La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation, présentée par François Charles Oberthur Fiduciaire d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux sensibles de la société classée Point sensible de niveau 2 (PS2) et Etablissement à Régime Restrictif (ERR) par le Ministère de l'intérieur, le Ministère de la défense et le Ministère de l'économie de l'industrie et des finances ;
Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l'informatique et des libertés a été saisie par François Charles Oberthur Fiduciaire d'une demande d'autorisation relative à un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux sensibles de la société classée Point sensible de niveau 2 (PS2) et Etablissement à Régime Restrictif (ERR) par le Ministère de l'intérieur, le Ministère de la défense et le Ministère de l'économie de l'industrie et des finances.
Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Le dispositif présenté par François Charles Oberthur Fiduciaire, imprimerie fiduciaire de haute sécurité, a pour finalité de répondre aux impératifs de sécurité exigés par la Banque Centrale Européenne et imposés par la réglementation relative aux installations classées Point Sensible de niveau 2 (PS2) et Etablissement à Régime Restrictif (ERR) par les Ministères de l'Intérieur, de la Défense et de l'Economie de l'Industrie et des Finances.  Il doit permettre de contrôler l'accès aux locaux sensibles de la société où sont imprimés les matrices de l'Euro.
Le dispositif reposera sur des boîtiers installés au point d'accès des locaux sensibles situés dans la zone prépresse de la société.  Ces boîtiers seront reliés à un serveur sur lequel seront enregistrés les évènements d'horodatage (nom de la personne, entrée, sortie, jour, identification du local).  Un gabarit chiffré, résultant des traitements des mesures de l'empreinte digitale par un algorithme et les données relatives à l'identité des personnes (nom, prénom) seront enregistrés au niveau du boîtier.  Lors du contrôle d'accès, l'employé apposera son doigt sur le lecteur biométrique du boîtier, une comparaison s'effectuera alors entre cette empreinte digitale et le gabarit enregistré dans la base de données stockée sur le boîtier.
Le gabarit de l'empreinte digitale et les données relatives à l'identité seront conservés pendant la durée de l'accès à la zone prépresse.  Les historiques des passages seront conservés six mois.
Les personnes seront informées de la mise en oeuvre du dispositif par une note d'information portée sur le formulaire de collecte qui leur est remis au moment de l'enrôlement ainsi que par voie d'affichage.  Les comités d'établissements seront informés de la mise en place du dispositif biométrique.
Compte tenu du fort impératif de sécurité lié à la nécessité de contrôler l'accès aux locaux sensibles de la zone prépresse de la société classée Point sensible de niveau 2 (PS2) et Etablissement à Régime Restrictif (ERR) par les ministères de l'intérieur, de la défense et de l'économie de l'industrie et des finances, les traitements soumis à la Commission sont adaptés et proportionnés à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès de François Charles Oberthur Fiduciaire - 18/20 rue de Breil 35135 Chantepie.
Les catégories de données à caractère personnel enregistrées seront :
- l'identité des personnes (nom, prénom) ;
- le gabarit chiffré, résultat du traitement des mesures par un algorithme sur l'empreinte digitale,
- les données d'horodatage (nom de la personne, entrée, sortie, jour, identification du local).
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée
- le responsable de sécurité et son adjoint.
Dans ces conditions, la Commission autorise la société François Charles Oberthur Fiduciaire, à mettre en oeuvre le traitement de données à caractère personnel présenté.
Le Président, Alex TURK.
Guy ROSIER, Vice-Président DELEGUE.