La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de la transition écologique et solidaire d’une demande d’avis concernant la création d’un traitement de données à caractère personnel ayant pour finalité la production des certificats de membre d’équipage sécurisés biométriques ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le règlement d’exécution (UE) 2015/1998 de la Commission du 5 novembre 2015 fixant des mesures détaillées pour la mise en œuvre des normes de bases communes dans le domaine de la sûreté de l’aviation civile ;
Vu le code des transports, notamment ses articles L. 6342-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 27-I-2° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Émet l’avis suivant
La Commission souligne qu’elle a été saisie du présent projet de texte antérieurement à l’application du règlement général sur la protection des données (RGPD). Compte tenu de l’évolution du cadre juridique depuis, la Commission précise que le texte est examiné au regard des dispositions du RGPD.
La Commission a été saisie d’une demande d’avis sur un projet de décret du ministère de la transition écologique et solidaire visant à autoriser la création d’un contrôle d’accès biométrique aux zones de sûreté à accès réglementé dans les aéroports pour les personnels navigants de l’aéronautique civile.
Ce traitement, mis en œuvre pour le compte de l’Etat, implique la collecte de données biométriques et est, à ce titre, soumis à une demande d’avis sur le fondement de l’article 27-I-2° de la loi Informatique et Libertés.
Sur la finalité du traitement
L’article 1.2.2.2. du Règlement d’exécution (UE) 2015/1998 du 5 novembre 2015 de la Commission européenne fixant des mesures détaillées pour la mise en œuvre des normes de base communes dans le domaine de la sûreté de l’aviation civile liste les autorisations aux zones de sûreté à accès réglementé parmi lesquelles figure la carte d’identification de membre d’équipage ou certificat de membre d’équipage valable.
Le certificat de membre d’équipage ( CMC ), est un document attestant de la qualité de navigant et permet au personnel navigant d’accéder à la zone de sûreté à accès réglementé des aéroports ainsi que de bénéficier de mesures d’inspection-filtrage particulières.
Le ministère souhaite recourir au CMC bio pour empêcher toute falsification de certificat et ainsi lutter contre les usurpations de la qualité du personnel navigant.
Il s’agit d’un dispositif biométrique garantissant la maîtrise de la personne sur son gabarit dans la mesure où les informations biométriques sont conservées uniquement dans le CMC .
La Commission considère que ces finalités sont déterminées, explicites et légitimes conformément aux dispositions de l’article 5.1.b) du règlement européen sur la protection des données.
Sur la nature des données traitées
L’article 4 du projet de décret liste les données à caractère personnel traitées et enregistrées dans le cadre du présent traitement.
S’agissant de la collecte des minuties des empreintes digitales des deux doigts de la main, la Commission prend note qu’il s’agit d’une mesure préventive. En effet, la personne concernée pourrait être privée de l’usage de l’un de ses doigts ce qui l’empêcherait d’utiliser son CMC bio . Dès lors, la collecte des deux doigts permettrait de limiter cette éventualité avec la possibilité pour la personne concernée, le cas échéant, d’utiliser son deuxième doigt.
La Commission estime que les données sont adéquates, pertinentes et limitées au regard des finalités pour lesquelles elles sont collectées conformément aux dispositions de l’article 5.1.c) du règlement général sur la protection des données.
Sur la durée de conservation des données
L’article 6 du projet de décret énonce les différentes durées de conservation en fonction de chacune des informations collectées.
Dans le cadre de la réalisation du CMC bio , les informations biométriques du personnel navigant sont conservées cinq mois à compter de leur enregistrement dans le traitement. Elles sont ensuite stockées sur le CMC bio détenu par la personne concernée.
