La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-8° ;
Après avoir entendu M. Guy Rosier, vice-président délégué, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement en ses observations ;
Vu la demande d'avis présentée par la Chambre de Commerce et d'Industrie de Nice-Côte d'Azur, d'un traitement automatisé de données à caractère personnel ayant pour finalité la gestion d'une carte de fidélité impliquant l'utilisation d'un dispositif biométrique de reconnaissance des empreintes digitales ;
Formule les observations suivantes :
La Chambre de Commerce et d'Industrie de Nice-Côte d'Azur a saisi la Commission nationale informatique et liberté d'une demande d'avis concernant la mise en oeuvre d'une carte de fidélité impliquant l'utilisation d'un dispositif biométrique de reconnaissance des empreintes digitales.
La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Le dispositif soumis à la Commission est destiné aux voyageurs réguliers de l'aéroport Nice-Côte d'azur et se décompose de la manière suivante :
- dans un premier temps, les personnes s'inscrivant au programme de fidélité proposé par la Chambre de Commerce et d'Industrie de Nice-Côte d'Azur disposent d'une carte intitulée "Accès" qui permet de cumuler des points de fidélité en fonction du nombre de vols effectués à partir de l'aéroport de Nice.
- dans un second temps, les titulaires d'une carte "Accès" ayant effectué un certain nombre de voyages à partir de l'aéroport de Nice reçoivent un courrier leur proposant de recevoir une carte intitulée "Club Airport premier" et de se présenter à cet effet au bureau des renseignements de la Chambre de Commerce et d'Industrie de Nice-Côte d'Azur, situé dans l'aéroport.
Après vérification de l'identité du demandeur de ladite carte, sur la base d'un document d'identité qu'il aura présenté, le personnel habilité de la Chambre de Commerce et d'Industrie de Nice-Côte d'Azur procèdera à l'enregistrement de l'empreinte digitale de la personne concernée sur la puce de la nouvelle carte de fidélité qui lui est remise. La Chambre de Commerce et d'Industrie de Nice-Côte d'Azur précise qu'aucune information relative à l'empreinte digitale n'est conservée et que la carte "Accès" est détruite.
La carte de fidélité "Club Airport premier" permet de cumuler des points pour chaque voyage effectué et de bénéficier des services spécifiques suivants ;
. l'accès à des zones de stationnement réservées,
. la possibilité de profiter d'un système de "coupe-file" afin de ne pas attendre pour accéder à la salle d'embarquement,
. l'envoi par SMS d'informations sur les vols
. l'opportunité de bénéficier de réductions tarifaires sur des biens et des services.
Le titulaire d'une carte "Club Airport premier" voulant accéder à ces services introduit la carte dans des bornes disposées à cet effet dans l'enceinte de l'aéroport de Nice : le traitement effectué à cette occasion consiste en une comparaison entre le doigt apposé sur le lecteur de la borne et le gabarit de l'empreinte digitale stockée dans la puce de la carte, cette opération s'effectuant uniquement au niveau de la borne en temps réel.
La Commission prend acte :
. que le gabarit de l'empreinte digitale des personnes ne fait l'objet d'aucune conservation, même temporaire, tant au niveau des lecteurs biométriques situés sur les bornes d'accès aux services "Club Airport premier" que du poste informatique destiné à l'enrôlement des personnes volontaires,
. que la délivrance des cartes "Club Airport premier" et l'accès aux services qu'elles proposent concernent exclusivement les personnes volontaires ayant accepté de s'inscrire au programme de fidélité "Club Airport premier",
. que l'information des personnes est assurée par le biais du formulaire d'inscription qui leur est remis lorsqu'elles font une demande de carte de fidélité et qui contient en annexe des conditions générales d'utilisation détaillant, pour chacun des services accessibles via la carte de fidélité : la nature des données traitées, les durées de conservations appliquées ainsi que les finalités précises pour lesquelles les données sont traitées,
que les personnes concernées peuvent accéder à leur données à caractère personnel et les modifier via le site internet de la Chambre de Commerce et d'Industrie de Nice sur lequel il est indiqué que l'utilisation de la carte de fidélité "Club Airport Premier" implique l'enregistrement de l'empreinte digitale sur la carte.
La Commission considère que dans la mesure où d'une part, seules les données à caractère personnel des personnes volontaires seront traitées, et d'autre part, l'empreinte digitale est uniquement stockée dans un support individuel exclusivement détenu par la personne concernée (en l'espèce la carte de fidélité) et dont elle décide librement de l'utilisation, le dispositif soumis par la Chambre de Commerce et d'Industrie de Nice-Côte d'Azur ne comporte pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Le droit d'accès défini au chapitre VII de la loi s'exercera auprès de la Chambre de Commerce et d'Industrie de Nice-Côte d'Azur, direction marketing de l'aéroport Nice-Côte d'Azur, 20 boulevard Carabacel - BP 1259 - 06005 Nice Cedex 1
Les catégories de données à caractère personnel enregistrées seront :
. dans la puce de la carte : le gabarit de l'empreinte digitale, l'identité (nom et prénom), le numéro de la carte, le numéro de la borne, la date de passage et la langue de prédilection ;
. dans le système central : la civilité, l'identité (nom et prénom), la date de naissance, l'adresse (code postal, ville, pays), le numéro de téléphone, le numéro de fax (facultatif), le numéro de téléphone portable (facultatif), l'adresse de courrier électronique (facultatif), le numéro de la carte, le numéro de la borne, la date de passage, le numéro de vol et la destination finale.
Le destinataire des informations, à l'exclusion du gabarit de l'empreinte digitale, sera le personnel habilité de la direction marketing de l'aéroport Nice-Côte d'Azur.
Autorise, dans ces conditions, la Chambre de Commerce et d'Industrie de Nice-Côte d'Azur, sise 20 boulevard Carabacel - BP 1259 - 06005 Nice Cedex 1, à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la gestion d'une carte de fidélité impliquant l'utilisation d'un dispositif biométrique de reconnaissance des empreintes digitales.
Le président, Alex TURK.