La Commission nationale de l'informatique et des libertés ;
Saisie pour avis du projet d'arrêté présenté par le Préfet de l'Hérault ;
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la Directive n° 95/46/ CE du Parlement Européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 susvisée ;
Après avoir entendu Monsieur Hubert Bouchet, Commissaire, en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
FORMULE LES OBSERVATIONS SUIVANTES :
La Préfecture de l'Hérault a saisi la Commission d'une demande d'avis concernant la mise en oeuvre d'un traitement automatisé d'informations nominatives destiné à permettre l'authentification des agents territoriaux de la préfecture dans le cadre de la gestion du temps de travail et l'établissement d'horaires variables au moyen d'un dispositif biométrique reposant sur la reconnaissance des empreintes digitales des personnes concernées.
La Préfecture fait valoir que le badge d'accès, dont l'utilisation permet de conserver trace des heures d'entrées et de sorties du personnel afin de calculer le temps de travail des agents territoriaux soumis à des horaires variables, ne doit pas pouvoir être utilisé frauduleusement par un agent territorial souhaitant dissimuler l'absence ou le retard d'un de ses collègues. C'est la raison pour laquelle la Préfecture souhaite, grâce à un dispositif de reconnaissance des empreintes digitales associé à l'utilisation des badges d'accès, éviter toute utilisation d'un badge par une personne autre que son titulaire.
En pratique chaque agent devrait présenter son badge d'accès à un lecteur de badges qui permettrait de l'identifier puis devrait présenter un de ses doigts devant un lecteur d'empreintes digitales afin que les gestionnaires du personnel soient assurés que la personne ayant présenté le badge en était bien le titulaire et puissent, en conséquence, calculer son temps de présence au travail.
Le recours à la biométrie associée aux nouvelles technologies peut être de nature à apporter une réponse adaptée à certaines situations dans lesquelles l'authentification ou l'identification des personnes doit être parfaitement assurée. Cependant le surcroît de sécurité et les commodités d'usage qui sont attendues du recours aux techniques biométriques ont, le plus souvent, pour contrepartie l'enregistrement dans une base de données informatique des éléments physique d'identification des personnes. Les empreintes digitales font de surcroît partie des données biométriques qui laissent des traces pouvant être exploitées à des fins d'identification des personnes à partir des objets les plus divers que l'on a pu toucher ou avoir en main et dès lors, la constitution d'une base de données d'empreintes digitales est susceptible d'être utilisée à des fins étrangères à la finalité recherchée par sa création.
C'est au regard de l'ensemble de ces considérations qu'il y a lieu pour la Commission d'apprécier, dans chaque cas, si le recours à des techniques de reconnaissance d'éléments biométriques et la constitution d'une base de données à caractère personnel comportant une telle identification biométrique sont, compte tenu des caractéristiques de l'élément d'identification physique retenu et des usages possibles des bases de données ainsi constituées, adaptés et proportionnés à la finalité assignée au dispositif.
Dans le cas d'espèce, la mise en place d'un badge d'accès étant de nature à prévenir toute intrusion d'un tiers qui n'en serait pas doté dans les locaux de la préfecture, le recours à la reconnaissance biométrique des empreintes digitales des fonctionnaires et des personnels de la préfecture, aurait pour objet d'éviter une éventuelle "fraude aux horaires" qui résulterait de l'utilisation du badge d'un des membres du personnel par un de ses collègues. Un tel objectif ne paraît pas de nature à justifier la constitution d'une base de données d'empreintes digitales des personnels d'une préfecture. Aussi, le traitement pris dans son ensemble n'apparaît-il ni adapté ni proportionné à l'objectif poursuivi.
AU BENEFICE DE CES OBSERVATIONS, la Commission émet un avis défavorable au projet d'arrêté présenté par le Préfet de l'Hérault.
Le Président, Michel GENTOT.