AgentPublic/cnil huggingface dataset:
empreintes aux seules fins de contrôle d'accès à des locaux ou à des services, comportent un risque d'atteinte aux libertés individuelles dans la mesure où elles sont susceptibles d'être utilisées à des fins étrangères à la finalité initialement poursuivie.   La Commission estime en conséquence que la constitution de bases de données d'empreintes digitales, compte tenu des caractéristiques de l'élément d'identification physique retenu et des usages possibles de ces bases de données, ne peut être admise que dans certaines circonstances particulières où l'exigence de sécurité et d'identification des personnes est impérieuse.   Or, en l'espèce, l'objectif invoqué par la société Rothschild Gestion de contrôler l'accès aux salles dans lesquelles sont situés les équipements informatiques et téléphoniques, s'il est légitime, ne justifie pas la conservation dans une base de données des empreintes digitales des employés habilités à accéder aux locaux. Ce contrôle d'accès pourrait tout aussi bien être assuré au moyen d'un dispositif de reconnaissance des empreintes digitales avec enregistrement sur un support individuel, qui ne présente pas les même risques en termes de protection des données.  En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné à l'objectif poursuivi.
Dès lors, la Commission n'autorise pas la société Rothschild Gestion, sise 42 rue d'Anjou - 75008 Paris, à mettre en oeuvre un traitement de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est de sécuriser l'accès aux salles dans lesquelles sont situés les équipements informatiques et téléphoniques.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la demande d'autorisation, présentée par la société Murano Urban Resort relative à la mise en oeuvre d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance de l'empreinte digitale et ayant pour finalité le contrôle de l'accès aux chambres de l'hôtel ;   Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement en ses observations;
Formule les observations suivantes ;   Le 16 mars 2006, la société Murano Urban Resort, exploitant un hôtel situé 13 boulevard du Temple dans le 3ème arrondissement de Paris, a adressé à la Commission nationale de l'informatique et des libertés une déclaration relative à la mise en oeuvre d'un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et dont la finalité est de sécuriser l'accès aux chambres de l'hôtel.   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   Il convient d'examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l'article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.   Les empreintes digitales sont des données biométriques qui laissent des traces pouvant ensuite être exploitées à des fins d'identification de personnes.  Dès lors la constitution et l'utilisation de bases de données nominatives associées à des empreintes digitales, même limitée à la comparaison des empreintes aux seules fins de
contrôle d'accès à des locaux ou à des services, comportent un risque d'atteinte aux libertés individuelles dans la mesure où elle est susceptible d'être utilisée à des fins étrangères à la finalité initialement poursuivie.   La Commission estime en conséquence que la constitution de bases de données d'empreintes digitales, compte tenu des caractéristiques de l'élément d'identification physique retenu et des usages possibles de ces bases de données, ne peut être admise que dans certaines circonstances particulières où l'exigence de sécurité et d'identification des personnes est impérieuse.   Or, en l'espèce, l'objectif invoqué par la société Murano Urban Resort de contrôler l'accès aux chambres d'hôtel, s'il est légitime, ne justifie pas la conservation dans une base de données des empreintes digitales des employés et des clients habilités à accéder aux chambres.  En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné à l'objectif poursuivi.
