La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance du contour de la main et ayant pour finalité le contrôle des horaires des employés ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-8° ;
Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement en ses observations ;
Faisant application des dispositions de l'article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes ;
Formule les observations suivantes :
La société Paris Monitoring a adressé à la Commission nationale de l'informatique et des libertés, le 8 novembre 2004, une demande d'autorisation relative à la mise en oeuvre d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation de dispositifs biométriques de reconnaissance du contour de la main et ayant pour finalité le contrôle des horaires des employés.
Le traitement soumis à la Commission a pour objet, outre la gestion et le contrôle des temps de travail, de permettre l'édition de statistiques, la planification des horaires et l'envoi de messages relatifs aux horaires de travail.
Il convient d'examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l'article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission considère, au vu des motifs invoqués par la société Paris Monitoring dans sa demande d'autorisation, que l'objectif d'une meilleure gestion des temps de travail, s'il est légitime, ne paraît pas, en lui-même, de nature à justifier l'enregistrement dans un lecteur biométrique des gabarits du contour de la main des employés.
Ainsi, le recours à un élément propre à l'identité physique des employés aux seules fins de contrôler les temps de travail n'apparaît pas proportionné à la finalité poursuivie.
Dès lors, la Commission n'autorise pas, en l'état, la société Paris Monitoring, sise 34 boulevard des italiens - 75009 Paris, à mettre en oeuvre un traitement de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance du contour de la main dont la finalité principale est le contrôle des horaires des employés et ayant pour finalités accessoires l'édition de statistiques, la planification des horaires et l'envoi de messages relatifs à la gestion des horaires.
Le président, Alex TURK.