Le bureau de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-8° ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Poste a adressé à la CNIL une demande d'avis relative à la mise en oeuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité de contrôler l'accès du personnel à certains locaux de l'établissement de Palaiseau par un dispositif biométrique reposant sur la reconnaissance de l'empreinte digitale.
Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Ce traitement doit être mis en oeuvre à titre expérimental pendant une durée de six mois. La Poste justifie de l'existence de risques spécifiques encourus par l'établissement de Palaiseau pour sécuriser ses locaux par la mise en place d'un dispositif de contrôle d'accès reposant sur l'utilisation de techniques biométriques. Les données biométriques seront exclusivement stockées sur la carte à puce d'un badge individuel qui sera remis à chaque employé.
Compte tenu des enjeux de sécurité présentés, du caractère expérimental du traitement, des caractéristiques techniques du dispositif présenté à la Commission et en l'état actuel des connaissances sur la technologie utilisée, la mise en oeuvre d'un traitement reposant sur la reconnaissance de l'empreinte digitale est adaptée et proportionnée à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès du chef d'établissement du bureau de poste de Palaiseau.
Les catégories de données à caractère personnel enregistrées seront les noms, prénoms, le gabarit de l'empreinte digitale, établissement de rattachement, fonction de l'agent, plages horaires d'accès autorisé et un code personnel.
Les destinataires des informations seront les seuls utilisateurs du dispositif autorisés : le responsable sûreté en département, le chef d'établissement, le correspondant sûreté du site, et un encadrant du personnel de l'établissement.
Autorise, dans ces conditions, La Poste à mettre en oeuvre à titre expérimental, dans son établissement de Palaiseau, un traitement de données à caractère personnel ayant pour finalité de contrôler l'accès à certains locaux par la mise en oeuvre de dispositifs de contrôle d'accès par reconnaissance de l'empreinte digitale.
Le président, Alex TURK.