AgentPublic/cnil huggingface dataset:
Une telle demande d’autorisation doit s’inscrire dans le cadre de circonstances exceptionnelles qui seraient susceptibles de justifier, notamment, la proportionnalité du recours à un dispositif biométrique ayant pour finalité le contrôle des horaires des salariés.
Le traitement automatisé de données à caractère personnel que la société PRIMARK FRANCE SAS souhaite mettre en œuvre repose sur un dispositif biométrique de reconnaissance du contour de la main et ayant pour finalité le contrôle du temps de travail. Elle justifie sa démarche de recourir à ce dispositif biométrique par la recherche d’un système fiable de gestion des horaires des salariés pour la gestion des paies. 
Selon la société, le dispositif biométrique présente le double avantage de permettre de gérer facilement et sans risque d’erreur ni de fraude les heures d’arrivée et de départ et les retards des salariés et de contrôler plus efficacement le temps de travail réellement effectué.
Conformément à l’article 1er de la loi du 6 janvier 1978 modifiée, la Commission rappelle que la mise en place d’un tel dispositif ne doit « porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ». En outre, il convient d’examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Dans le respect de ces dispositions, et comme rappelé par la Commission lors de la modification de l’AU-007, seules des circonstances exceptionnelles seraient susceptibles de justifier qu’un responsable de traitement recourt à un dispositif biométrique pour le contrôle des horaires des salariés.
En l’espèce, la Commission constate qu’aucune circonstance exceptionnelle n’est démontrée et que le dispositif biométrique de contrôle des horaires des salariés ne résulte pas de la mise en œuvre de mesures de sécurité telles qu’identifiées par une analyse de risques. 
Au regard de l’ensemble de ces éléments, la Commission observe que le traitement envisagé ne relève pas d’une finalité de sécurité justifiant un recours impératif à la biométrie.
En outre, concernant la demande qui lui a été soumise, la Commission relève :
l’impossibilité pour les personnes concernées de recourir à un dispositif alternatif au dispositif biométrique; 
l’existence d’un stockage des données biométriques en base centralisée, plutôt que sur un support individuel laissé sous le contrôle de chaque individu. 
En conséquence, elle considère que le recours à un unique dispositif biométrique de reconnaissance du contour de la main n’apparait ni adapté ni proportionné à la finalité poursuivie au sens de l’article 6-3° précité. 
Dans ces conditions, la Commission n’autorise pas la société PRIMARK FRANCE SAS à mettre en œuvre un traitement de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance du contour de la main et ayant pour  finalité le contrôle du temps de travail.  
La Présidente 
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1593662)
La Commission nationale de l’informatique et des libertés,
Saisie par la société NOUVELLE D’EXPLOITATION DE BOULANGERIE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour finalité le contrôle du temps de travail ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée;
Sur la proposition de M Emmanuel de GIVRY, commissaire, et après avoir entendu M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Afin de contrôler le temps de travail de ses salariés, la société NOUVELLE D’EXPLOITATION DE BOULANGERIE, spécialisée dans la fabrication de produits de boulangerie-pâtisserie et de pâtes alimentaires, a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’un traitement de données comportant un dispositif biométrique de reconnaissance de l’empreinte digitale. 
A titre liminaire, il convient de rappeler qu’à l’issue d’une concertation avec les principales organisations syndicales et patronales, la Commission a modifié le champ d’application de l’autorisation unique n°7 (AU-007) portant sur la mise en œuvre de traitements reposant sur la reconnaissance du contour de la main.
Par délibération du 20 septembre 2012 (n°2012-322), la finalité de contrôle des horaires a été exclue du champ de cette autorisation unique. L’AU-007 en vigueur vise uniquement les finalités de « contrôle d’accès à l’entrée et dans les locaux limitativement identifiés de l’organisme faisant l’objet d’une restriction de circulation ; le contrôle de l’accès au restaurant d’entreprise [… et] le contrôle d’accès des visiteurs » (article 1er). 
Le recours à un dispositif biométrique pour la gestion des horaires exige que le responsable de traitement effectue auprès de la CNIL une demande d’autorisation spécifique sur le fondement de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée.
