AgentPublic/cnil huggingface dataset:
La société Easydentic souhaite utiliser un dispositif reposant sur la reconnaissance du réseau veineux des doigts de la main afin de sécuriser l’accès aux locaux dans lesquels se trouvent les produits finis et les matériels de production. Le choix d’un dispositif biométrique répond à la nécessité de garantir l’identification des personnes accédant aux locaux et la fiabilité de l’historique de ces accès.
Le dispositif reposera sur un boîtier (terminal de lecture-comparaison) situé au point d’accès aux locaux concernés. Il s’agit d’un boîtier autonome, qui ne sera relié à aucun réseau informatique. L’enrôlement des personnes s’effectuera à partir de ce seul boîtier qui est équipé d’un lecteur qui permet également l’enregistrement des gabarits. Outre les données biométriques, les éléments d’identification des personnes concernées (nom, prénom, fonction) seront également traitées.
La vérification s’effectuera entre le doigt apposé sur le lecteur et le gabarit du réseau veineux des personnes qui sera stocké dans le lecteur. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ de l’employé de la société. Un historique des passages sera conservé pendant trois mois.
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès aux locaux ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du réseau veineux n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès du responsable des ressources humaines de la société Easydentic, Parc de la Duranne – l’adamantin / 130 rue Archimède – BP 60454  - 13592 Aix-en-Provence Cedex 3.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom,) ;
la fonction ;
le gabarit du réseau veineux de deux doigts de la main ;
l’historique des passages.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels habilités du service des ressources humaines et des services généraux.
Dans ces conditions, la Commission autorise la société Easydentic, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société EuroSysNav SAS d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux postes informatiques.
Formule les observations suivantes :
La société EuroSysNav SAS est en charge du développement, de la fourniture et de l’intégration fonctionnelle des systèmes de combat de frégates antiaériennes, dans le cadre du programme militaire franco-italien « Horizon ». Cette société souhaite utiliser un dispositif biométrique pour renforcer les conditions d’accès aux postes informatiques et à des données classifiées de défense. 
Le dispositif utilisé reposera sur une clé USB à laquelle sera associé un lecteur d’empreintes digitales et qui sera connectée au poste informatique. Les gabarits des empreintes digitales de tous les utilisateurs du poste informatique concerné seront exclusivement stockés dans la mémoire de la clé USB. Le contrôle d’accès aux données s’effectuera par une comparaison entre le doigt apposé sur le lecteur et les gabarits enregistrés dans la clé USB. A aucun moment, les gabarits des empreintes digitales ne circuleront sur un réseau. 
Les personnes concernées seront informées par une note. Le gabarit de l’empreinte digitale et les données d’identité des personnes concernées seront conservés jusqu’à la fin du programme « Horizon », c’est à dire jusqu’en 2010.
Compte tenu du fort impératif de sécurité lié à la nécessité de contrôler l’accès à des informations classifiées de défense relatives à un programme militaire et des circonstances de l’espèce, les traitements sont adaptés et proportionnés à la finalité assignée au dispositif.
Les droits d’accès et de rectification s’exerceront auprès des officiers de sécurité en charge de la sécurité informatique, rond point de l’artillerie de Marine – BP 50516 – 83054 TOULON CEDEX.
Les catégories de données à caractère personnel enregistrées seront :
le gabarit de l’empreinte digitale de deux doigt ;
l’identité (nom, prénom) ;
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les officiers de sécurité en charge de la sécurité informatique.
Dans ces conditions, la Commission autorise la société EuroSysNav SAS, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société Géant Casino Nîmes Costières d’un traitement de données à caractère personnel reposant sur la reconnaissance du contour de la main et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
La société Géant Casino Nîmes Costières souhaite utiliser un dispositif biométrique destiné à contrôler l’accès à une armoire dans laquelle sont conservées les clés utiles à l’exploitation du magasin. Il s’agit notamment, des clés permettant l’ouverture des quais de réception, des issues de secours, des bureaux administratifs ainsi que des clés relatives aux véhicules de livraison.
