La Commission nationale de l'informatique et des libertés,
Saisie pour avis d'un projet de décision du directeur de l'URSSAF de la Corse relative à un traitement automatisé d'informations nominatives reposant sur la reconnaissance de l'empreinte digitale ayant pour objet de contrôler les accès des agents aux bâtiments de l'URSSAF situés à Ajaccio et Bastia (demande d'avis n° 797265) ;
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe sur la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, pris ensemble le décret n° 78-774 du 17 juillet 1978 ;
Après avoir entendu Monsieur Hubert BOUCHET, Commissaire en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations;
FORMULE LES OBSERVATIONS SUIVANTES :
Le projet de l'URSSAF de la Corse a pour finalité de renforcer la sécurité des accès à ses locaux en s'assurant de l'identification et de l'authentification de ses agents par la mise en oeuvre de dispositifs biométriques reposant sur la reconnaissance de l'empreinte digitale des personnels de l'URSSAF.
Les agents seraient appelés à poser leur doigt aux fins de comparaison avec les gabarits d'empreintes digitales de l'ensemble du personnel, conservés au niveau des lecteurs biométriques.
Le directeur de l'URSSAF fait valoir qu'un renforcement de la sécurité est rendu nécessaire par la situation locale spécifique qui a notamment été marquée par des occupations des locaux et des attentats à la bombe ayant provoqué, en 1996 et en 1999, la destruction partielle des deux sites.
La Commission a déjà exprimé dans divers avis qu'une base de données comportant des éléments biométriques laissant des traces, telles que l'ADN ou l'empreinte digitale, présentait, quelle que soit la légitimité du projet poursuivi par le responsable du traitement, le risque d'être utilisée à des fins autres que celles pour lesquelles elle a été constituée. Ainsi, les technologies de reconnaissance biométrique ne reposant pas sur le stockage des gabarits dans une base de données, ou, lorsqu'une base de données est nécessaire, le recours à un élément biométrique ne laissant pas de traces devraient être, de manière générale, préférés à la prolifération de fichiers de gabarits d'empreintes digitales.
Procédant à un examen particulier de chacun des traitements automatisés d'informations nominatives dont elle est saisie en application de l'article 15 de la loi du 6 janvier 1978, la Commission a toutefois estimé parfaitement justifié le recours à des dispositifs de reconnaissance biométrique reposant sur la constitution d'une base de données d'empreintes digitales à des fins de contrôle d'accès lorsque des impératifs particuliers de sécurité pouvaient l'exiger dans des cas limités ne laissant pas augurer de leur éventuelle généralisation à de telles fins.
Compte tenu du contexte particulier de la demande d'avis qui lui est soumise, la Commission a conduit le 21 mai 2002 une mission d'information auprès de l'URSSAF de la Corse afin de déterminer si le dispositif projeté était de nature à atteindre l'objectif que l'URSSAF s'assigne, dans des conditions garantissant tout à la fois son efficacité et son caractère proportionné.
L'impératif de sécurité n'est pas contesté, comme les graves événements passés en attestent l'évidence.
La Commission a cependant constaté que, s'agissant de l'antenne de Bastia, la disposition des locaux de l'URSSAF situés sur un étage d'immeuble auquel on ne peut accéder qu'après avoir franchi un hall d'accueil contrôlé par un agent et le faible nombre d'agents concernés (sept personnes) ne paraissaient pas justifier, dans des conditions garantissant la proportionnalité entre l'objectif poursuivi et les moyens mis en oeuvre, un dispositif de reconnaissance des empreintes digitales des personnels alors que, de surcrédit, les autres personnes travaillant ou habitant cet immeuble n'y seraient pas soumises.
S'agissant de l'antenne d'Ajaccio, le dispositif de reconnaissance de l'empreinte digitale destiné à authentifier les personnels ne serait mis en oeuvre qu'à l'entrée des locaux et ne pourrait pas l'être à l'entrée du parc de stationnement, les variations locales de température et d'hygrométrie altérant considérablement les performances du système, selon le prestataire lui-même. Dès lors, la Commission ne peut que constater que ce nouveau dispositif de sécurité serait, en tant que tel, impropre à prévenir le renouvellement d'événements de la nature de ceux dont l'URSSAF d'Ajaccio a déjà été la victime.
Ces éléments de fait paraissent suffisamment déterminants, eu égard à la technologie biométrique envisagée, pour que la Commission ne soit pas en mesure de se prononcer par un avis favorable à la mise en oeuvre du dispositif qui repose sur la constitution de bases de données d'empreintes digitales des personnels de l'URSSAF alors que, de surcrédit, le recours à un système d'authentification par empreinte digitale dont le gabarit serait inclus dans la carte à puce sans être stocké par ailleurs au niveau du lecteur permettrait de garantir que seules des personnes habilitées et reconnues auraient accès aux locaux de l'URSSAF.
Compte tenu de ces observations, la Commission EMET UN AVIS DEFAVORABLE au projet de décision du directeur de l'URSSAF de la Corse présenté en application de 15 de la loi du 6 janvier 1978.
Le Président, Michel GENTOT.