Dès lors, la Commission n'autorise pas la société Murano Urban Resort, sise 13 boulevard du Temple - 75003 Paris, à mettre en oeuvre un traitement de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est de sécuriser l'accès aux chambres de l'hôtel dont elle assure l'exploitation.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-8° ;   Vu la demande d'autorisation présentée par la société La Mesta Chimie Fine SAS portant modification d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation d'un dispositif de reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la délibération n° 2006-071 du 16 mars 2006 du portant autorisation de la mise en oeuvre par la société La Mesta Chimie Fine SAS d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation d'un dispositif de
reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux ;   Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :   Le 26 avril 2006, la société La Mesta Chimie Fine SAS, a adressé à la Commission nationale de l'informatique et des libertés une demande d'autorisation portant modification du dispositif de reconnaissance des empreintes digitales ayant pour finalité le contrôle de l'accès aux locaux dont la mise en oeuvre avait été autorisée par la délibération numéro 2006-071 du 16 mars 2006.   Cette demande a principalement pour objet la modification des modalités de stockage des empreintes digitales des employés concernés.  Ainsi, la société La Mesta Chimie Fine SA souhaite désormais enregistrer les empreintes digitales des employés dans une base de données et non plus au sein d'un support individuel comme cela était le cas précédemment.   La Commission considère que la modification des fonctions générales du traitement, en l'espèce des modalités de stockage des empreintes digitales, porte sur l'un des éléments visés au 2° du 1 de l'article 30 de la loi du 6 janvier 1978 modifiée et constitue une modification de caractère substantiel.  En conséquence, il y a lieu pour la Commission de faire application de l'article 25-8° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   La société La Mesta Chimie Fine SA, spécialisée dans la fabrication de principes actifs pour l'industrie pharmaceutique, précise que le dispositif
reposant sur l'utilisation d'une carte à puce s'est avéré inadapté aux contraintes liées au fait que le site dont elle souhaite contrôler les accès relève de la réglementation sur les installations classées pour la protection de l'environnement (ICPE) soumis à une autorisation d'exploiter préfectorale.   S'agissant d'un site classé de type "SEVESO seuil bas" dans lequel sont stockés simultanément des produits dangereux, la société La Mesta Chimie Fine SAS a obligation de mettre en oeuvre un Plan d'Opération Interne (POI) dans lequel sont définis les mesures d'organisation et les moyens à mobiliser pour protéger le personnel, la population et l'environnement en cas d'accident.  A ce titre, la société La Mesta Chimie Fine SAS doit être en mesure de fournir, en cas d'exercice d'évacuation ou d'accident, la liste exacte des personnes présentes sur le site.
Or, le recours à un support individuel de stockage des empreintes digitales ne permet pas de savoir quelles sont les personnes présentes sur les lieux en cas d'oubli, de perte, de vol ou d'endommagement des cartes.  Dès lors, afin d'assurer le suivi exhaustif des personnes accédant au site et de garantir la fiabilité de l'historique de leurs passages, la modification du dispositif apparaît nécessaire.   Ainsi, le dispositif modifié reposera sur plusieurs boîtiers répartis aux différents points d'accès au site et au local de maintenance.  Les gabarits des empreintes digitales des personnes habilitées à accéder au site et au local de maintenance seront enregistrés dans ces boîtiers.  Ces derniers seront reliés à un serveur au niveau duquel seront enregistrés l'identité des employés (nom, prénom).  Lors du contrôle d'accès, l'employé apposera son doigt sur le lecteur biométrique du boîtier, une comparaison s'effectuera alors entre cette empreinte digitale et le gabarit enregistré dans la base de données du lecteur.   Les données relatives à l'historique des passages seront conservées pendant un mois.  La durée de conservation relative à l'identité de l'employé et au gabarit de l'empreinte digitale, sera égale au temps pendant lequel la personne concernée travaille pour la société Mesta Chimie Fine.   Une information et une consultation du Comité d'Entreprise a été effectuée conformément aux dispositions de l'article L. 432-2 du Code du travail.  L'information individuelle
des employés est effectuée au moment de l'enrôlement.  Les employés peuvent accéder en ligne à leur dossier comportant l'historique de leurs passages après saisie d'un mot de passe et d'un nom d'utilisateur.   Enfin, les mesures prises en vue de garantir la sécurité des données, apparaissent conformes à l'état de l'art et aux exigences de la Commission.  S'agissant du contrôle d'accès logique au système, les éléments d'informations figurant dans les dossiers apparaissent satisfaisants notamment, concernant l'administration des mots de passe et la politique de gestion des accès dans la mesure où, seuls le responsable Hygiène et sécurité et le chef de service administratif disposent de l'habilitation pour accéder aux données.  Enfin, il convient de préciser d'une part, que l'accès à l'application et aux fichiers contenant les données à caractère personnel fera l'objet d'une journalisation et, d'autre part, que le dispositif repose sur un réseau privé permettant de prévenir tout risque d'intrusion extérieur.