Une telle demande d’autorisation doit s’inscrire dans le cadre de circonstances exceptionnelles qui seraient susceptibles de justifier, notamment, la proportionnalité du recours à un dispositif biométrique ayant pour finalité le contrôle des horaires des salariés.
Le traitement automatisé de données à caractère personnel que la société NOUVELLE D’EXPLOITATION DE BOULANGERIE souhaite mettre en œuvre repose sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour finalité le contrôle du temps de travail. Elle justifie sa démarche de recourir à ce dispositif biométrique par la recherche d’un système fiable de gestion des horaires des salariés. 
Selon la société, le dispositif biométrique présente le double avantage de gérer facilement et sans risque d’erreur ni de fraude les heures d’arrivée et de départ et les retards des salariés pour établir les fiches de paie et de garantir un contrôle optimal à l’inspection du travail.
En outre, concernant la demande qui lui a été soumise, la Commission relève notamment :
l’existence d’un stockage des données biométriques en base centralisée, plutôt que sur un support individuel laissé sous le contrôle de chaque individu.  
En conséquence, elle considère que le recours à un unique dispositif biométrique de reconnaissance de l’empreinte digitale n’apparait ni adapté ni proportionné à la finalité poursuivie au sens de l’article 6-3° précité. 
Dans ces conditions, la Commission n’autorise pas la société NOUVELLE D’EXPLOITATION DE BOULANGERIE à mettre en œuvre un traitement de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour  finalité le contrôle du temps de travail.  
La Présidente 
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1604830)
La Commission nationale de l’informatique et des libertés,
Saisie par la société LAPHT PHYTOFRANCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour finalité le contrôle du temps de travail ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée;
Sur la proposition de M Emmanuel de GIVRY, commissaire, et après avoir entendu M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Afin de contrôler le temps de travail de ses salariés, la société LAPHT PHYTOFRANCE, spécialisée dans la fabrication de produits alimentaires, a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’un traitement de données comportant un dispositif biométrique de reconnaissance de l’empreinte digitale. 
A titre liminaire, il convient de rappeler qu’à l’issue d’une concertation avec les principales organisations syndicales et patronales, la Commission a modifié le champ d’application de l’autorisation unique n°7 (AU-007) portant sur la mise en œuvre de traitements reposant sur la reconnaissance du contour de la main.
Par délibération du 20 septembre 2012 (n°2012-322), la finalité de contrôle des horaires a été exclue du champ de cette autorisation unique. L’AU-007 en vigueur vise uniquement les finalités de « contrôle d’accès à l’entrée et dans les locaux limitativement identifiés de l’organisme faisant l’objet d’une restriction de circulation ; le contrôle de l’accès au restaurant d’entreprise [… et] le contrôle d’accès des visiteurs » (article 1er). 
Le recours à un dispositif biométrique pour la gestion des horaires exige que le responsable de traitement effectue auprès de la CNIL une demande d’autorisation spécifique sur le fondement de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée.
Une telle demande d’autorisation doit s’inscrire dans le cadre de circonstances exceptionnelles qui seraient susceptibles de justifier, notamment, la proportionnalité du recours à un dispositif biométrique ayant pour finalité le contrôle des horaires des salariés.
Le traitement automatisé de données à caractère personnel que la société LAPHT PHYTOFRANCE souhaite mettre en œuvre repose sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour finalité le contrôle du temps de travail. Elle justifie sa démarche de recourir à ce dispositif biométrique par la recherche d’un système fiable de gestion des horaires des salariés. 
Selon la société, le dispositif biométrique présente le triple avantage de permettre de gérer les retards des salariés et de connaître leurs heures d’arrivée et de départ, d’éviter d’introduire de composants extérieurs à l’intérieur des zones propres dans le respect des conditions d’hygiène sur le lieu de travail et de contrôler plus efficacement les salariés présents sur les lieux en cas de problème et d’évacuation du bâtiment.
