La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la demande d'autorisation, présentée par la société Glaces Thiriet SAS d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux postes informatiques ;
Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes
La Commission nationale de l'informatique des libertés a été saisie par la société Glaces Thiriet SAS d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux postes informatiques.
Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
La société Glaces Thiriet SAS souhaite utiliser un dispositif de reconnaissance de l'empreinte digitale lors du contrôle de l'accès aux postes informatiques à la place du système d'identification classique reposant sur la saisie d'un mot de passe et d'un identifiant.  Un tel dispositif doit permettre de parer aux difficultés inhérentes à la gestion des mots de passe et à leur confidentialité.
Le dispositif repose sur l'utilisation d'un logiciel qui permet de créer un "passeport biométrique" et, le cas échéant de l'associer à des couples identifiants / mot de passe.
L'utilisateur utilisera le contrôle biométrique pour démarrer le poste informatique, ouvrir une session ou sortir de la mise en veille.
Le contrôle biométrique s'effectuera par une comparaison entre le doigt apposé sur le lecteur et une image de l'empreinte digitale enregistrée dans une puce sécurisée et non dans le disque dur de l'ordinateur portable.  A aucun moment l'image de l'empreinte digitale utilisée pour le contrôle de l'accès au poste informatique ne transitera sur un quelconque réseau.
L'image des empreintes digitales ne sera conservée que le temps pendant lequel l'ordinateur portable sera confié à la personne concernée.
La Commission prend acte que seul : le contrôle biométrique sera utilisé, à l'exclusion de tout autre procédé d'authentification reposant par exemple sur un identifiant et un mot de passe, pour démarrer le poste informatique, ouvrir une session ou sortir de la mise en veille, l'utilisateur pourra exporter son "passeport biométrique" sur un autre ordinateur.
En outre, dans la mesure où l'image de l'empreinte digitale est uniquement enregistrée dans un composant matériel sécurisé de l'ordinateur portable exclusivement détenu par la personne concernée et qu'elle ne sera à aucun moment amenée à transiter sur un quelconque réseau, la Commission considère que la mise en oeuvre d'un traitement reposant sur la reconnaissance de l'empreinte digitale apparaît, dans ces conditions et en l'état actuel des connaissances sur la technologie utilisée, adaptée et proportionnée à la finalité assignée au dispositif au regard de la protection des données personnelles.
Les droits d'accès et de rectification s'exerceront auprès du service organisation et informatique de la société Glaces Thiriet SAS - ZI BP 4 - 88510 Eloyes Cedex.
Les catégories de données à caractère personnel enregistrées seront l'image de l'empreinte digitale et, le cas échéant, l'identifiant et le mot de passe choisis par l'utilisateur.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnes habilitées du service organisation et informatique.
Autorise, dans ces conditions, la société Glaces Thiriet SAS à mettre en oeuvre le traitement de données à caractère personnel présenté.    Le président, Alex TURK.