La vérification s’effectuera entre la main apposée par l’employé sur le lecteur et le gabarit du contour de la main préalablement enregistré dans le système informatique. Les éléments d’identification des utilisateurs ne seront conservés que le temps pendant lequel ils travaillent pour la société Géant Casino Nîmes Costières. L’historique des accès sera conservé pendant deux mois.
La Commission considère que le contour de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès à des clés ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du contour de la main n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de la direction générale de la société Géant Casino Nîmes Costières, 200 avenue Docteur Claude Baillet – 30900 NIMES.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom, identifiant) ;
le gabarit du contour de la main ;
l’historique des passages.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le responsable de la sécurité, le responsable du personnel et le chef d’établissement.
Dans ces conditions, la Commission autorise la société Géant Casino Nîmes Costières, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par l’association Hospitalière de l’Ouest d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
L’association Hospitalière de l’Ouest – organisme qui regroupe les activités de deux cliniques - souhaite utiliser un dispositif reposant sur la reconnaissance des empreintes digitales afin de contrôler l’accès aux blocs opératoires, aux salles de réveil, aux vestiaires des employés et aux locaux dans lesquels sont stockés des matériels coûteux.
D’une manière générale, la Commission observe qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. Ainsi, à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être changée une fois collectée, ce qui impose d’en limiter l’usage afin d’en garantir la sécurité et le contrôle par les personnes.
La Commission considère également que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un fort impératif de sécurité, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
A cet égard, la Commission observe que le dispositif destiné au contrôle de l’accès aux locaux précités n’a pas pour seul objet de sécuriser une zone représentant un enjeu majeur dépassant l’intérêt strict de l’organisme concerné, mais répond à un besoin général de sécurisation d’un établissement. En outre, l’association justifie l’utilisation d’un système reposant sur l’enregistrement des empreintes digitales dans une base de données par le fait qu’un tel dispositif présente des « facilités d’installation » et permet un « accès facilité pour les praticiens et les personnels ».
La Commission relève que cet objectif pourrait être atteint, par exemple, par le recours à des dispositifs reposant sur la reconnaissance d’autres données biométriques telles que le contour de la main ou le réseau veineux du doigt de la main qui, en l’état actuel de la technique, ne sont pas susceptibles d’être capturées à l’insu des personnes et dès lors, ne comportent pas de risques particuliers pour les libertés et les droits fondamentaux des personnes.
Ainsi, la Commission rappelle que la constitution d’une base de données d’empreintes digitales comporte davantage de risques pour le droit des personnes et doit être réservée à des hypothèses particulières fondées sur un impératif fort de sécurité. En effet, parce que l’empreinte digitale constitue une « trace » laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l’état des techniques, exige que son utilisation soit limitée et encadrée afin d’empêcher que l’exemplaire de l’empreinte récupéré ne puisse être utilisé pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif d’empreintes digitales ;
usurper l’identité d’une personne, par exemple pour frauder un dispositif reposant sur la reconnaissance de l’empreinte digitale. 
Enfin, d’une manière générale, la Commission observe qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. Ainsi, à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être changée une fois collectée, ce qui impose d’en limiter l’usage afin d’en garantir la sécurité et le contrôle par les personnes.
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles.
Dès lors, la Commission n’autorise pas, en l’état, l’association hospitalière de l’Ouest – 78 rue Paul Bellamy – 44000 Nantes - à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l’accès aux locaux.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société MGP Instruments d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
La société MGP Instruments, spécialisée dans la fabrication d’appareils de détection et de mesure des rayonnements ionisants, souhaite utiliser un dispositif biométrique pour sécuriser les accès à des locaux dans lesquels sont stockées des sources radioactives émettant des rayonnements dangereux pour la santé des personnels. Le dispositif doit permettre de s’assurer que seules les personnes habilitées par le service de radioprotection et le médecin du travail peuvent pénétrer dans ces locaux..
