La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par le 32 Hoche GIE d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
Le Groupement d’Intérêt Economique (GIE) 32 Hoche souhaite utiliser un dispositif pour sécuriser les accès à la partie de ses locaux dans laquelle se situe les bureaux du Président-directeur général et des Directeurs généraux délégués de la société Bouygues SA.
Conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée, les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs. La Commission, faisant application de cette disposition, considère que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un fort impératif de sécurité.
La demande d’autorisation adressée à la Commission fait référence à « une exigence impérieuse de sécurité et d’ordre public qui est la protection des dirigeants de sociétés du CAC 40 et la conservation possible de documents sensibles classifiés ».
La Commission observe que le dispositif n’a pas pour objet de contrôler l’accès à une zone représentant un enjeu majeur dépassant l’intérêt strict de l’organisme concerné. En effet, les éléments d’information communiqués par le GIE Hoche 32 ne permettent pas de considérer que l’intrusion de personnes non autorisées dans les locaux menacerait des biens ou des informations essentiels à la collectivité.
La Commission estime en outre que le seul fait d’être un dirigeant d’une société du CAC 40 ne suffit pas à considérer la personne concernée comme exposée à des risques particuliers de nature à justifier le recours à un système reposant sur l’enregistrement des empreintes digitales dans une base de données.
De même, la « possible » manipulation de documents dits « classifiés » sans autre précision ne permet pas d’apprécier s’il s’agit d’informations devant faire l’objet d’une protection particulière pouvant aller jusqu’à l’utilisation du dispositif projeté.
La Commission relève également que cet objectif pourrait être atteint, par exemple, par le recours à des procédés reposant sur l’enregistrement de l’empreinte digitale sur des supports individuels tels que la carte à puce qui présente moins de risques au regard de la protection des données et libertés individuelles. Dans ce cas en effet, la personne concernée conserve la maîtrise de sa donnée biométrique. celle-ci reste, en effet, sous sa responsabilité et ne peut pas être utilisée pour l’identifier à son insu. En cas de vol ou de perte du support de stockage, on ne peut avoir accès qu’à une seule donnée biométrique et non à une grande concentration de données d’identification comme dans le cadre d’un enregistrement sur le terminal de lecture-comparaison ou sur un serveur.
La Commission rappelle à cette occasion, que la constitution d’une base de données d’empreintes digitales comporte davantage de risques pour le droit des personnes et doit être réservée à des situations particulières nécessitant un impératif fort de sécurité. En effet, parce que l’empreinte digitale constitue une « trace » laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l’état des techniques, exige que son utilisation soit limitée et encadrée afin d’empêcher que l’exemplaire de l’empreinte récupéré ne puisse être utilisé pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif d’empreintes digitales ;
usurper l’identité d’une personne, par exemple pour frauder un dispositif reposant sur la reconnaissance de l’empreinte digitale.
Enfin, d’une manière générale, la Commission observe que la donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes : ainsi, à la différence de tout autre identifiant (code, mot de passe, etc.) cette donnée ne peut être changée une fois collectée, ce qui impose d’en limiter l’usage afin d’en garantir la sécurité et le contrôle par les personnes.
En conséquence, le traitement présenté pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles.
Dès lors, la Commission n’autorise pas, en l’état, le GIE 32 Hoche GIE – 32 avenue Hoche – 75008 Paris, à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l’accès aux locaux.