Compte tenu d'une part, du fort impératif de sécurité lié à la nécessité de contrôler l'accès à un site classé de type "SEVESO" dans lequel sont stockés simultanément des produits dangereux et, d'autre part, de l'obligation de fournir la liste exacte des personnes présentes sur le site, les traitements et notamment, le recours à la constitution de bases de données biométriques, sont adaptés et proportionnés à la finalité assignée au dispositif.   Les droit d'accès et de rectification s'exerceront auprès du Directeur administratif et financier de la société La Mesta Chimie Fine SAS, sise Pont Charles Albert - 06830 Gilette.   Les catégories de données à caractère personnel enregistrées seront l'identité des employés (nom, prénom), le gabarit de leur empreinte digitale et l'historique des passages.   Les destinataires des informations seront, dans la limite de leurs attributions respectives et pour la poursuite de la finalité précitée, le responsable hygiène et sécurité et le chef de service administratif.   Autorise, dans ces conditions, la société La Mesta Chimie Fine SAS à mettre en oeuvre le traitement de données à caractère personnel présenté.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 91/308/CE du Conseil du 10 juin 1991 modifiée relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 25-1-4° et 69 ;   Vu le code monétaire et financier (CMF), notamment ses articles L. 511-34, L. 561-1 à L. 563-5, L. 574-1, L. 574-2, L. 613-13, R. 562-1, R. 562-2, R. 563-1 à R. 563-3 et R. 564-1 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 précitée ;   Vu le décret royal espagnol 925/1995 du 9 juin 1995 portant approbation du règlement d'application de la loi 19/1993 du 28 décembre 1993 sur diverses mesures de prévention du blanchiment de capitaux, notamment l'article 6 ;   Vu la décision de la Commission n° 2002/16/CE du 27 décembre 2001
relative aux clauses contractuelles types pour le transfert des données à caractère personnel vers des sous-traitants établis dans des pays tiers en vertu de la directive 95/46/CE ;   Vu la délibération n° 2005-297 du 1er décembre 2005 portant autorisation unique de certains traitements automatisés de données à caractère personnel mis en oeuvre dans les organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme (décision d'autorisation unique n° AU-003) ;   Vu le dossier déposé par la Banque BBVA relatif à un traitement automatisé de données à caractère personnel ayant pour finalité la mise en oeuvre de l'obligation de contrôle imposée aux établissements bancaires par la législation sur la lutte contre le blanchiment de capitaux et le financement du terrorisme ;   Après avoir entendu M. Philippe Nogrix, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :   La banque Banco Bilbao Vizcaya Argentaria S.A. BBVA a saisi la Commission nationale de l'informatique et des libertés le 3 mars 2006 d'un dossier relatif à la mise en oeuvre d'un traitement de données à caractère personnel dont la finalité est d'assurer le respect de la législation relative à la participation des organismes financiers à la lutte contre le blanchiment de capitaux qui lui est applicable ;   Ce traitement vise à détecter les opérations qui sont susceptibles, du fait des anomalies qu'elles comportent, d'être qualifiées d'infraction de blanchiment par les autorités compétentes et qui, de ce fait, doivent, le cas échéant après la collecte de renseignements complémentaires ou un travail d'analyse non automatisé, donner lieu à l'envoi d'une déclaration à la cellule Tracfin du ministère de l'économie, des finances et de l'industrie.   L'identification de ces opérations peut conduire la banque à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec les clients concernés.  Un tel traitement, peut ainsi, du fait de sa portée, conduire à l'exclusion de personnes du bénéfice d'un contrat en l'absence de toute disposition légale prévoyant la mise en oeuvre d'une telle exclusion.   Dès lors, il relève du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la CNIL.   Le traitement vise à surveiller les mouvements financiers opérés par les clients de la
banque, à détecter celles qui présentent des anomalies, à les déclarer à la cellule de renseignement financier Tracfin, ainsi qu'à détecter les personnes inscrites sur les listes à caractère réglementaire émanant d'autorités nationales ou européennes en vue de geler leurs avoirs financiers et de n'effectuer aucune opération financière à leur destination.   L'organisme déclarant s'engage à assurer la conformité de ce traitement aux termes de la décision d'autorisation unique n° AU-003 susvisée pour l'ensemble de ses caractéristiques (finalité, données traitées, destinataires, mesures de sécurité, information des personnes), à l'exception de trois d'entre elles.   En premier lieu, le responsable du traitement étant la succursale française d'une banque de droit espagnol, le siège de celle-ci doit être en mesure de vérifier l'organisation de la lutte contre le blanchiment de capitaux et contre le financement du terrorisme et de recevoir à cette fin, conformément à l'article L. 511-34 du CMF, des données à caractère personnel issues du présent traitement.
