La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société Sagem Sécurité, d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
La société Sagem Sécurité souhaite utiliser un système biométrique pour contrôler l’accès à ses sites et locaux sensibles dans lesquels elle traite des informations sensibles liées à des contrats passés avec l’Etat français, des Etats étrangers ou des organismes publics. Le dispositif doit permettre de garantir l’intégrité et la confidentialité de ces données.
Le système reposera sur des boîtiers qui seront situés aux différents points d’accès aux sites et locaux sensibles. Les gabarits des empreintes digitales des personnes habilitées à pénétrer dans ces sites et locaux seront enregistrés dans les terminaux de lecture comparaison qui seront reliés à un serveur via un réseau interne non accessible de l’extérieur. Lors du contrôle d’accès, l’employé apposera son doigt sur le lecteur biométrique du boîtier, une comparaison s’effectuera alors entre cette empreinte digitale et le gabarit enregistré dans le terminal de lecture comparaison. Un historique des passages pourra être édité.
Le gabarit de l’empreinte digitale et les données relatives à l’identité de l’employé seront conservés tant qu’il sera habilité à pénétrer dans la zone ou le site concerné. L’historique des passages sera conservé pendant trois mois maximum.
Compte tenu du fort impératif de sécurité lié à nécessité de garantir l’intégrité et la confidentialité des données sensibles traitées par la société Sagem Sécurité dans le cadre de contrats nationaux et internationaux, les traitements soumis à la Commission sont adaptés et proportionnés à la finalité assignée au dispositif au regard de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès du garant informatique et libertés de la société Sagem Sécurité 18 rue de la Vanne – 92120 Montrouge.
Les catégories de données à caractère personnel enregistrées seront :
le gabarit de l’empreinte digitale ;
l’identité (nom, prénom, identifiant) ;
l’historique des passages.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le responsable de la protection industrielle et le responsable des systèmes d’information.
Dans ces conditions, la Commission autorise la société Sagem Sécurité, à mettre en œuvre le traitement de données à caractère personnel présenté.