une note d’information. Le gabarit biométrique sera conservé jusqu’au départ de l’employé de la société SCOR SE.
Compte tenu de ce qui précède et dans la mesure où l’utilisation du dispositif biométrique est basé sur le volontariat, que le gabarit de l’empreinte digitale est chiffré et uniquement enregistré dans la carte à puce exclusivement détenue par la personne concernée et qu’il ne sera à aucun moment amené à transiter sur un quelconque réseau, la Commission considère que la mise en œuvre d’un traitement reposant sur la reconnaissance de l’empreinte digitale apparaît, dans ces conditions et en l’état actuel des connaissances sur la technologie utilisée, adaptée et proportionnée à la finalité assignée au dispositif.
Les droits d’accès et de rectification s’exerceront auprès de la direction des services généraux de la société SCOR SE, 1, avenue du Général de Gaulle, 92800 Paris La Défense.
Les catégories de données à caractère personnel enregistrées seront :
le gabarit de l’empreinte digitale de deux doigts ;
les nom, prénom, identifiant Windows et mot de passe du salarié.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels habilités de la direction informatique pour les données non biométriques.
Dans ces conditions, la Commission autorise la société SCOR SE, à mettre en œuvre le traitement de données à caractère personnel présenté.
