Le bureau de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-I-8° ;
Vu la délibération de la CNIL n° 2004-018 du 8 avril 2004 portant avis défavorable sur la demande d'avis présentée par le Centre hospitalier de Hyères concernant la mise en oeuvre d'un dispositif de reconnaissance de l'empreinte digitale ayant pour finalité la gestion du temps de travail de ses personnels ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le Centre hospitalier de Hyères a saisi la Commission d'une demande d'autorisation relative à l'utilisation d'un dispositif biométrique reposant sur la reconnaissance de la géométrie de la main. Ce dispositif permettra d'enregistrer les dates et heures d'entrée et de sortie des personnels hospitaliers pour la gestion de leur temps de travail (production de cumuls et de soldes hebdomadaires, mensuels et annuels de temps de travail, gestion des congés).
L'utilisation d'une technologie biométrique vise à renforcer l'identification des agents hospitaliers au moment des pointages et d'éviter les contraintes liées à la gestion d'un badge magnétique. Les éléments caractéristiques de la géométrie de la main des employés (gabarits) seront cryptés par un algorithme irréversible. Seul le résultat de ce cryptage sera enregistré dans le lecteur biométrique.
La technologie de la reconnaissance du contour de la main a été retenue afin de prendre en compte l'avis défavorable rendu par la Commission le 8 avril 2004 sur le projet de dispositif reposant initialement sur la reconnaissance de l'empreinte digitale.
Le contour de la main fait partie des données biométriques qui ne laissent pas de traces susceptibles d'être utilisées à des fins étrangères à la finalité recherchée par le responsable du traitement. En outre, les données biométriques seront uniquement enregistrées de façon cryptée dans le lecteur biométrique. Ces deux éléments sont de nature à prévenir toute utilisation détournée des données biométriques propres aux personnels du Centre hospitalier.
Compte tenu des caractéristiques du dispositif présenté à la Commission et en l'état actuel des connaissances sur la technologie utilisée, la mise en oeuvre d'un traitement reposant sur la reconnaissance de la géométrie de la main est adaptée et proportionnée à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès de la direction des ressources humaines du Centre hospitalier de Hyères.
Les catégories de données à caractère personnel enregistrées seront l'identité (nom, prénom) de l'agent, le gabarit biométrique du contour de leur main, leur identifiant numérique, les dates et heures de leurs entrées et sorties, le cumul de leurs horaires et le solde de leurs droits à congés.
Les destinataires des informations, à l'exception des données biométriques, seront les employés habilités de la direction des ressources humaines du Centre hospitalier.
Autorise, dans ces conditions, le Centre hospitalier de Hyères à mettre en oeuvre le traitement de données à caractère personnel présenté.
Le président, Alex TURK.