La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-1-8° ;
Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La société Claranet a adressé le 2 août 2004 à la Commission nationale de l'informatique et des libertés une demande d'avis relative à la mise en oeuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité de contrôler l'accès du personnel à la salle abritant ses serveurs informatiques au moyen d'un dispositif biométrique de reconnaissance du contour de la main.
La Commission considère qu'il y a lieu de faire application des dispositions prévues à l'article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
La société Claranet justifie de l'existence de risques spécifiques pour sécuriser ses locaux abritant ses serveurs informatiques par la mise en place d'un dispositif de contrôle d'accès reposant sur l'utilisation d'une technique biométrique.
Le contour de la main fait partie des données biométriques qui ne laissent pas de traces susceptibles d'être utilisées à des fins étrangères à la finalité recherchée par le responsable du traitement.
Compte tenu des caractéristiques du dispositif présenté à la Commission et en l'état actuel des connaissances sur la technologie utilisée, la mise en oeuvre d'un traitement reposant sur la reconnaissance de la géométrie de la main est adaptée et proportionnée à la finalité assignée.
Les droit d'accès et de rectification s'exerceront auprès du directeur de la société Claranet.
Les catégories de données à caractère personnel enregistrées seront les nom, prénom, un code individuel à quatre chiffres, date et heure de passage.
Les destinataires des informations seront les seuls utilisateurs du dispositif autorisés, à raison de leurs attributions respectives : l'administrateur du système et le responsable sécurité. L'historique des passages sur trois mois au plus sera également, le cas échéant, accessible au directeur de la société, l'historique journalier des passages sera accessible au seul personnel habilité à accéder à la salle protégée.
Autorise, dans ces conditions, la société Claranet à mettre en oeuvre, un traitement de données à caractère personnel ayant pour finalité de contrôler l'accès à certains de ses locaux par la mise en oeuvre d'un dispositif de contrôle d'accès par reconnaissance de la forme de la main.
Le président, Alex TURK.
