Le bureau de la Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Vu la déclaration présentée par le Proviseur du lycée professionnel de Vedène, d'un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle de l'accès au restaurant scolaire par la reconnaissance du contour de la main ;
Après avoir entendu Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
Le lycée professionnel de Vedène a saisi la CNIL d'une déclaration relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité le contrôle de l'accès des élèves et des personnels au restaurant scolaire par le recours à un dispositif bionmétrique reposant sur la reconnaissance du contour de la main.
La Commission considère qu'il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Le système envisagé reposera d'une part, sur la mise en oeuvre d'un fichier de gestion recensant les élèves et les personnels fréquentant la cantine scolaire et d'autre part, sur un dispositif de contrôle d'accès. Ce dernier sera composé d'une borne d'accès, située à l'entrée du restaurant, reliée à un lecteur biométrique, lequel contiendra une base de données comportant les gabarits biométriques et les codes d'accès.
Le contour de la main fait partie des données qui ne laissent pas de traces susceptibles d'être utilisées à des fins étrangères à la finalité recherchée par le responsable du traitement. Le lecteur biométrique utilisé sera accompagné d'un dispositif de nature à garantir la sécurité des données.
Le recours à la technique de reconnaissance du contour de la main permettra de s'assurer que les données nécessaires au contrôle de l'accès ne sont ni perdues, ni échangées et que seules les personnes habilitées peuvent accéder au service. Les personnes concernées qui ne seront pas désireuses d'utiliser la technologie biométrique seront dotées d'une carte à code-barre pour accéder au restaurant scolaire.
Compte tenu des caractéristiques du dispositif présenté à la Commission et en 1"état actuel des connaissances sur la technologie utilisée, la mise en oeuvre d'un traitement reposant sur la reconnaissance de la géométrie de la main est adaptée et proportionnée à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès du Proviseur du lycée professionnel.
Les catégories de données à caractère personnel enregistrées seront,
- s'agissant des élèves : les gabarits biométriques de la main associés à un code d'accès personnel, et les données de gestion utiles pour l'accès au restaurant, à savoir, l'identité de l'élève, la classe, le numéro d'ordre dans l'établissement, les coordonnées du responsable légal, un code horaire et un code tarif.
- S'agissant des personnels : les gabarits biométriques de la main associés à un code d'accès personnel, l'identité, les codes horaire et tarif.
Les destinataires des informations seront les seuls utilisateurs du dispositif autorisés : le Proviseur et les conseillers principaux d'éducation.
L'information des personnes : les responsables légaux des élèves devront être individuellement informés du traitement automatisé de données à caractère personnel reposant sur la reconnaissance du contour de la main et ayant pour finalité de contrôler l'accès au restaurant scolaire.
Autorise, dans ces conditions, le lycée professionnel de Vedène, à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité de contrôler l'accès au restaurant scolaire par la mise en oeuvre d'un dispositif de reconnaissance du contour de la main.
Le président, Alex TURK.