(Demande d’autorisation n° 1624854)
La Commission nationale de l’informatique et des libertés,
Saisie par l’espace loisir Evae d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique de contrôle d’accès par reconnaissance des empreintes digitales ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée;
Après avoir entendu M Emmanuel de GIVRY, commissaire, en son rapport, et  M. Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Conformément à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée, l’espace Evae a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une demande d’autorisation relative à un traitement de données comportant un dispositif biométrique de reconnaissance des empreintes digitales ayant pour finalité de contrôler l’accès à l’espace Evae.
Situé à Strasbourg, l’Evae est un espace de loisirs de 9800 m² proposant des activités sportives et de bien être avec des infrastructures telles que des terrains de squash, de badminton, une piscine, un centre de musculation, une garderie ou encore des cours collectifs. Il compte environ 5000 adhérents.
Actuellement, le contrôle d’accès au site de l’EVAE est effectué au moyen d’une carte individuelle stockant uniquement le numéro identifiant de la carte, qui permet de faire un lien avec le dossier de l’adhérent concerné. Aucun contrôle humain n’est effectué sur l’identité réelle du détenteur de la carte. Dès lors, une personne non adhérente est susceptible d’accéder à l’espace Evae sur simple présentation, au système automatisé de gestion des entrées, du badge d’un adhérent.
La société Evae envisage de mettre en œuvre un dispositif biométrique reposant sur l’empreinte digitale avec support individuel. Chaque adhérent de l’espace pourra, s’il le souhaite, utiliser un badge individuel (sur lequel sera stocké un identifiant ainsi que son gabarit biométrique) puis présenter ses empreintes digitales aux deux bornes placées à l’entrée de ces zones, afin d’y accéder.
Le choix de recourir à ce dispositif biométrique résulte de l’objectif pour l’Evae de  contrôler l’identité réelle des porteurs de cartes afin de limiter les risques de fraude. Concrètement, il s’agit d’authentifier l’identité du porteur du badge afin que seuls les adhérents disposant d’un abonnement accèdent effectivement à l’espace de loisirs.
Pour fonder sa demande, l’Evae n’invoque aucun impératif de sécurité. En effet, l’objectif poursuivi est la bonne gestion des abonnements qui, en l’espèce, fonde le recours à la biométrie. Cet objectif répond principalement à une finalité « de service ». Il s’agit de favoriser une meilleure gestion des droits des adhérents et donc des intérêts financiers de l’Evae, et non de prévenir une atteinte grave aux biens ou aux personnes.
L’Evae souhaite imposer que ce dispositif soit facultatif pour ses clients. Seuls seront visés les adhérents disposant d’un abonnement annuel ou d’une carte donnant droit à un nombre prédéfini de visites (20 visites par exemple). En outre, le dispositif ne sera pas imposé mais sera simplement mis à leur disposition.
La Commission insiste sur le fait qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maitrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. En effet, à la différence de tout autre identifiant (code, mode de passe, autre), la donnée biométrique, qui est permanente et propre à chaque personne physique,  ne peut être modifiée. Ainsi, dans l’hypothèse d’un accès non autorisé à cette donnée, celle-ci est réputée compromise de manière définitive, c'est-à-dire ne permettant plus un contrôle fiable de l’identité des personnes concernées.
Conformément à l’article 1er de la loi du 6 janvier 1978 modifiée, la Commission rappelle que la mise en place d’un tel dispositif ne doit « porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques ».
Toutefois, sous réserve que des mesures techniques et organisationnelles minimales garantissent la confidentialité des données traitées, elle considère que la liberté individuelle de chaque adhérent de l’Evae vise autant la liberté de ne pas consentir à ce que des données résultant de son corps soient traitées que celle d’y consentir.
C’est pourquoi, il appartient à la Commission de vérifier la proportionnalité du traitement mis en œuvre par rapport à la finalité légitime de bonne gestion des abonnements identifiée par le responsable de traitement en s’assurant que les droits et libertés de chaque adhérent sont respectés.
En premier lieu, la Commission observe que l’Evae a retenu des mesures techniques et organisationnelles garantissant la sécurité et la confidentialité des données traitées.
En second lieu, l’Evae s’est engagée à ce que le dispositif mis à disposition des adhérents reste entièrement facultatif. Le maintien d’un dispositif alternatif, sans surcoût et sans aucune contrainte organisationnelle ou technique additionnelle pour les adhérents, garantit le recueil d’un consentement libre des adhérents à utiliser le dispositif biométrique.
