La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation d'un traitement automatisé de données personnel ayant pour finalité de contrôler l'accès aux locaux sensibles ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-8°
Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement en ses observations,
Faisant application des dispositions de l'article 25-1-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes,
Formule les observations suivantes :
La Banque de France a adressé à la Commission un dossier de demande d'autorisation dont l'objet est, outre l'utilisation d'un nouveau dispositif de contrôle d'accès par reconnaissance de l'iris, de regrouper au sein d'une seule et unique demande d'autorisation l'ensemble des traitements relatifs à la gestion du contrôle d'accès aux locaux sensibles.
Parmi ces traitements, figure un dispositif de contrôle d'accès par reconnaissance des empreintes digitales qui a fait l'objet d'un avis favorable de la CNIL le 10 juin 1997 (délibération n° 97-044) et qui est mis en oeuvre au niveau des comptoirs et des centres administratifs de la Banque de France. Le nouveau dispositif d'authentification des personnes par reconnaissance de l'iris, ne concerne, quant à lui que les locaux du siège de la Banque de France jusqu'à présent dépourvus de contrôle d'accès biométrique.
Ces dispositifs de contrôle d'accès biométriques sont associés à un système de contrôle d'accès par badge et d'enregistrement vidéo des passages. En effet, les traitements mis en oeuvre ont non seulement pour objet de contrôler si les personnes sont habilitées à accéder aux locaux, mais également de traiter les informations relatives à leurs passages.
La Banque de France justifiant d'un fort impératif de sécurité lié à la nécessité de contrôler l'accès aux zones sensibles, la Commission considère que les traitements et notamment, le recours à la constitution de bases de données biométriques, sont adaptés et proportionnés à la finalité assignée au dispositif.
Autorise la Banque de France à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité de contrôler l'accès aux locaux sensibles et qui comprend l'utilisation d'un système de vidéosurveillance et de contrôle d'accès par badge, ainsi que la mise en oeuvre de dispositifs de contrôle d'accès par reconnaissance des empreintes digitales et de l'iris, sous la condition complémentaire que la Banque de France adresse à la Commission au terme d'un délai d'un an un compte rendu d'évaluation de la fiabilité du dispositif d'authentification par l'iris.
Le droit d'accès défini au chapitre VII de la loi s'exerce :
- auprès du directeur ou de son représentant, concernant les comptoirs ou centres administratifs de la Banque de France,
- auprès de la direction de la sécurité, concernant le siège de la Banque de France, 1 rue la Vrillière, 75001 Paris cedex 01.
Les catégories de données à caractère personnel enregistrées sont ;
- s'agissant des employés de la Banque de France : l'identité (nom, prénom), le gabarit de l'iris ou de l'empreinte digitale, le numéro de matricule, le code de l'unité administrative d'appartenance, le numéro de badge personnel, la validité du badge, le profil horaire, la zone concernée, la date et l'heure des passages, le résultat de la demande d'accès et les images de vidéosurveillance,
- s'agissant des personnes extérieures accédant aux locaux placés sous contrôle d'accès : l'identité (nom, prénom),le gabarit de l'iris ou de l'empreinte digitale, la validité du badge, le profil horaire, le numéro de badge personnel, la raison sociale de l'employeur et/ou l'identité de la personne visitée, la zone concernée, la date et l'heure des passages, le résultat de la demande d'accès et les images de vidéosurveillance.
Les destinataires des informations sont les agents habilités de la direction de la sécurité du siège de la Banque de France, le directeur du comptoir ou du centre administratif concerné (ou son représentant), le directeur du site assurant la télésurveillance à distance, les agents de sécurité habilités et le service de l'audit.
Le président, Alex TURK.