(Demande d’autorisation n° 1560469)
La Commission nationale de l’informatique et des libertés,
Saisie par la société Cache-Cache d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle de l’accès à ses locaux dans les lieux de travail ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L561-5 et R561-5 ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25, I, 8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le règlement du Comité de la réglementation bancaire et financière (CRBF) n°97-02 du 21 février 1997 modifié relatif au contrôle interne des établissements de crédit et des entreprises d’investissement ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Cache-Cache est une société de prêt-à-porter.
Sur la finalité
La Commission nationale de l’informatique des libertés a été saisie par la société Cache-Cache d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts et ayant pour finalité le contrôle d’accès à ses locaux.
Il y a lieu de faire application des dispositions prévues à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Le traitement a vocation à renforcer le contrôle d’accès par la société Cache-Cache à ses locaux. Il doit permettre de garantir que seules les personnes habilitées pourront y accéder.
Le contrôle de l’accès au site s’effectuera par la comparaison entre le gabarit du réseau veineux des doigts apposé sur le lecteur et le gabarit du réseau veineux des doigts enrôlés et enregistrés sur un serveur sécurisé et interne au site dans une base centralisée.
La Commission observe que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données collectées concernent l’identité de la personne (nom, prénom), le gabarit chiffré du réseau veineux des doigts de la main. L'enrôlement des caractéristiques biométriques est soumis à l’acceptation individuelle de chaque salarié.
La Commission considère que ces données sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.
Sur les destinataires
Dans la limite de leurs attributions respectives et pour l’exercice de la finalité décrite ci-dessus, les destinataires des données seront le personnel de la société de maintenance et le personnel du service informatique de la société Cache-Cache.
Sur l’information et le droit d’accès
Les personnes sont informées par l’envoi d’un courrier personnalisé.
Les droits d’accès et de rectification s’exercent auprès du service informatique de la société CACHE-CACHE, 10 IMPASSE DU GRAND JARDIN, 35400 SAINT-MALO.
Sur les mesures de sécurité
Les gabarits des données biométriques stockés seront chiffrés.
Les actions effectuées par les destinataires sont tracées afin de détecter et d’analyser tout accès, modifications et suppressions de données non autorisés.
Les autres mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
La durée de conservation du gabarit du réseau veineux des doigts de la main est égale au temps pendant lequel la personne concernée est habilitée à pénétrer dans les locaux ou les zones limitativement identifiées de la société Cache-Cache faisant l'objet d'une restriction de circulation.
Les catégories de données relatives à l’identité peuvent, au maximum, être conservées 5 ans après le départ de l’employé.
Les éléments relatifs aux déplacements des personnes ne doivent pas être conservés plus de trois mois.
Autorise, conformément à la présente délibération,  la société Cache-Cache à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN