La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8°.
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la demande d'autorisation, présentée par le Casino du Nivernais d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux sensibles ;
Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l'informatique des libertés a été saisie par le Casino du Nivernais d'une demande d'autorisation relative à un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux sensibles.
Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Le dispositif est présenté par le Casino du Nivernais, établissement de jeux et délégataire d'un service public dont l'activité est sous la tutelle du ministère de l'intérieur.
Le dispositif a pour objet la gestion et le contrôle des droits d'accès aux locaux sensibles tels que la salle forte, la salle de comptée et les caisses.  Il reposera sur des boîtiers installés au point d'accès de ces locaux sensibles.
Ces boîtiers seront reliés à un serveur au niveau duquel seront enregistrés l'identité des personnes (nom, prénom), l'identifiant, l'historique des passages et le gabarit chiffré, résultant des traitements des mesures de l'empreinte digitale par un algorithme. Lors du contrôle d'accès, la personne habilitée apposera son doigt sur le lecteur biométrique du boîtier, une comparaison s'effectuera alors entre cette empreinte digitale et le gabarit enregistré dans la base de données stockée sur le serveur dans une salle dédiée et protégé par une application biométrique.
Le gabarit de l'empreinte digitale et les données relatives à l'identité seront conservés jusqu'au départ de la personne concernée (mutation, licenciement, démission, retraite).  Un historique des passages sera conservé deux mois.
Les personnes seront informées de la mise en oeuvre du dispositif par une note d'information portée sur le formulaire de collecte qui leur est remis au moment de l'enrôlement.  Les représentants du personnel seront informés de la mise en place du dispositif biométrique.
Compte tenu du fort impératif de sécurité lié à la nécessité de contrôler l'accès aux locaux sensibles du Casino du Nivernais et des circonstances de l'espèce, les traitements soumis à la Commission sont adaptés et proportionnés à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès du service du personnel du Casino du Nivernais sis Avenue de Paris 58320 Pougues Les Eaux.
Les catégories de données à caractère personnel enregistrées seront :
- l'identité des personnes (nom, prénom) ;
- l'identifiant ;
- l'historique des passages (date, heure, porte, identifiant, numéro de la porte) ;
- le gabarit chiffré, résultat du traitement des mesures par un algorithme sur l'empreinte digitale.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le directeur du Casino et/ou un membre du comité de direction.
Dans ces conditions, la Commission autorise le Casino du Nivernais à mettre en oeuvre le traitement de données à caractère personnel présenté.
Le Président, Alex TURK.