AgentPublic/cnil huggingface dataset:
Le bureau de la Commission nationale de l’informatique et des libertés,
Vu la loi modifiée n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 11, 19, 20 et 44 ;
Vu le décret n° 2005-1309 du 20 octobre 2005, modifié par le décret n° 2007-451 du 25 mars 2007, pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 57 à 60 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés, notamment son article 61 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d’attributions au bureau de la Commission nationale de l’informatique et des libertés ;
Vu la délibération n°2007-275 du 20 septembre 2007 portant habilitation d’agents de la CNIL à procéder à des vérifications ;
Après avoir entendu M. Guy ROSIER, vice-président délégué, en son rapport, et  Mme Pascale COMPAGNIE, commissaire du gouvernement, en ses observations,
Décide :
Article 1er : 
La liste des agents de la Commission nationale de l’informatique et des libertés habilités à procéder sur l’ensemble du territoire national à des vérifications portant sur tous traitements en application des articles 11 (2°, f), 19, 20 et 44 de la loi du 6 janvier 1978 modifiée le 6 août 2004, adoptée par délibération n° 2007-275 du 20 septembre 2007, est complétée de la manière suivante :
Mme Anna BENISTI, direction des relations avec les usagers et du contrôle ;
M. Paul HEBERT, direction des affaires juridiques, internationales et de l’expertise ;
M. Stéphane LABARTHE, direction des relations avec les usagers et du contrôle ;
M. Nicolas REVELLO, direction des relations avec les usagers et du contrôle ;
M. Jean-Emmanuel SASTRE, direction des relations avec les usagers et du contrôle ;
Melle Elise WOLTON, direction des affaires juridiques, internationales et de l’expertise ;
Article 2 :
La présente décision prendra effet à compter de la date de sa publication au Journal Officiel de la République française.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société AD ELEC d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
La société AD ELEC souhaite utiliser un dispositif reposant sur la reconnaissance du réseau veineux des doigts de la main afin de sécuriser l’accès aux locaux dans lesquels se trouvent les produits finis et les matériels de production. Le choix d’un dispositif biométrique répond à la nécessité de garantir l’identification des personnes accédant aux locaux et la fiabilité de l’historique de ces accès.
Le dispositif reposera sur un boîtier (terminal de lecture-comparaison) situé au point d’accès aux locaux concernés. Il s’agit d’un boîtier autonome, qui ne sera relié à aucun réseau informatique. L’enrôlement des personnes s’effectuera à partir de ce seul boîtier qui est équipé d’un lecteur qui permet également l’enregistrement des gabarits. Outre les données biométriques, les éléments d’identification des personnes concernées (nom, prénom, fonction) seront également traitées.
La vérification s’effectuera entre le doigt apposé sur le lecteur et le gabarit du réseau veineux des personnes qui sera stocké dans le lecteur. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ de l’employé de la société. Un historique des passages sera conservé pendant trois mois.
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès aux locaux ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du réseau veineux n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de la direction générale de la société AD ELEC, 18 rue de Lorraine – 93290 Tremblay en France.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom) ;
la fonction ;
le gabarit du réseau veineux de deux doigts de la main ;
l’historique des passages.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels habilités de la direction générale.
Dans ces conditions, la Commission autorise la société AD ELEC, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société Berflex SAS d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux ordinateurs portables.
Formule les observations suivantes :
Le dispositif choisi par la société Berflex SAS a pour objectif de renforcer les conditions d’accès aux ordinateurs portables remis aux employés et doit permettre de sécuriser l’accès à distance au réseau informatique de la société.
Les ordinateurs portables des personnels comporteront un lecteur biométrique intégré. La vérification s’effectuera entre le doigt apposé par l’employé sur le lecteur et le gabarit de l’empreinte digitale préalablement enregistré dans l’ordinateur portable. La procédure d’enrôlement ainsi que la reconnaissance de l’empreinte digitale lors du contrôle d’accès à l’ordinateur portable s’effectueront localement. A aucun moment, le gabarit de l’empreinte digitale ne circulera sur un réseau. 
Les personnes concernées seront informées par une note. Le gabarit biométrique ne sera conservé que le temps pendant lequel l’ordinateur portable sera confié à l’employé.