Le dispositif reposera sur des terminaux de lecture-comparaison situés aux différents points d’accès aux locaux dont l’accès est contrôlé. Les gabarits des empreintes digitales des personnes habilitées à pénétrer dans les zones concernées seront exclusivement enregistrés dans les terminaux de lecture-comparaison qui ne seront reliés à aucun réseau. Lors du contrôle d’accès, l’employé apposera son doigt sur le lecteur biométrique du terminal, une comparaison s’effectuera alors entre cette empreinte digitale et le gabarit enregistré.
Le gabarit de l’empreinte digitale et le numéro de matricule de l’employé seront conservés tant que la personne sera habilitée à pénétrer dans les locaux dont l’accès est sécurisé. Les personnes seront informées par courrier électronique et par la remise d’une note.
Compte tenu du fort impératif de sécurité lié à la nécessité de contrôler l’accès à des locaux dans lesquels sont stockées des sources radioactives émettant des rayonnements dangereux et des circonstances de l’espèce, les traitements soumis à la Commission sont adaptés et proportionnés à la finalité assignée au dispositif au regard de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de la direction de la société MGP Instruments – Lieu dit Cales - route d’Eyguières – 13113 LAMANON.
Les catégories de données à caractère personnel enregistrées seront :
le gabarit de l’empreinte digitale ;
le numéro de matricule ;
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels habilités du service de radioprotection et les responsables des locaux.
Dans ces conditions, la Commission autorise la société MGP Instruments, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la mairie de Saint-Fons, d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
Le dispositif a pour finalité de sécuriser l’accès au centre de supervision à partir duquel sont contrôlées les caméras de vidéosurveillance implantées sur le territoire de la ville de Saint-Fons et dans lequel sont également conservés les enregistrements vidéos. Il s’agit de s’assurer que seuls les opérateurs habilités de la mairie de Saint-Fons peuvent visualiser les images prises par les caméras de vidéosurveillance. Le système projeté permet également un accès rapide et à tout moment au centre de supervision des agents habilités.
Le système reposera sur deux boîtiers installés en entrée et en sortie du centre de supervision. Les gabarits des empreintes digitales des personnes habilitées à pénétrer dans le centre de supervision seront enregistrés dans les terminaux de lecture comparaison qui seront reliés un poste informatique dédié et déconnecté de tout réseau. Lors du contrôle d’accès, l’employé apposera son doigt sur le lecteur biométrique du boîtier, une comparaison s’effectuera alors entre cette empreinte digitale et le gabarit enregistré dans le terminal de lecture comparaison. Un historique des passages pourra être édité.
Le gabarit de l’empreinte digitale et les données relatives à l’identité de l’employé ainsi que sa fonction seront conservés tant que la personne sera habilitée à pénétrer dans la zone. L’historique des passages sera conservé pendant trois mois maximum.
Compte tenu du fort impératif de sécurité lié à nécessité de sécuriser l’accès au centre de supervision de vidéosurveillance en vue de garantir la confidentialité des images visionnées et enregistrées ainsi que de la nécessaire réactivité des services en charge du maintien de l’ordre public et des opérations de secours, les traitements soumis à la Commission sont adaptés et proportionnés à la finalité assignée au dispositif au regard de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de la direction générale des services de la ville de Saint-Fons – Hôtel de ville – BP100 – 69195 Saint-Fons.
Les catégories de données à caractère personnel enregistrées seront :
le gabarit de l’empreinte digitale ;
l’identité (nom, prénom) ;
l’historique des passages.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée le directeur de la protection, de la prévention et de la sécurité et le responsable du centre de vidéosurveillance urbaine ;
Dans ces conditions, la Commission autorise la mairie de Saint-Fons, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par Storvision SAS d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
La société Storvision souhaite utiliser un dispositif reposant sur la reconnaissance du réseau veineux des doigts de la main afin de sécuriser l’accès aux locaux ainsi qu’à la pièce dans laquelle se situent les stocks de produits et de composants électroniques.