Conformément à l’article 1er de la loi du 6 janvier 1978 modifiée, la Commission rappelle que la mise en place d’un tel dispositif ne doit « porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ». En outre, il convient d’examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Dans le respect de ces dispositions, et comme rappelé par la Commission lors de la modification de l’AU-007, seules des circonstances exceptionnelles seraient susceptibles de justifier qu’un responsable de traitement recourt à un dispositif biométrique pour le contrôle des horaires des salariés.
En l’espèce, la Commission constate qu’aucune circonstance exceptionnelle n’est démontrée et que le dispositif biométrique de contrôle des horaires des salariés ne résulte pas de la mise en œuvre de mesures de sécurité telles qu’identifiées par une analyse de risques. 
Au regard de l’ensemble de ces éléments, la Commission observe que le traitement envisagé ne relève pas d’une finalité de sécurité justifiant un recours à la biométrie.
En conséquence, elle considère que le recours à un unique dispositif biométrique de reconnaissance de l’empreinte digitale n’apparait ni adapté ni proportionné à la finalité poursuivie au sens de l’article 6-3° précité. 
Dans ces conditions, la Commission n’autorise pas la société LAPHT PHYTOFRANCE à mettre en œuvre un traitement de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour  finalité le contrôle du temps de travail.  
La Présidente 
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1644368)
La Commission nationale de l’informatique et des libertés,
Saisie par la société INOTTICA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour finalité le contrôle du temps de travail ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée;
Sur la proposition de M Emmanuel de GIVRY, commissaire, et après avoir entendu M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Afin de contrôler le temps de travail de ses salariés, la société INOTTICA, spécialisée dans la commercialisation interentreprises de biens domestiques, a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’un traitement de données comportant un dispositif biométrique de reconnaissance de l’empreinte digitale. 
A titre liminaire, il convient de rappeler qu’à l’issue d’une concertation avec les principales organisations syndicales et patronales, la Commission a modifié le champ d’application de l’autorisation unique n°7 (AU-007) portant sur la mise en œuvre de traitements reposant sur la reconnaissance du contour de la main.
Par délibération du 20 septembre 2012 (n°2012-322), la finalité de contrôle des horaires a été exclue du champ de cette autorisation unique. L’AU-007 en vigueur vise uniquement les finalités de « contrôle d’accès à l’entrée et dans les locaux limitativement identifiés de l’organisme faisant l’objet d’une restriction de circulation ; le contrôle de l’accès au restaurant d’entreprise [… et] le contrôle d’accès des visiteurs » (article 1er). 
Le recours à un dispositif biométrique pour la gestion des horaires exige que le responsable de traitement effectue auprès de la CNIL une demande d’autorisation spécifique sur le fondement de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée.
Une telle demande d’autorisation doit s’inscrire dans le cadre de circonstances exceptionnelles qui seraient susceptibles de justifier, notamment, la proportionnalité du recours à un dispositif biométrique ayant pour finalité le contrôle des horaires des salariés.
Le traitement automatisé de données à caractère personnel que la société INOTTICA souhaite mettre en œuvre repose sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour finalité le contrôle du temps de travail. Elle justifie sa démarche de recourir à ce dispositif biométrique par la recherche d’un système fiable de gestion des horaires des salariés pour la gestion des paies. 
Selon la société, le dispositif biométrique présente le double avantage de permettre de gérer à distance et sans risque d’erreur ni de fraude, les heures d’arrivée et de départ et les retards des salariés et de contrôler plus efficacement le temps de travail réellement effectué.
En outre, concernant la demande qui lui a été soumise, la Commission relève :
l’impossibilité pour les personnes concernées de recourir à un dispositif alternatif au dispositif biométrique; 
l’existence d’un stockage des données biométriques en base centralisée, plutôt que sur un support individuel laissé sous le contrôle de chaque individu. 
En conséquence, elle considère que le recours à un unique dispositif biométrique de reconnaissance de l’empreinte digitale n’apparait ni adapté ni proportionné à la finalité poursuivie au sens de l’article 6-3° précité. 
Dans ces conditions, la Commission n’autorise pas la société INOTTICA à mettre en œuvre un traitement de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour  finalité le contrôle du temps de travail.  
