La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de Mme Anne DEBET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par le lycée maritime de Boulogne – Le Portel d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès des usagers à l’établissement.
Formule les observations suivantes :
A titre liminaire, la Commission observe que l’empreinte digitale constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. Ainsi, à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être changée une fois collectée, ce qui impose d’en limiter l’usage afin d’en garantir la sécurité et le contrôle par les personnes.
C’est dans ce contexte que la Commission examine la demande du lycée maritime de Boulogne – Le Portel qui souhaite avoir recours à un dispositif reposant sur la reconnaissance des empreintes digitales afin de contrôler l’accès à l’établissement ainsi que la présence des élèves. Plus précisément, il doit permettre :
d’empêcher les intrusions de personnes non-autorisées dans l’établissement et ainsi de prévenir les risques de dégradation ;
de garantir que les élèves de moins de 16 ans ne sortent pas de l’enceinte du lycée sans autorisation ;
de lutter contre l’absentéisme des élèves ;
de rapidement établir une liste de présence en cas de sinistre.
Le dispositif choisi par le lycée maritime repose sur des boîtiers situés aux points d’accès au lycée. L’identité (nom et prénom) des élèves et des personnels concernés ainsi que le gabarit de leurs empreintes digitales doivent être enregistrés dans une base de données située dans les terminaux de lecture-comparaison. Lors du contrôle d’accès, il est prévu que la personne appose son doigt sur le lecteur biométrique du boîtier, une comparaison s’effectue alors entre cette empreinte digitale et le gabarit enregistré.
La Commission rappelle que la constitution d’une base de données d’empreintes digitales comporte davantage de risques pour le droit des personnes et doit être réservée à des hypothèses particulières fondées sur un impératif fort de sécurité. En effet, parce que l’empreinte digitale constitue une « trace » laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l’état des techniques, exige que son utilisation soit limitée et encadrée afin d’empêcher que l’exemplaire de l’empreinte récupéré ne puisse être utilisé pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif d’empreintes digitales ;
usurper l’identité d’une personne, par exemple pour frauder un dispositif reposant sur la reconnaissance de l’empreinte digitale.
Ainsi, la Commission considère que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un fort impératif de sécurité, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
En l’espèce, l'objectif poursuivi par le lycée maritime de Boulogne – Le Portel tendant au contrôle de l’accès à l’établissement et de la présence des élèves, s’il est légitime, n’est pas associé à un fort impératif de sécurité justifiant la conservation dans une base de données des empreintes digitales des élèves et des personnels concernés. La Commission observe que le dispositif n’a pas pour objet le contrôle de l’accès d’un nombre limité de personnes à une zone bien déterminée représentant ou contenant un enjeu majeur dépassant l’intérêt strict de l’organisme. Elle relève également qu’un dispositif reposant sur l’utilisation d’une carte, sans recours à la biométrie, permettrait d’atteindre les objectifs poursuivis par le lycée maritime avec un niveau suffisant de sécurité par rapport aux enjeux.
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles.
Dès lors, la Commission n’autorise pas, en l’état, le lycée professionnel maritime de Boulogne – Le Portel - 6, rue Georges Honoré, BP 1 - 62480 Le Portel - à mettre en œuvre un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès des usagers à l’établissement.