La Commission nationale de l'informatique et des libertés.
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation, présentée par la Cité des Sciences et de l'Industrie (CSI), d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance de l'empreinte digitale et ayant pour finalité le contrôle de l'accès aux locaux ;
Après avoir entendu M. Hubert Bouchet commissaire en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
Le 18 juillet 2005, la Commission nationale de l'informatique et des libertés a reçu un dossier de formalité préalable de la Cité des Sciences et de l'Industrie (CSI) relatif à la mise en oeuvre d'un traitement de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux informatiques.
La Commission a considéré qu'il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Dans le cadre de son dossier, la CSI indique que l'installation de dispositifs biométriques concerne l'accès aux salles informatiques qui contiennent des systèmes sensibles et vitaux pour le fonctionnement de la CSI.  Les zones dans lesquelles sont situées les salles informatiques sont concomitantes aux zones publiques.  Il n'existe pas de séparation complète entre les zones publiques et privées.  La CSI est un établissement ouvert au public dans lequel les couloirs d'accès traversent les zones privées.
La CSI souhaite renforcer la sécurité de ces salles informatiques par la mise en place d'un système biométrique de contrôle d'accès reposant sur la reconnaissance de l'empreinte digitale afin d'améliorer l'isolement des salles vis-à-vis du public et de s'assurer que seules les personnes autorisées ont accès à ces locaux.
Le gabarit de l'empreinte digitale des personnes habilitées à pénétrer dans les zones concernées de l'établissement sera stocké sur une carte individuelle détenue par les personnes concernées. Les données enregistrées dans le serveur, dédiées au contrôle des accès se limiteront à celles nécessaires à l'identification des personnes (nom et prénom).
Le contrôle d'accès s'effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l'empreinte digitale enregistré dans la carte à puce.  L'historique des entrées et des sorties des zones concernées pourra être édité et sera conservé pendant un mois.  La durée de conservation relative à l'identité de l'employé et au gabarit de l'empreinte digitale, sera égale au temps pendant lequel la personne concernée est habilitée à pénétrer dans les locaux informatiques de la CSI.
Compte tenu de l'impératif de sécurité poursuivi et dans la mesure où le dispositif présenté à la Commission repose sur l'enregistrentent du gabarit de l'empreinte digitale dans un support individuel exclusivement détenu par la personne concernée, la mise en oeuvre d'un traitement reposant star la reconnaissance de l'empreinte digitale apparaît, en l'état actuel des connaissances sur la technologie utilisée, adaptée et proportionnée à la finalité assignée au dispositif.
Le droit d'accès défini au chapitre VII de la loi s'exercera auprès du Chef de service gestion technique et sécurité - Cité des Sciences et de l'Industrie - 30 avenue Corentin Cariou - 75930 Paris cedex 19.
Les catégories de données à caractère personnel enregistrées seront le nom, le prénom, le gabarit de l'empreinte digitale de l'employé et l'horodatage de ses passages.
Les destinataires des informations sont, dans la limite de leurs attributions respectives et pour l'exercice de la finalité précitée, les personnels du service de gestion technique et sécurité.
Autorise dans ces conditions, la Cité des Sciences et de l'Industrie, à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité le contrôle des accès par reconnaissance des empreintes digitales.
Le président, Alex TURK.