Compte tenu de ce qui précède et dans la mesure où le gabarit de l’empreinte digitale est chiffré et est uniquement enregistré dans l’ordinateur portable exclusivement détenu par la personne concernée et qu’il ne sera à aucun moment amené à transiter sur un quelconque réseau, la Commission considère que la mise en œuvre d’un traitement reposant sur la reconnaissance de l’empreinte digitale apparaît, dans ces conditions et en l’état actuel des connaissances sur la technologie utilisée, adaptée et proportionnée à la finalité assignée au dispositif.
Les droits d’accès et de rectification s’exerceront auprès du service informatique de la société Berflex SAS, 2 rue des plaines ZAC des coteaux – 17810 Saint Georges des coteaux.
Les catégories de données à caractère personnel enregistrées seront :
le gabarit de l’empreinte digitale ;
l’identité (nom, prénom et les initiales de l’utilisateur) ;
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels habilités du service informatique.
Dans ces conditions, la Commission autorise la société Berflex SAS, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par l’association Centre d’Astronomie d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
L’association Centre d’Astronomie – centre de séjours et d’animation pour le grand public et les scolaires - souhaite utiliser un dispositif reposant sur la reconnaissance des empreintes digitales afin de contrôler l’accès aux locaux d’hébergement, à la salle informatique, à « l’espace boutique » et aux bâtiments dans lesquels sont situés les matériels optiques et audiovisuels.
D’une manière générale, la Commission observe qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. Ainsi, à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être changée une fois collectée, ce qui impose d’en limiter l’usage afin d’en garantir la sécurité et le contrôle par les personnes.
La Commission considère également que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un fort impératif de sécurité, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
A cet égard, la Commission observe que le dispositif destiné au contrôle de l’accès aux locaux précités n’a pas pour objet de sécuriser une zone représentant un enjeu majeur dépassant l’intérêt strict de l’organisme concerné, mais répond à un besoin général de sécurisation d’un établissement. En outre, l’association :
indique remettre des clés « passe partout » aux personnes ne souhaitant pas utiliser le procédé biométrique ;
justifie l’utilisation d’un système reposant sur l’enregistrement des empreintes digitales dans une base de données par le fait qu’un tel dispositif permet de limiter « l’utilisation intensive de clés » et « apporte une solution fiable à la perte et au vol de clés ».
La Commission relève que cet objectif pourrait être atteint, par exemple, par le recours à des dispositifs reposant sur la reconnaissance d’autres données biométriques telles que le contour de la main ou le réseau veineux du doigt de la main qui, en l’état actuel de la technique, ne sont pas susceptibles d’être capturées à l’insu des personnes et dès lors, ne comportent pas de risques particuliers pour les libertés et les droits fondamentaux des personnes.
Ainsi, la Commission rappelle que la constitution d’une base de données d’empreintes digitales comporte davantage de risques pour le droit des personnes et doit être réservée à des hypothèses particulières fondées sur un impératif fort de sécurité. En effet, parce que l’empreinte digitale constitue une « trace » laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l’état des techniques, exige que son utilisation soit limitée et encadrée afin d’empêcher que l’exemplaire de l’empreinte récupéré ne puisse être utilisé pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif d’empreintes digitales ;
usurper l’identité d’une personne, par exemple pour frauder un dispositif reposant sur la reconnaissance de l’empreinte digitale. 
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles. 
Dès lors, la Commission n’autorise pas, en l’état, l’association Centre d’Astronomie – Plateau du Moulin à vent – 04870 Saint Michel l’observatoire - à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l’accès aux locaux.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par l’école nationale des arts du cirque de Rosny-sous-Bois d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
L’école nationale des arts du cirque de Rosny-sous-Bois souhaite utiliser un dispositif reposant sur la reconnaissance des empreintes digitales afin de contrôler l’accès des adhérents et du personnel à ses locaux. Ce traitement doit permettre de sécuriser l’établissement et ainsi de prévenir les intrusions de personnes étrangères à l’école. Deux modes de fonctionnement sont disponibles sur le dispositif choisi. Il est ainsi possible d’enregistrer le gabarit des empreintes digitales des personnes :
sur un support individuel tel qu’une carte à puce. Le contrôle d'accès s'effectue par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l'empreinte digitale enregistré sur le badge ;
dans la mémoire du terminal de lecture comparaison. Le contrôle d'accès s'effectue par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l'empreinte digitale enregistré dans la base de données du lecteur.
