La Commission nationale de l'informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation présentée par la société la société Assistance Totale en Maintenance (ATM) d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation d'un dispositif de reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux ;
Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :
Le 26 août 2005, la société Assistance Totale en Maintenance a adressé à la Commission nationale de l'informatique et des libertés un dossier de formalité préalable relatif à la mise en oeuvre d'un dispositif de contrôle d'accès aux locaux reposant sur la reconnaissance de l'empreinte digitale.
La Commission considère qu'il y a lieu de faire application de l'article 25-8° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
La société Assistance Totale en Maintenance (ATM), dont l'activité principale est d'assurer des prestations de "maintenance industrielle multi-technique", précise que la majorité de ses clients sont issus du secteur nucléaire.  A ce titre, elle détient dans ses locaux des documents sensibles sur les sites nucléaires dans lesquels elle intervient.
Le dispositif reposera sur plusieurs boîtiers répartis aux différents points d'accès à l'établissement.  Ces boîtiers seront reliés à un serveur au niveau duquel seront enregistrés l'identité des employés (nom, prénom) et le nom de la société pour laquelle ils travaillent.
Après association avec l'identité de l'employé concerné, le gabarit, résultat du traitement des mesures par un algorithme sur l'empreinte digitale, est transmis aux lecteurs sans enregistrement sur le serveur.
Lors du contrôle d'accès, l'employé apposera son doigt sur le lecteur biométrique du boîtier, une comparaison s'effectuera alors entre cette empreinte digitale et le gabarit enregistré dans la base de données du lecteur.
Le dispositif permettra d'une part, de définir des plages horaires d'accès en fonction du profil de la personne, d'autre part, d'éditer des statistiques relatives à la fiabilité et à l'absence de blocage d'accès.  En outre, le dispositif servira uniquement à contrôler les "entrées", la sortie des locaux sera dénuée de tout contrôle.
Les données des employés seront conservées pendant cinq ans.  A échéance de cette période l'ensemble des données sera supprimé et la base de données devra alors être entièrement reconstituée.
Une information et une consultation du Comité d'Entreprise ont été effectuées conformément aux dispositions de l'article L. 432-2 du Code du travail.  L'information individuelle des employés sera effectuée par l'envoi d'un courrier individuel.
Il convient également de préciser que le dispositif sera volontaire, l'accès aux locaux des salariés qui auront refusé d'utiliser le dispositif présenté s'effectuera par le biais de l'intervention d'une personne déjà présente dans le bâtiment et bénéficiant d'un droit d'accès.
S'agissant des mesures mises en oeuvre afin de garantir la sécurité des données, seuls le responsable informatique et le responsable de la sécurité disposent de l'habilitation pour accéder aux données.
Enfin, les mesures prises en vue de garantir la sécurité des données, apparaissent conformes à l'état de l'art et aux exigences de la Commission.  Ainsi, le serveur dans lequel seront enregistrées les données biométriques sera situé dans un local sécurisé (contrôle d'accès et télésurveillance).
S'agissant du contrôle d'accès logique au système, les éléments d'informations figurant dans les dossiers apparaissent satisfaisants notamment, concernant l'administration des mots de passe et la politique de gestion des accès dans la mesure où seuls le responsable informatique et le responsable de la sécurité disposent de l'habilitation pour accéder aux données.
Enfin, l'accès à l'application et aux fichiers contenant les données à caractère personnel fera l'objet d'une journalisation et le dispositif reposera sur un réseau privé virtuel permettant de prévenir tout risque d'intrusion extérieur.
Compte tenu du fort impératif de sécurité lié à la nécessité de contrôler l'accès à ces locaux, les traitements et notamment, le recours à la constitution de bases de données biométriques, sont adaptés et proportionnés à la finalité assignée au dispositif.
Les droit d'accès et de rectification s'exerceront auprès du responsable informatique et du responsable sécurité de la société Assistance Totale en Maintenance (ATM), parc d'activités porte sud - BP 51110 Pont Saint-Esprit.
Les catégories de données à caractère personnel enregistrées seront l'identité des personnes (nom, prénom), le nom de la société pour laquelle ils travaillent et le gabarit de leur empreinte digitale.
Les destinataires des informations seront, dans la limite de leurs attributions respectives et pour la poursuite de la finalité précitée, le responsable informatique et le responsable sécurité.
Autorise, dans ces conditions, la société à mettre en oeuvre le traitement de données à caractère personnel présenté.
Le président Alex TURK.