Or, la législation espagnole relative à la lutte anti-blanchiment impose aux établissements bancaires de conserver pendant six ans les documents et registres justifiant l'exécution des opérations faites par leurs clients.  En conséquence, l'extension de cinq à six ans de la durée de conservation des données traitées est adéquate, pertinente et non excessive.   En deuxième lieu, BBVA France prévoit d'enregistrer deux catégories d'informations non prévues dans l'autorisation unique susvisée :  les liens économiques ou de parenté entre les clients. L'enregistrement de ces informations est adéquat, pertinent et non excessif.   En troisième lieu, la banque envisage le transfert de données à caractère personnel vers la société BBVA Bancomer SA, filiale mexicaine du groupe bancaire BBVA, chargée d'assurer à distance, en qualité de sous-traitant, la mise à jour et la maintenance du système informatique.
La Commission observe que le Mexique ne fait pas, à ce jour, partie des Etats reconnus comme disposant d'une législation garantissant un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l'égard du traitement des données à caractère personnel.   Conformément à l'avant-dernier alinéa de l'article 69 de la loi du 6 janvier 1978 modifiée, la Commission a compétence pour autoriser tout transfert de données à caractère personnel envisagé vers cet Etat, dès lors que le traitement effectué par le destinataire sur ces données garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment en raison des conditions contractuelles ou règles internes dont il fait l'objet.   A cet égard, la Commission constate d'abord que les transferts envisagés, au regard de leurs caractéristiques, ne sont pas contraires aux dispositions issues de la loi du 6 janvier 1978 : l'accès aux informations s'effectue dans le cadre du réseau privé du groupe BBVA qui fait l'objet des mesures de sécurité adéquates pour permettre l'accès et l'assistance à distance ; l'accès au serveur et aux données doit, en cas de défaillance technique du système, être autorisé par l'officier de conformité (déontologue) de BBVA France jusqu'à la résolution du problème ; le transfert des fichiers est rendu techniquement impossible.   La Commission note ensuite que le contrat conclu aux fins d'encadrement des
transferts de données à caractère personnel entre la succursale de Paris de la société BBVA et la société BBVA Bancomer SA inclut les clauses contractuelles-types émises par la Commission européenne dans sa décision n° 2002/16/CE du 27 décembre 2001.  Les conditions, posées à l'avant-dernier alinéa de l'article 69 précité, sont ainsi réunies.   Les droits d'accès et de rectification s'exercent auprès de l'officier de conformité de la banque, situé 29 avenue de l'Opéra 75001 Paris.   Autorise, dans ces conditions, la banque BBVA à mettre en oeuvre ce traitement automatisé.   Le président, Alex TURK.   Guy Rosier, Vice-Président Délégué.
La Commission nationale de l'informatique et des libertés,   Saisie pour avis par le ministère des affaires étrangères d'un projet de loi autorisant l'approbation du protocole additionnel à la convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, concernant les autorités de contrôle et les flux transfrontières de données, fait à Strasbourg le 8 novembre 2001 ;   Vu l'article 53 de la Constitution,   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et notamment l'article 11 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Après avoir entendu M. Georges de la Loyère, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du
Gouvernement, en ses observations ;