L’école nationale des arts du cirque de Rosny-sous-Bois, ne disposant que de dix supports individuels (cartes à puce) pour quatre cents utilisateurs concernés, devrait procéder à l’enregistrement du gabarit de la quasi-totalité des personnes dans la mémoire du terminal de lecture comparaison.
D’une manière générale, la Commission observe qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. Ainsi, à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être changée une fois collectée, ce qui impose d’en limiter l’usage afin d’en garantir la sécurité et le contrôle par les personnes.
La Commission considère également que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un fort impératif de sécurité, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
A cet égard, la Commission observe que le dispositif destiné au contrôle de l’accès aux locaux précités n’a pas pour seul objet de sécuriser une zone représentant un enjeu majeur dépassant l’intérêt strict de l’organisme concerné, mais répond à un besoin général de sécurisation d’un établissement. Elle relève également que, comme le permet le dispositif envisagé, cet objectif pourrait être atteint par le recours à un enregistrement de l’empreinte digitale sur des supports individuels qui présente moins de risques au regard de la protection des données et libertés individuelles.
Ainsi, la Commission rappelle que la constitution d’une base de données d’empreintes digitales comporte davantage de risques pour le droit des personnes et doit être réservée à des hypothèses particulières fondées sur un impératif fort de sécurité. En effet, parce que l’empreinte digitale constitue une « trace » laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l’état des techniques, exige que son utilisation soit limitée et encadrée afin d’empêcher que l’exemplaire de l’empreinte récupéré ne puisse être utilisé pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif d’empreintes digitales ;
usurper l’identité d’une personne, par exemple pour frauder un dispositif reposant sur la reconnaissance de l’empreinte digitale.
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles. 
Dès lors, la Commission n’autorise pas, en l’état, L’école nationale des arts du cirque de Rosny-sous-bois – 22 rue Jules GUESDE – 93110 Rosny-sous-Bois - à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l’accès aux locaux.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la fondation Jean Dausset d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
Le dispositif a pour objet de sécuriser les accès au Centre de Ressources Biologiques (CRB) de la fondation Jean Dausset dans lequel sont notamment traités des échantillons biologiques rares ou pouvant comporter un risque sanitaire (virus HIV, hépatites …) et stockés des produits toxiques. Il doit permettre de garantir que seuls les personnels habilités pourront accéder au CRB et manipuler les échantillons et produits dangereux.
Le dispositif reposera sur des terminaux de lecture-comparaison situés aux différents points d’accès au CRB. Ces terminaux seront reliés à un serveur au niveau duquel seront enregistrées les données d’identification des employés. Lors du contrôle d’accès, l’employé apposera son doigt sur le lecteur biométrique, une comparaison s’effectuera alors entre cette empreinte digitale et le gabarit enregistré au niveau du terminal de lecture-comparaison. Un historique des passages sera édité et conservé pendant 3 mois.
Le gabarit de l’empreinte digitale et les données relatives à l’identité de l’employé seront conservés tant que la personne sera habilitée à pénétrer dans le centre de ressources biologiques dont l’accès est sécurisé. Les personnes seront informées par l’envoi de deux courriers (un sous forme électronique, l’autre sous forme papier) et lors de la phase d’enrôlement.
Compte tenu du fort impératif de sécurité lié à la nécessité de contrôler l’accès à des locaux dans lesquels sont notamment traités des échantillons biologiques rares ou pouvant comporter un risque sanitaire (virus HIV, hépatites …) et des circonstances de l’espèce, les traitements soumis à la Commission sont adaptés et proportionnés à la finalité assignée au dispositif au regard de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de la direction de la fondation Jean Dausset – 27 rue Juliette Dodu – 75010 Paris.
Les catégories de données à caractère personnel enregistrées seront :
le gabarit de l’empreinte digitale ;
l’identité (nom, prénom) ;
Le destinataire des informations sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, le responsable sécurité du site.
Dans ces conditions, la Commission autorise la fondation Jean Dausset, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK