La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Après avoir entendu monsieur Bernard PEYRAT, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société DCNS d’un traitement de données à caractère personnel reposant sur la reconnaissance de l’empreinte digitale d’un doigt ou de l’iris des deux yeux et ayant pour finalité de montrer aux clients de la société DCNS le fonctionnement de dispositifs biométriques de contrôle d’accès physique et logique ;
Formule les observations suivantes :
La société DCNS souhaite montrer à ses clients le fonctionnement de dispositifs biométriques de contrôle d’accès logique et physique basés sur la reconnaissance de l’empreinte digitale et de l’iris dans son centre de démonstration situé à Mourillon.
Le dispositif concernera uniquement les personnes volontaires. Chaque personne volontaire pourra enregistrer le gabarit de l’empreinte digitale sur un support individuel et/ou son iris dans un lecteur biométrique. Le nom, le prénom et une photographie de la personne volontaire seront imprimés sur le support individuel détenu uniquement par elle.
Les personnes volontaires pourront accéder à un système d’information de démonstration. Le contrôle d'accès s'effectuera par comparaison entre le gabarit de l’empreinte digitale du doigt apposé sur le lecteur et le gabarit de l'empreinte digitale enregistré sur le support individuel sans qu'aucune copie de ce gabarit, même temporaire, ne soit effectuée.
Les personnes volontaires pourront ouvrir la porte d’accès du centre de démonstration. Le contrôle d'accès s'effectuera par comparaison entre le gabarit de l’empreinte digitale du doigt apposé sur le lecteur et le gabarit de l'empreinte digitale enregistré sur le support individuel sans qu'aucune copie de ce gabarit, même temporaire, ne soit effectuée. Il peut également s’effectuer par une comparaison entre le gabarit de l’iris présenté à une caméra et le gabarit de l’iris enregistré dans la mémoire du terminal de lecture comparaison ;
La mise en œuvre du dispositif reposera sur la collecte de données par la DCNS de personnes volontaires souhaitant voir une démonstration du système. Les visiteurs seront informés, au moment de la collecte de leurs données par la remise d’une note d’information, que les données biométriques recueillies seront utilisées dans un but purement démonstratif.
La machine dédiée à l’enrôlement des personnes n’est connectée ni au réseau de l’entreprise, ni au réseau internet. A aucun moment, les gabarits des données biométriques ne circuleront sur un réseau.
Les données personnelles des personnes volontaires sont conservées par la société DCNS uniquement le temps de la démonstration.
Compte tenu de ce qui précède, dans la mesure où seules les données des personnes volontaires seront traitées et qu’aucune donnée personnelle n’est conservée par la société DCNS, les traitements soumis à la Commission et en particulier, le recours à la constitution de bases de données biométriques ne comportent pas en l’espèce de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d’accès, de rectification et d’opposition s’exerceront par courrier auprès du SIS LE MOURILLON DPM/RMS/SSI BP 403 F-83055 TOULON CEDEX ou par rendez-vous sur place auprès de l’ingénieur études.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom, photographie du visage) ;
le titre professionnel ;
l’empreinte digitale ou l’iris des deux yeux;
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnes de l’équipe administrateur.   Dans ces conditions, la Commission autorise la DCNS à mettre en œuvre le traitement de données à caractère personnel présenté