La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance du contour de la main et ayant pour finalité le contrôle des horaires des employés ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-8° ;
Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement en ses observations ;
Faisant application des dispositions de l'article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes ;
Formule les observations suivantes :
La mairie des Sables d'Olonne a adressé à la Commission nationale de l'informatique et des libertés, le 19 juillet 2004, une demande d'autorisation relative à la mise en oeuvre d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation de dispositifs biométriques de reconnaissance du contour de la main et ayant pour finalité le contrôle des horaires des employés.
Le traitement soumis à la Commission a pour objet, outre le contrôle des temps de travail, d'alimenter les traitements relatifs à la réalisation de "plannings" et de permettre la gestion des temps de présence et des autorisations exceptionnelles d'absences.
Il convient d'examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l'article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission considère, au vu des motifs invoqués par la mairie des Sables d'Olonne dans sa demande d'autorisation, que l'objectif d'une meilleure gestion des temps de travail, s'il est légitime, ne paraît pas, en lui-même, de nature à justifier l'enregistrement dans un lecteur biométrique des gabarits du contour de la main des employés.
Ainsi, le recours à un élément propre à l'identité physique des employés aux seules fins de contrôler les temps de travail n'apparaît pas proportionné à la finalité poursuivie.
Dès lors, la Commission n'autorise pas, en l'état, la mairie des Sables d'Olonne, sise 21 place du poilu de France - BP 386 - 85119 les Sables d'Olonne cedex, à mettre en oeuvre un traitement de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance du contour de la main dont la finalité est le contrôle des horaires des employés.
Le président, Alex TURK.