Le bureau de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données :
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Vu la demande d'autorisation, présentée par la société Bouygues Telecom, d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance de l'empreinte digitale et ayant pour finalité le contrôle de l'accès aux locaux ;
Après avoir entendu Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
Le 1er juillet 2005, la Commission nationale de l'informatique et des libertés a reçu un dossier de formalité préalable de la société Bouygues Telecom relatif à la mise en oeuvre d'un traitement de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux.
La Commission considère qu'il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Dans le cadre de son dossier, la société Bouygues Telecom indique qu'un audit de sécurité interne, réalisé en juillet 2004, a démontré la nécessité d'un recours à un système de contrôle d'accès renforcé pour quatre zones hautement stratégiques où sont réalisées des activités critiques. Une intrusion malveillante dans ces locaux pourrait notamment, permettre de neutraliser tout ou partie du réseau de télécommunication de la société Bouygues Telecom.
Seuls quelques collaborateurs sont autorisés à pénétrer dans les zones concernées. Le dispositif de reconnaissance des empreintes digitales envisagé aurait pour objet de contrôler l'accès à ces zones.
Le gabarit de l'empreinte digitale des personnes habilitées à pénétrer dans les zones concernées de l'établissement sera stocké sur une carte individuelle détenue par les personnes concernées. Les données enregistrées dans le serveur, dédiées au contrôle des accès se limiteront à celles nécessaires à l'identification des personnes (nom, prénom et numéro d'immatriculation).
Le contrôle d'accès s'effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l'empreinte digitale enregistré dans la carte à puce. L'historique des entrées et des sorties des zones concernées pourra être édité et ne sera conservé que pendant quarante cinq jours.
La société Bouygues Telecom justifiant en l'espèce d'un impératif de sécurité particulier et dans la mesure où le dispositif présenté à la Commission repose sur l'enregistrement du gabarit de l'empreinte digitale dans un support individuel exclusivement détenu par la personne concernée, la mise en oeuvre d'un traitement reposant sur la reconnaissance de l'empreinte digitale apparaît, en l'état actuel des connaissances sur la technologie utilisée, adaptée et proportionnée à la finalité assignée au dispositif.
Le droit d'accès défini au chapitre VII de la loi s'exercera auprès de Bouygues Telecom Informatiques et Libertés - 20 quai du Point du Jour - 92640 Boulogne Billancourt Cedex.
Les catégories de données à caractère personnel enregistrées seront le gabarit de l'empreinte digitale de l'employé, son numéro de matricule et l'liorodatage de ses passages.
Les destinataires des informations seront, dans la limite de leurs attributions respectives et pour l'exercice de la finalité précitée, la Direction des services aux collaborateurs et le Service de la sécurité des biens.
Autorise dans ces conditions, la société Bouygues Telecom, à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité le contrôle des accès par reconnaissance des empreintes digitales.
Le président, Alex TURK.