Concrètement, seules seront traitées les données des adhérents qui signent une note d’information intelligible et complète précisant notamment :
-la liberté totale de chaque utilisateur de recourir à un dispositif alternatif ;
-le droit de retirer à tout moment le consentement donné ;
-les risques relatifs à la compromission des données biométriques (ex : risque de perte de données irrévocables et définitives) et les précautions à prendre par chaque utilisateur pour éviter de perdre son badge ;
-le lien électronique ou le lieu (sur le site de l’Evae) où l’adhérent pourra consulter en permanence toute information utile sur le dispositif biométrique ;
-les risques en matière de fiabilité du dispositif (compte tenu notamment des modalités d’enrôlement et du paramétrage du dispositif) ;
-les mentions « Informatique et libertés » relatives au droit d’accès, de modification et de suppression des données (articles 39 et 40 de la loi du 6 janvier 1978 modifiée).
Sur la base de ces éléments, l’accord de chaque personne concernée étant recueilli de manière préalable et expresse, sur la base d’une information individuelle et complète, la Commission estime que celui-ci peut être qualifié de consentement exprès au sens de l’article 7 de la loi du 6 janvier 1978 modifiée.
En troisième lieu, le dispositif retenu par l’Evae ne nécessite pas le stockage du gabarit des empreintes digitales en base centralisée, mais uniquement sur le badge. Seul le numéro identifiant du badge permettra de lier la donnée biométrique au dossier de l’adhérent.
Par conséquent, la Commission considère, en l’espèce, que le stockage sur un badge individuel laissé sous le contrôle de l’individu est adéquat en ce qu’il contribue à prévenir tout risque de détournement des données biométriques des adhérents de l’Evae.
Elle souligne en outre que l’ensemble des mesures de sécurité prises par l’Evae est de nature à traiter, de manière satisfaisante, les risques présentés par le traitement.
Il en va ainsi par exemple de la mise en œuvre de profils d’habilitation pour un accès restreint à la base de données des usagers et des sauvegardes quotidiennes effectuées sur un support externe conservé dans un local fermé à clé.
La Commission prend acte qu’une journalisation concernant la traçabilité des accès et des opérations effectuées sur la base de données des usagers sera mise en place.
Par ailleurs, concernant la durée de conservation des données, la Commission :
prend acte que les données stockées sur le badge ne seront conservées sur support individuel que pour une durée limitée à l’utilisation du badge d’accès ;
rappelle que la durée de conservation des données à caractère personnel inscrites en base dans le dossier de l’adhérent (nom, prénom, date et lieu de naissance, adresse, photo, coordonnées téléphoniques personnelles et professionnelles et courriel -collectés à titre facultatif, RIB) devront être archivées pendant la durée strictement nécessaire à la gestion de la relation commerciale ;
précise, conformément à l’article L123-22 alinéa 2 du code de commerce, que les documents comptables et pièces justificatives pourront être conservés en archivage 10 ans.
Les droits d’accès, de rectification et d’opposition s’exerceront à l’accueil de l’EVAE ou par courrier 5 rue de Parague 67100 Strasbourg.
En conséquence, la Commission considère que la finalité d’une meilleure gestion des abonnements au moyen d’un contrôle d’accès par authentification biométrique est conforme à la loi du 6 janvier 1978 modifiée (et particulièrement ses articles 1er, 6, 7, 34, 39 et 40) compte tenu :
qu’il est mis à disposition des personnes concernées à titre facultatif ;
que le dispositif alternatif (vérification manuelle des droits de chaque adhérent au guichet d’accueil de l’espace de loisirs) sera proposé dans des conditions pratiques identiques à celles du dispositif biométrique, sans aucune procédure  contraignante ou dissuasive, ni aucun coût supplémentaire ;
que le consentement libre et éclairé des utilisateurs potentiels du dispositif biométrique sera recueilli par écrit ;
que chaque utilisateur sera informé de ses droits de manière préalable et spécifique (information écrite individuelle et intelligible) ;
que le stockage des données sera exclusivement réalisé sur support individuel (badge) restant sous contrôle direct de l’individu, et non en base centralisée.
Dans ces conditions, la Commission autorise l’espace de loisirs Evae à mettre en œuvre un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique de contrôle d’accès par reconnaissance des empreintes digitales.
La Présidente
Isabelle FALQUE-PIERROTIN