La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société Barclays Bank PLC d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux postes informatiques.
Formule les observations suivantes :
La société Barclays Bank PLC souhaite utiliser deux dispositifs biométriques différents pour sécuriser l’accès aux applications permettant :
de consulter et de manipuler les données des clients de la banque ;
d’effectuer des opérations sensibles telles que par exemple des virements financiers vers des pays étrangers.
Un premier dispositif concernera les personnels travaillant sur un poste informatique fixe. L’utilisation de ce procédé se fera dans le cadre d’un outil de signature unique chargé de gérer l’accès aux différents logiciels. Le gabarit de l’empreinte digitale sera exclusivement enregistré sous forme chiffré sur le disque dur du poste de travail. Un identifiant relatif à ce poste informatique sera également associé au gabarit de l’empreinte digitale afin d’empêcher qu’il ne soit utilisé sur un autre poste. Lors du contrôle d’accès, l’employé apposera son doigt sur le lecteur biométrique, une comparaison s’effectuera alors entre cette empreinte digitale et le gabarit enregistré.
Le second dispositif sera destiné aux employés travaillant sur plusieurs postes. Il reposera sur une clé USB à laquelle sera associé un lecteur d’empreintes digitales. Le gabarit de l’empreinte digitale des personnes concernées sera exclusivement stocké dans la mémoire de la clé USB. Le contrôle d’accès aux données s’effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l’empreinte digitale enregistré dans la clé USB.
Le gabarit de l’empreinte digitale et les données relatives à l’identité de l’employé seront conservés tant que la personne sera habilitée à accéder aux applications précitées. Les personnes seront informées par la remise d’une note.
S’agissant du premier dispositif, la Commission considère que compte tenu du fort impératif de sécurité lié à la nécessité de contrôler l’accès aux applications de gestion des données bancaires et des opérations financières et des circonstances de l’espèce, les traitements sont adaptés et proportionnés à la finalité assignée au dispositif au regard de la protection des données personnelles.
S’agissant du second dispositif, elle estime que dans la mesure où le gabarit de l’empreinte digitale est uniquement stocké dans un support individuel exclusivement détenu par la personne concernée et dont elle décide librement de l’utilisation, le dispositif soumis par la société Barclays Bank PLC ne comporte pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d’accès et de rectification s’exerceront auprès de la direction informatique de la société Barclays Bank PLC – 32 avenue Georges V – 75008 Paris.
Les catégories de données à caractère personnel enregistrées seront :
le gabarit de l’empreinte digitale ;
l’identité (nom, prénom) ;
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnes habilités de la direction informatique.
Dans ces conditions, la Commission autorise la société Barclays Bank PLC, à mettre en œuvre le traitement de données à caractère personnel présenté.