Le bureau de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-8° ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Poste a adressé à la CNIL une demande d'avis relative à la mise en oeuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité de contrôler l'accès du personnel à certains locaux de l'établissement de Noisy-le-Sec par la mise en place d'un dispositif biométrique de contrôle d'accès reposant sur la reconnaissance du contour de la main.
Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Ce traitement doit être mis en oeuvre à titre expérimental pendant une durée de six mois. La Poste justifie de l'existence de risques spécifiques encourus par l'établissement de Noisy-le-Sec pour sécuriser ses locaux.
Le contour de la main fait partie des données biométriques qui ne laissent pas de traces susceptibles d'être utilisées à des fins étrangères à la finalité recherchée par le responsable du traitement.
Compte tenu des caractéristiques du dispositif présenté à la Commission et en l'état actuel des connaissances sur la technologie utilisée, la mise en oeuvre d'un traitement reposant sur la reconnaissance de la géométrie de la main est adaptée et proportionnée à la finalité assignée.
Les droits d'accès et de rectification s'exerceront auprès du chef d'établissement du bureau de poste de Noisy-le-Sec.
Les catégories de données à caractère personnel enregistrées seront les noms, prénoms, le gabarit de la forme de la main, établissement de rattachement, fonction de l'agent, plages horaires d'accès autorisé et un code personnel.
Les destinataires des informations seront les seuls utilisateurs du dispositif autorisés : le responsable sûreté en département, le chef d'établissement, le correspondant sûreté du site, et un encadrant du personnel de l'établissement.
Autorise, dans ces conditions, La Poste à mettre en oeuvre à titre expérimental, dans son établissement de Noisy-le-Sec, un traitement de données à caractère personnel ayant pour finalité de contrôler l'accès à certains locaux par la mise en oeuvre de dispositifs de contrôle d'accès par reconnaissance de la forme de la main.
Le président, Alex TURK.