La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation, présentée par Aéroports de Paris, d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès au sein de la zone réservée du satellite S3 de l'Aéroport de Paris-Charles-de-Gaulle ;
Après avoir entendu M. Hubert Bouchet, commissaire en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l'informatique des libertés a été saisie par la société Aéroports de Paris (ADP) le 2 février 2007 d'un dossier de formalité préalable relatif à la mise en oeuvre d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès au sein de la zone réservée du satellite S3 de l'Aéroports de Paris-Charles-de-Gaulle.
Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Le dispositif présenté par Aéroports de Paris a pour finalité le contrôle de l'accès à certaines zones ou locaux situées en zone réservée sécurité du nouveau satellite d'embarquement appelé S3 dont l'ouverture est prévue entre les mois de juin et octobre 2007.  Il est dans une large mesure identique à celui déjà utilisé pour le contrôle de l'accès aux autres zones réservées sécurité des aéroports de Paris-Charles-de-Gaulle et d'Orly et qui a fait l'objet d'un avis favorable de la CNIL par sa délibération n° 04-017 du 8 avril 2004.
Les traitements envisagés ont pour objet d'autoriser l'accès de certains locaux ou zones du satellite aux seules personnes ayant une justification professionnelle.  En fonction du niveau de sensibilité de la zone ou des locaux, le processus de contrôle d'accès est le suivant :
- lecture d'un badge délivrés par la Direction Générale de l'Aviation Civile (DGAC) dans le cadre de la gestion des activités de sûreté sur les plates-formes aéroportuaires ;
- vérification en temps réel des droits d'accès associés à ce badge en interrogeant une base de données ;
- authentification de la personne grâce à un dispositif de reconnaissance des empreintes digitales.
La phase relative à la vérification des droits d'accès associés au badge repose sur l'interrogation d'un serveur central dans lequel sont enregistrés les données relatives aux personnes concernées (le nom, le prénom, le type d'activité, l'entreprise ayant délivré l'accréditation, l'entreprise d'appartenance, le numéro de badge et la date de fin de validité de badge).
Certains personnels habilités de la société Air France, compagnie opérant sur le satellite S3, de la société ADP, ainsi que de la Direction de la Police aux Frontières disposent d'un accès, en consultation et en alimentation, à cette base de données afin de gérer, en fonction des zones et des locaux, les habilitations de leurs propres personnels.  Les personnes habilités auront uniquement accès aux données des employés de leur organisme.  Cet aspect du dispositif constitue l'une des principales différences avec le système de contrôle d'accès mis en oeuvre dans les autres parties de l'aéroport de Paris-Charles-de-Gaulle et qui a fait l'objet de la délibération n° 04-017 précitée.
S'agissant du procédé de reconnaissance des empreintes digitales, l'authentification des personnes s'effectuera localement par une lecture du gabarit des empreintes digitales exclusivement enregistrés, sous forme chiffrée, dans la puce sans contact des badges délivrés par la DGAC.  Le contrôle d'accès s'effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l'empreinte digitale enregistré sur le badge.
Un historique des passages, le détail des accès empruntés ainsi que la liste des irrégularités pourront être édités.  La conservation de ces données ne pourra excéder trois mois et elle seront uniquement accessibles aux administrateurs et personnels en charge de la maintenance des serveurs d'ADP.
Les données relatives au profil des personnes concernées seront conservées dans le serveur central jusqu'à expiration de la date de validité du badge.  Il en est de même pour le gabarit enregistré sur le badge.
L'information des personnels se fera au moyen de la remise d'un document lors de l'opération d'accréditation ainsi que par un affichage dans les salles où cette procédure aura lieu.  Une information et une consultation du comité d'entreprise de la société Aéroports de Paris seront effectués.
Compte tenu de l'impératif de sécurité lié à la nécessité de contrôler l'accès aux zones réservées de l'aéroport de Paris-Charles-de-Gaulle et dans la mesure où il repose sur l'enregistrement du gabarit de l'empreinte digitale dans un support individuel exclusivement détenu par la personne concernée, le traitement apparaît, en l'état actuel des connaissances sur la technologie utilisée, adapté et proportionné à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès du pôle gestion du patrimoine - activités domaniales - direction de l'aéroport de Paris-Charles-de-Gaulle - BP 24101 - 97711 Roissy Charles de Gaulle cedex.
Les catégories de données à caractère personnel enregistrées seront :
- dans la base de données gérée par les organismes opérant sur le satellite S3 :  le nom, le prénom, le type d'activité, l'entreprise ayant délivré l'accréditation, l'entreprise d'appartenance, le numéro de badge et la date de fin de validité de badge ainsi que l'historique des passages, le détail des accès empruntés et la liste des irrégularités ;
- dans les badges :  le gabarit des empreintes digitales, le code PIN associé au badge (permettant une identification du porteur lorsque la capture biométrique est inexploitable).
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les agents chargés de l'enregistrement des données sur le badge, les agents de sûreté visés à l'article L. 282-8 du code de l'aviation civile sur les points d'accès à la zone réservée, les administrateurs techniques et fonctionnels du traitement, et enfin les agents de l'Etat chargés du contrôle du personnel au sein de la zone réservée.
Néanmoins, l'historique des passages, le détail des accès empruntés ainsi que la liste des irrégularités seront uniquement accessibles aux administrateurs et personnels en charge de la maintenance des serveurs d'ADP.
Autorise, dans ces conditions, Aéroport de Paris à mettre en oeuvre le traitement de données à caractère personnel présenté.
Le président, Alex TURK.