(Demande d’autorisation n°1580431)
La Commission nationale de l’informatique et des libertés,
Saisie par la société ROHDE ET SCHWARZ FRANCE à mettre en œuvre un traitement de données à caractère personnel reposant sur un dispositif de reconnaissance de réseau veineux des doigts de la main et ayant pour finalité l’accès aux locaux de l’entreprise ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, Vice-Président, et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La société ROHDE ET SCHWARZ FRANCE
Sur la finalité
Le contrôle d’accès aux locaux par le personnel.
Le dispositif biométrique a pour objet de sécuriser l’accès de l’entreprise qui commercialise des équipements électroniques sensibles de haute technologie, notamment dans le domaine de la Défense.
Il y a lieu de faire application des dispositions prévues à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
La Commission constate que la finalité est déterminée, explicite et légitime.
Sur la description du traitement
Le dispositif reposera sur la reconnaissance du gabarit du réseau veineux du doigt des employés. Le dispositif se compose de dix terminaux de lecture reliés à un serveur central.
Sur les données traitées
Les données traitées sont les suivantes :
Les données collectées n’appellent pas d’observations particulières.
Données d’identification
Historique de passage
Gabarit du réseau veineux d’un doigt de la main
Sur les destinataires
Seules auront accès les personnes habilitées de la société ROHDE ET SCHWARZ.
Sur l’information et le droit d’accès
L’information des personnes concernées est réalisée grâce une notice d’information individuelle validée par l’utilisateur lors de l’enrôlement.
Les droits d’accès et de rectification s’exerceront auprès du service informatique de la société ROHDE ET SCHWARZ France, 9-11 rue Jeanne Braconnier, Parc tertiaire de Meudon, 92366 MEUDON-LA-FORET.
Sur les mesures de sécurité
Au regard des éléments dont elle a eu connaissance, la Commission constate que les données sont chiffrées, que le serveur n’est pas connecté au réseau de l’entreprise et que les accès au serveur sont nominatifs et tracés. Dès lors, les mesures de sécurité sont satisfaisantes.
Sur les autres caractéristiques du traitement
Durée de conservation
Les données d’identification et les gabarits seront conservés le temps pendant lequel la personne concernée est habilitée à accéder aux locaux de l’entreprise.
L’historique de passage sera conservé pour une durée maximum de trois mois.
Autorise, conformément à la présente délibération, la société ROHDE ET SCHWARZ à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN