La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société EuroSysNav SAS d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux postes informatiques.
Formule les observations suivantes :
La société EuroSysNav SAS est en charge du développement, de la fourniture et de l’intégration fonctionnelle des systèmes de combat de frégates antiaériennes, dans le cadre du programme militaire franco-italien « Horizon ». Cette société souhaite utiliser un dispositif biométrique pour renforcer les conditions d’accès aux postes informatiques et à des données classifiées de défense.
Le dispositif utilisé reposera sur une clé USB à laquelle sera associé un lecteur d’empreintes digitales et qui sera connectée au poste informatique. Les gabarits des empreintes digitales de tous les utilisateurs du poste informatique concerné seront exclusivement stockés dans la mémoire de la clé USB. Le contrôle d’accès aux données s’effectuera par une comparaison entre le doigt apposé sur le lecteur et les gabarits enregistrés dans la clé USB. A aucun moment, les gabarits des empreintes digitales ne circuleront sur un réseau.
Les personnes concernées seront informées par une note. Le gabarit de l’empreinte digitale et les données d’identité des personnes concernées seront conservés jusqu’à la fin du programme « Horizon », c’est à dire jusqu’en 2010.
Compte tenu du fort impératif de sécurité lié à la nécessité de contrôler l’accès à des informations classifiées de défense relatives à un programme militaire et des circonstances de l’espèce, les traitements sont adaptés et proportionnés à la finalité assignée au dispositif.
Les droits d’accès et de rectification s’exerceront auprès des officiers de sécurité en charge de la sécurité informatique, rond point de l’artillerie de Marine – BP 50516 – 83054 TOULON CEDEX.
Les catégories de données à caractère personnel enregistrées seront :
le gabarit de l’empreinte digitale de deux doigt ;
l’identité (nom, prénom) ;
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les officiers de sécurité en charge de la sécurité informatique.
Dans ces conditions, la Commission autorise la société EuroSysNav SAS, à mettre en œuvre le traitement de données à caractère personnel présenté.