Interrogé sur ce point, le ministère a indiqué que le personnel navigant a un emploi du temps très chargé laissant peu de place à la flexibilité. Aussi, lorsque la compagnie aérienne reçoit l’habilitation délivrée par la préfecture (cela peut être plusieurs mois après la demande), la durée de validité de la précédente CMC bio peut approcher à sa fin. Les compagnies souhaitent ainsi anticiper le plus en amont possible le renouvellement du CMC bio en enrôlant préalablement le personnel navigant avant l’obtention de l’habilitation et, ainsi éviter qu’un membre du personnel navigant se retrouve, le cas échéant, sans CMC .
La Commission précise que la donnée biométrique est considérée comme une catégorie de donnée particulière en application de l’article 9 du règlement européen sur la protection des données ce qui implique que leur conservation soit restreinte au strict nécessaire afin de limiter les risques pour les personnes.
Elle prend note des éléments de réponse apportés par le ministère mais estime néanmoins que la collecte des données biométriques tant que le personnel n’est pas encore habilité par la préfecture n’est pas pertinente.
Par conséquent, la Commission recommande que ces informations ne soient collectées qu’au moment de la réception de l’habilitation par les compagnies aériennes.
Sur les destinataires des données
L’article 5 du projet de décret prévoit que seuls les personnels de l’imprimerie nationale chargés de la production du CMC bio auront accès, à raison de leurs attributions respectives et chacun pour ce qui le concerne, aux informations contenues dans le traitement.
Les mandataires des entreprises de transport aérien auront accès, à raison de leurs attributions respectives et chacun pour ce qui le concerne, aux informations contenues dans le traitement, à l’exception des minuties des empreintes digitales.
La Commission considère que ces personnes présentent un intérêt légitime à accéder aux données du présent traitement, dans la limite de leurs attributions et sous réserve que les données effectivement accessibles présentent un lien direct et nécessaire avec leurs fonctions.
Sur l'information des personnes
La Commission prend note que le personnel navigant sera informé par des mentions d’informations figurant sur la notice de remise du dispositif.
En outre, elle prend acte que lors de la remise du CMC bio à la personne concernée, une lettre d’information sera à nouveau remise au personnel navigant contenant les mentions d’informations susvisé.
La Commission précise que l’information devra être complétée par les nouvelles mentions d’informations prévues par les dispositions de l’article 13 du règlement européen sur la protection des données.
Sous ces réserves, elle estime que les modalités d’information des personnes concernées sont satisfaisantes.
Sur les droits d'accès, de rectification et d'opposition des personnes
Les droits d’accès et de rectification pourront être exercés auprès de la compagnie aérienne au sein de laquelle le personnel navigant est employé.
La Commission note que l’article 7 du projet de décret écarte l’application du droit d’opposition.
Sur la sécurité des données et la traçabilité des actions
Le traitement a trait à la mise en œuvre de l’authentification biométrique en lieu et place d’une identification à partir de documents papiers.
Cette authentification biométrique a recours à des badges dans lesquels les gabarits des minuties de deux doigts sont stockés de manière chiffrée.
La collecte des minuties est réalisée par des mandataires à partir de postes sécurisés au moyen de certificats d’authentification et de signature fournis par l’imprimerie nationale au travers de sa plateforme de gestion des identités numériques qualifiée RGS et EIDAS.
Les informations biométriques sont conservées de manière sécurisée sur les serveurs de l’imprimerie nationale.
S’agissant de ces postes, il est impératif que leur accès soit strictement contrôlé. En effet leur compromission permet la création de fausses cartes biométriques. Or, du fait de l’adoption de la biométrie, le contrôle des accès aux zones de sûreté à accès réglementé ne s’appuiera plus que sur l’authentification biométrique de la personne.
La Commission souhaite également attirer l’attention du responsable de traitement sur la configuration des lecteurs biométriques : il est impératif de ne pas laisser la configuration par défaut de ces équipements, sous peine que ceux-ci acceptent des badges élaborés dans d’autres contextes. En outre, il convient que l’arrachement d’un lecteur entraine l’effacement des clés cryptographiques qu’il contient.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5.1.f) et 32 du règlement européen sur la protection des données.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS