(Demande d’autorisation n° 1675496)
La Commission nationale de l'informatique et des libertés,
Saisie par la Communauté d’agglomération de Versailles Grand Parc d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès physique aux locaux techniques de vidéoprotection par reconnaissance du réseau veineux du doigt ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code général des collectivités territoriales, notamment ses articles L. 5211-6 et suivants ;
Vu le code de la sécurité intérieure, notamment ses articles L. 251-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté préfectoral n° 2013294-0009 du 21 octobre 2013 portant autorisation d’installation d’un système de vidéoprotection à Monsieur le président de la communauté d’agglomération de Versailles Grand Parc ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Communauté d’Agglomération de Versailles Grand Parc (« ci-après CAVGP »).
Versailles Grand Parc est un établissement public de coopération intercommunale qui regroupe dix-huit communes autour de Versailles. La CAVGP a été créée en 2003 sous la forme d’une communauté de communes, avant de devenir une communauté d’agglomération en 2010, dont le statut relève des dispositions susvisées du code général des collectivités territoriales.
La CAVGP agit en lieu et place des villes, dans différents domaines tels que le développement économique, l’aménagement, les transports ou l’environnement.
Sur la finalité et les caractéristiques du traitement
La CAVGP s’est équipée de caméras de vidéoprotection, lesquelles ont fait l’objet d’une déclaration en préfecture conformément aux dispositions susvisées du code de la sécurité intérieure.
Le traitement projeté vise à permettre l’accès aux locaux techniques de vidéoprotection (centre de supervision urbain) situés au sein de l’hôtel de ville de Versailles, où se situent les écrans de visionnage des dispositifs vidéo installés par la CAVGP.
Les locaux concernés sont au nombre de deux, le premier permettant l’accès au matériel de visionnage et d’enregistrement des dispositifs vidéo, le second l’accès aux serveurs de stockage des images. Chaque local sera équipé d’un lecteur biométrique par reconnaissance du réseau veineux du doigt.
La Commission observe que ce traitement poursuit principalement deux finalités :
À cet égard, elle prend acte que ne sont autorisées à pénétrer dans les locaux concernés par le traitement que les personnes ayant été déclarées dans le cadre de l’autorisation préfectorale susvisée. Il s’agit :
assurer la protection des biens et installations des locaux de vidéoprotection (serveur de vidéoprotection et réseau de fibre optique) ;
protéger l’accès aux images et informations des dispositifs de vidéoprotection mis en œuvre au sein de la Communauté d’Agglomération.
des sept agents de la Direction des Systèmes d’Information (DSI) mutualisée entre la ville de Versailles et la communauté d’agglomération, pour procéder à l’enregistrement des images réquisitionnées ;
des officiers de police judiciaire, du directeur général des services, des responsables de la sécurité de la ville de Versailles.
S’agissant de cette dernière catégorie, la Commission prend acte que leur accès aux locaux s’effectuera en présence de l’un des sept agents précités.
assurer la protection des biens et installations des locaux de vidéoprotection (serveur de vidéoprotection et réseau de fibre optique) ;
protéger l’accès aux images et informations des dispositifs de vidéoprotection mis en œuvre au sein de la Communauté d’Agglomération.
des sept agents de la Direction des Systèmes d’Information (DSI) mutualisée entre la ville de Versailles et la communauté d’agglomération, pour procéder à l’enregistrement des images réquisitionnées ;
des officiers de police judiciaire, du directeur général des services, des responsables de la sécurité de la ville de Versailles.
Sur la base de l’identification des risques et en complément d’autres mesures de gestion des risques, la CAVGP a établi la stricte nécessité de recourir à un dispositif de reconnaissance du réseau veineux du doigt.
Compte tenu de ces éléments, la Commission considère que la finalité ainsi définie est déterminée, explicite et légitime, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données traitées concernent les agents de la CAVGP amenés à exercer leurs fonctions au sein des locaux de vidéoprotection  ainsi que les prestataires sous-traitants chargés de la maintenance des systèmes de vidéoprotection.
Les catégories de données concernées sont :
La collecte de ces données s’effectue directement auprès de la personne concernée.
les données d’identification (nom et prénom) ;
les données biométriques (gabarit du réseau veineux du doigt) ;
l’historique d’accès aux locaux (horodatage des accès et identifiant du lecteur).
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données
Les données d’identification et biométriques ne sont conservées en base active que le temps de la durée de l’habilitation d’accès de la personne concernée. Dès lors que cette habilitation n’est plus effective, les données collectées sont effacées dans un délai maximum d’un mois.
Les données relatives à l’historique d’accès sont conservées sur une période de six mois à compter de leur enregistrement dans le traitement, afin de pouvoir, en cas de litige ultérieur concernant l’utilisation des images de vidéoprotection, vérifier les entrées dans les locaux concernés.
Sur les destinataires
Seules les personnes habilitées du service de la Direction des systèmes d’information auront accès aux données collectées en fonction de leurs missions, ce qui n’appelle pas d’observation particulière de la part de la Commission.
Sur l’information et le droit d’accès
La CAVGP informe les agents autorisés par l’arrêté préfectoral susvisé à accéder aux locaux et son prestataire de la mise en œuvre du dispositif de reconnaissance biométrique, à charge pour ce dernier d’en informer ses salariés. Elle leur remet, de manière individuelle, une note d’information spécifique et détaillée qui comprend toutes les mentions prévues à l’article 32 de la loi du 6 janvier 198 modifiée.
Les droits d’accès, de rectification et de suppression s’exercent par voie postale auprès du Service « Correspondant CNIL » de la CAVGP.
La Commission estime que ces modalités d’information et d’exercice des droits dont satisfaisantes.
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
Lors de l’enrôlement, les données biométriques des personnes habilitées sont stockées sous forme chiffrée en base de données.
En cas de rejet par le dispositif biométrique et pour les personnes ne pouvant pas s’enrôler, une prise en charge est prévue afin d’assurer l’authentification manuelle de la personne.
Le contrôle d’accès logique à l'application d’administration est effectué par mot de passe respectant les recommandations de la Commission.
Les mesures de sécurité mises en place sont donc conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, la Communauté d’agglomération de Versailles Grand Parc à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN