La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Vu la demande d’autorisation de la société NCS Nord de France d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès à la salle informatique.
Sur le rapport de Monsieur Jean MASSOT, commissaire et les observations de Madame Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par la société NCS Nord de France d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès à la salle informatique.
Il y a lieu de faire application des dispositions prévues à l’article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
La société NCS Nord de France a pour activité la gestion d’installations informatiques. A ce titre, elle souhaite héberger des données à caractère personnel relatives à la santé pour le compte d’établissements de santé, et ce, en garantissant un haut niveau de sécurité tant physique que logique à ces données, conformément aux dispositions des articles R. 1111-9 et suivants du Code de la santé publique.
Afin de sécuriser l’accès à la salle informatique abritant les serveurs de stockage des données personnelles relatives à la santé qui lui seront confiées, la société NCS Nord de France souhaite mettre en œuvre un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales avec une centralisation des données sur le terminal de lecture. Ce dispositif doit permettre de garantir l’intégrité et la confidentialité des données de santé en s’assurant que seules peuvent y accéder les personnes dûment habilitées.
Le système reposera sur un boîtier installé à côté de la porte d’entrée de la salle informatique.
Les gabarits biométriques des empreintes digitales des personnes habilitées à pénétrer dans la salle informatique seront enregistrés dans le terminal de lecture comparaison, lequel pourra être relié à un poste informatique dédié déconnecté de tout réseau.
Lors de la phase d’enrôlement, seul le gabarit biométrique de l’empreinte d’un doigt sera enregistré.
Le paramétrage des droits d’accès se fera par le biais d’une centrale de gestion des habilitations placée dans un espace dédié fermé à clef. La connexion à cette centrale sera sécurisée au moyen d’un mot de passe obéissant aux recommandations de la Commission en matière de complexité.
Les gabarits biométriques seront chiffrés par un algorithme de chiffrement propriétaire, connu du seul fabricant du dispositif biométrique.
L’enrôlement s’effectuera par l’apposition par l’employé de son doigt sur le lecteur biométrique du boîtier, après s’être identifié au moyen de son badge d’accès. Une comparaison s’effectuera alors entre cette empreinte digitale et le gabarit préalablement enregistré dans le terminal de lecture comparaison. Un historique des passages pourra être édité.
En cas de dysfonctionnement du système, il sera possible d’accéder à la salle informatique en combinant l’utilisation d’un badge d’accès avec un code temporaire généré par le système. La Commission prend acte que ce dispositif d’accès alternatif sera temporaire et, par conséquent, que ce code temporaire sera supprimé à l’issue du dysfonctionnement.
Le gabarit de l’empreinte digitale et les données relatives à l’identité de l’employé seront conservés tant que la personne concernée sera habilitée à pénétrer dans la salle informatique. L’historique des passages sera, quant à lui, conservé pendant trois mois maximum.
Compte tenu du fort impératif de sécurité lié à la nécessité de garantir l’intégrité et la confidentialité des données sensibles traitées par la société NCS Nord de France, que ce dispositif biométrique se limite à contrôler l’accès à la salle informatique abritant les serveurs de stockage de ces données, et au regard des garanties de sécurité apportées par le dispositif choisi, la Commission considère que le traitement est adapté et proportionné à la finalité assignée au dispositif.
Les droits d’accès et de rectification s’exerceront auprès du service juridique de la société NCS Nord de France (Parc de haute technologie des Bonnettes, rue de la symphonie, 62000 Arras).
Les catégories de données à caractère personnel enregistrées seront :
l’identité (numéro de badge) ;
le gabarit d’une empreinte digitale ;
l’historique des passages.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les seuls personnels habilités de la société NCS Nord de France.
Dans ces conditions, la Commission autorise la société NCS Nord de France à mettre en œuvre le traitement de données à caractère personnel présenté.