La Commission nationale de l'informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la demande d'autorisation, présentée par la société TNT Express France, d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès au centre de contrôle ;
Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l'informatique et des libertés a été saisie par la société TNT Express France, d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès au centre de contrôle.
Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Le dispositif a pour objet de renforcer le contrôle de l'accès au centre de contrôle à partir duquel est piloté le système de surveillance et notamment les moyens utilisés pour :
- l'édition des badges d'accès de l'entreprise ;
- le contrôle du système de vidéosurveillance ;
- la gestion des alarmes "d'intrusion" du siège social ainsi que des différents sites de l'entreprise ;
le suivi et le traitement des alarmes des systèmes de géolocalisation embarqués à bord des véhicules de l'entreprise.
L'accès au service sûreté, à l'intérieur duquel se situe le centre de contrôle, repose sur un contrôle d'accès par badge.  Le dispositif biométrique de contrôle d'accès sera installé au sein du service et servira de sas pour l'accès à la zone du service dans laquelle se trouve le centre de contrôle.
Le dispositif reposera sur un boîtier situé au point d'accès au centre de contrôle.  Ce boîtier sera relié à un serveur au niveau duquel seront enregistrés l'identité des personnes (nom, prénom) ainsi que l'historique des passages.  Lors du contrôle d'accès, l'employé apposera son doigt sur le lecteur biométrique du boîtier, une comparaison s'effectuera alors entre cette empreinte digitale et le gabarit enregistré dans la base de données stockée sur le serveur. Pour sortir du centre de contrôle aucune identification ne sera nécessaire, l'historique ne portant que sur les entrées.
Le gabarit de l'empreinte digitale et les données relatives à l'identité sont conservés tant que la personne est habilitée à pénétrer dans le centre de contrôle. l'historique des entrées dans le centre de contrôle est conservé pendant 30 jours.
Compte tenu du fort impératif de sécurité lié à la nécessité de contrôler l'accès au centre de contrôle à partir duquel est géré l'ensemble du système de sécurité de la société TNT France et des circonstances de l'espèce, les traitements sont adaptés et proportionnés à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès du directeur de la sûreté de la société TNT express France - 58 avenue Leclerc - 69007 Lyon.
Les catégories de données à caractère personnel enregistrées seront :
- l'identité des personnes (nom, prénom) ;
- l'horodatage des entrées dans le centre de contrôle ;
- le gabarit des empreintes digitales.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée :
- le directeur de la sûreté de la société TNT express France ;
- le responsable du centre de contrôle.
Dans ces conditions, la Commission autorise la société TNT Express France à mettre en oeuvre le traitement de données à caractère personnel présenté.
Le Président, Alex TURK.