La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la demande d’autorisation déposée par la société GIDOPHONE, le 22 janvier 2010, et relative à la mise en œuvre d’un dispositif de biométrie reposant sur le réseau veineux d’un doigt de la main ;
Sur le rapport de M. Emmanuel DE GIVRY, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La Commission considère que le traitement relève de l’article 25-I 8° de la loi du 6 janvier 1978 modifiée en août 2004 qui prévoit que sont mis en œuvre après autorisation de la  Commission Nationale de l’Informatique et des Libertés les traitements automatisés comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Responsable du traitement
La société GIDOPHONE

La société GIDOPHONE souhaite utiliser un système biométrique reposant sur la reconnaissance du réseau veineux d’un doigt de la main pour assurer une meilleure sécurisation des bornes de rechargement des appareils mobiles (téléphones, PC, etc.) installées dans les aéroports, les gares et les centres commerciaux et destinées aux clients.
Données traitées et durée de conservation
La Commission relève que seules les données relatives à l’empreinte veineuse d’un doigt de la main sont recueillies. Le gabarit n’est conservé que durant le temps d’utilisation de la borne. En tout état de cause, la durée de conservation ne peut excéder 24 heures.
Destinataires
Les destinataires des données seront les seules personnes habilitées dans le cadre de leur fonction, à savoir le responsable de la société GIDOPHONE et le personnel du service de maintenance.
Information et droits d’accès
Les personnes sont informées par le biais d’un affichage sur les bornes de rechargement.
Le droit d’accès défini au chapitre V de la loi du 6 janvier 1978 s’exerce auprès du responsable de la société GIDOPHONE au 7 rue Robert Reynier, 69190 Saint-Fons.

La Commission considère que les mesures de sécurité qui entourent ce dispositif sont appropriées conformément à la loi du 6 janvier 1978 modifiée.
La Commission considère que le réseau veineux du doigt de la main, en l’état actuel de la technique, est une biométrie sans trace. A cet égard, elle n’est pas susceptible d’être capturée à l’insu des personnes, et présente donc des risques réduits pour les libertés et les droits fondamentaux des personnes. Elle peut ainsi, lorsque le recours à un tel dispositif est justifié par des raisons sérieuses et entouré de garanties appropriées, être employée en matière de lutte contre la fraude à l’identité.
Dans ces conditions, la Commission autorise la société GIDOPHONE SARL à mettre en œuvre le traitement de données à caractère personnel présenté.

