La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation, présentée par la société l'Oréal SA d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité l'identification des personnes à l'occasion de la signature de documents électroniques ;
Après avoir entendu M. Hubert Bouchot, commissaire en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l'informatique des libertés a été saisie par la société l'Oréal SA le 13 juillet 2006 d'un dossier de formalité préalable relatif à la mise en oeuvre d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité l'identification des personnes à l'occasion de la signature de documents électroniques.
Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
La société l'Oréal SA souhaite sécuriser la gestion des dossiers réglementaires élaborés en vue de la soumission aux autorités légales compétentes des produits cosmétiques fabriqués et commercialisés par les différentes marques du groupe l'Oréal.  Ces dossiers sont créés sous forme électronique et doivent être signés par la personne qui est directement responsable de leur élaboration ainsi que, le cas échéant, par les directeurs scientifiques et les responsables toxicologiques.  Dans cette perspective, l'image scannée de la signature manuscrite des personnes précitées est enregistrée sur un serveur sécurisé et doit être apposée sur les dossiers réglementaires avant leur transmission.
Afin de s'assurer de l'identité de la personne apposant sa signature sur un dossier, la société l'Oréal SA souhaite avoir recours à un dispositif reposant sur la reconnaissance de l'empreinte digitale.  A chaque opération de signature d'un dossier, la personne doit préalablement s'identifier via son empreinte digitale pour pouvoir apposer sa signature.  Le gabarit de l'empreinte digitale des personnes souhaitant signer un document sera exclusivement stocké sur une carte individuelle détenue par chaque employé.  Les données nécessaires à l'identification de la personne et à la gestion du procédé de signature (image de la signature manuscrite, nom, prénom, fonction et entité de rattachement), à l'exclusion du gabarit de l'empreinte digitale, seront enregistrées dans des serveurs dédiés sécurisés.
L'identification de la personne souhaitant signer le document s'effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l'empreinte digitale enregistré sur la carte.  Par ailleurs, une trace des opérations de signature sera conservée à titre de preuve.  L'ensemble des données sera conservé pendant cinq ans.  Les données ainsi que la carte seront néanmoins détruites en cas de départ de la personne avant ce terme.
Le dispositif présenté à la Commission reposant sur l'enregistrement du gabarit de l'empreinte digitale dans un support individuel exclusivement détenu par la personne concernée, la mise en oeuvre d'un traitement reposant sur la reconnaissance de l'empreinte digitale apparaît, en l'état actuel des connaissances sur la technologie utilisée, adaptée et proportionnée à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès de la direction internationale des systèmes d'information (DISI) - service études et développement l'Oréal recherche - 14 rue Royale - 7508 Paris.
Les catégories de données à caractère personnel enregistrées seront le gabarit de l'empreinte digitale d'un doigt, l'image de la signature manuscrite, le nom, le prénom, la fonction ainsi que l'entité pour laquelle l'employé travaille.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnes habilitées de la direction internationale des systèmes d'information (DISI) - service études et développement l'Oréal recherche.
Autorise, dans ces conditions, la société l'Oréal SA à mettre en oeuvre le traitement de données à caractère personnel présenté.
Le président, Alex TURK.