La Présidente 
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1613864)
La Commission nationale de l’informatique et des libertés,
Saisie par la société FACYLITIES MULTI SERVICES d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour finalité le contrôle des absences et présences ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée;
Sur la proposition de M Emmanuel de GIVRY, commissaire, et après avoir entendu M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Afin de contrôler les absences et le temps de présence de ses salariés, la société FACYLITIES MULTI SERVICES, spécialisée dans l’accueil et l’accompagnement, sans hébergement, d’adultes handicapés, a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’un traitement de données comportant un dispositif biométrique de reconnaissance de l’empreinte digitale. 
A titre liminaire, il convient de rappeler qu’à l’issue d’une concertation avec les principales organisations syndicales et patronales, la Commission a modifié le champ d’application de l’autorisation unique n°7 (AU-007) portant sur la mise en œuvre de traitements reposant sur la reconnaissance du contour de la main.
Par délibération du 20 septembre 2012 (n°2012-322), la finalité de contrôle des horaires a été exclue du champ de cette autorisation unique. L’AU-007 en vigueur vise uniquement les finalités de « contrôle d’accès à l’entrée et dans les locaux limitativement identifiés de l’organisme faisant l’objet d’une restriction de circulation ; le contrôle de l’accès au restaurant d’entreprise [… et] le contrôle d’accès des visiteurs » (article 1er). 
Le recours à un dispositif biométrique pour la gestion des horaires exige que le responsable de traitement effectue auprès de la CNIL une demande d’autorisation spécifique sur le fondement de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée.
Une telle demande d’autorisation doit s’inscrire dans le cadre de circonstances exceptionnelles qui seraient susceptibles de justifier, notamment, la proportionnalité du recours à un dispositif biométrique ayant pour finalité le contrôle de présence de ses salariés.
Le traitement automatisé de données à caractère personnel que la société FACYLITIES MULTI SERVICES souhaite mettre en œuvre repose sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour finalité le contrôle des absences et présences. Elle justifie sa démarche de recourir à ce dispositif biométrique par la recherche d’un système fiable de contrôle des absences et présences des salariés. 
Selon la société, le dispositif biométrique présente le double avantage de permettre de gérer facilement et sans risque d’erreur ni de fraude les absences et présences des salariés et d’éviter les risques d’oubli de mot de passe et/ou de carte.
Conformément à l’article 1er de la loi du 6 janvier 1978 modifiée, la Commission rappelle que la mise en place d’un tel dispositif ne doit « porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ». En outre, il convient d’examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Dans le respect de ces dispositions, et comme rappelé par la Commission lors de la modification de l’AU-007, seules des circonstances exceptionnelles seraient susceptibles de justifier qu’un responsable de traitement recourt à un dispositif biométrique pour le contrôle de présence de ses salariés.
En l’espèce, la Commission constate qu’aucune circonstance exceptionnelle n’est démontrée et que le dispositif biométrique de contrôle de présence de ses salariés ne résulte pas de la mise en œuvre de mesures de sécurité telles qu’identifiées par une analyse de risques. 
Au regard de l’ensemble de ces éléments, la Commission observe que le traitement envisagé ne relève pas d’une finalité de sécurité justifiant un recours impératif à la biométrie.
En outre, concernant la demande qui lui a été soumise, la Commission relève :
l’impossibilité pour les personnes concernées de recourir à un dispositif alternatif au dispositif biométrique; 
l’existence d’un stockage des données biométriques en base centralisée, plutôt que sur un support individuel laissé sous le contrôle de chaque individu. 
En conséquence, elle considère que le recours à un unique dispositif biométrique de reconnaissance de l’empreinte digitale n’apparait ni adapté ni proportionné à la finalité poursuivie au sens de l’article 6-3° précité. 
Dans ces conditions, la Commission n’autorise pas la société FACYLITIES MULTI SERVICES à mettre en œuvre un traitement de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour  finalité le contrôle des absences et présences.  
La Présidente 
Isabelle FALQUE-PIERROTIN