La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation, présentée par le port autonome de Bordeaux d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès à un appontement pétrolier et gazier ;
Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l'informatique et des libertés a été saisie par le port autonome de Bordeaux d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès à un appontement pétrolier et gazier.
Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Le dispositif a pour objet de contrôler l'accès à un appontement pétrolier et gazier relié à deux sites classés "SEVESO II" :
- le site de la société Yara qui traite notamment de l'ammoniaque ;
- le site de la société des Entrepôts Pétroliers de la Gironde qui traite des produits pétroliers.
Le dispositif reposera sur un boîtier situé au point d'accès à l'appontement pétrolier et gazier du port autonome de Bordeaux à Ambès.  Ce boîtier sera relié à un serveur au niveau duquel seront enregistrés l'identité des personnes (nom, prénom), l'indication de l'entreprise pour laquelle ils travaillent et le gabarit chiffré, résultant des traitements des mesures de l'empreinte digitale par un algorithme.  Trois bases de données locales seront également constituées afin de permettre aux trois organismes en charge de la gestion de l'appontement de procéder à la gestion du dispositif pour leur propres employés.
Lors du contrôle d'accès, l'employé apposera son doigt sur le lecteur biométrique du boîtier, une comparaison s'effectuera alors entre cette empreinte digitale et le gabarit enregistré dans la base de données stockée sur le serveur.
Le gabarit de l'empreinte digitale et les données relatives à l'identité et à la fonction seront conservés tant que la personne est autorisée à accéder à l'appontement.  Un historique des passages sera conservé pendant trois mois.
Compte tenu d'une part, du fort impératif de sécurité lié à la nécessité de contrôler l'accès à deux sites classés de type "SEVESO II" dans lequel sont stockés simultanément des produits dangereux et, d'autre part, de l'obligation de fournir, en cas d'exercice d'évacuation ou d'accident, la liste exacte des personnes présentes sur le site ainsi que l'historique des événements, les traitements soumit à la Commission sont adaptés et proportionnés à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès des responsables du service informatique agissant sous l'autorité des agents de sûreté de chaque installation :
- société Yara - BP 44 Chemin de Piétru - 33810 Ambès ;
- société des Entrepôts Pétroliers de la Gironde - la gragnodère - CD 10 33810 Ambès ;
- port autonome de Bordeaux - Capitainerie du port - quai Carriet - 33310 Lormont.
Les catégories de données à caractère personnel enregistrées seront :
- gabarit de l'empreinte digitale ;
- l'identité (nom, prénom) ;
- nom de l'entreprise de rattachement ;
- historique des opérations effectuées (horodatage, nature de l'opération).
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée les responsables du service informatique agissant sous l'autorité des agents de sûreté de chaque installation nommés par le préfet.
Dans ces conditions, la Commission autorise le port autonome de Bordeaux à mettre en oeuvre le traitement de données à caractère personnel présenté.
Le Président, Alex TURK
Guy ROSIE Vice-Président Délégué.