La Commission nationale de l'informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation, présentée par l'Autorité de contrôle des assurances et des mutuelles (ACAM) d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès au contenu de clés USB ;
Après avoir entendu M. Philippe NOGRIX, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l'informatique des libertés a été saisie par l'Autorité de contrôle des assurances et des mutuelles (ACAM) le 20 novembre 2006 d'un dossier de formalité préalable relatif à la mise en oeuvre d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès au contenu de clés USB.
Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Afin d'améliorer la gestion des documents confidentiels dans le cadre du plan global de renforcement des systèmes de sécurité, l'Autorité de contrôle des assurances et des mutuelles (ACAM), chargée de contrôler le respect par les entreprises d'assurance et de réassurance, les mutuelles, les institutions de prévoyance et les institutions de retraite supplémentaires, des dispositions législatives et réglementaires qui leur sont applicables et de sanctionner les manquements constatés, souhaite se doter de clés USB sécurisées par reconnaissance de l'empreinte digitale de l'utilisateur.
Le dispositif présenté à la Commission reposera sur l'enregistrement du gabarit de l'empreinte digitale dans une clé USB de cinq personnes au maximum à savoir la personne concernée et ses assistants de l'ACAM.
Le contenu de la clé USB est accessible uniquement par les personnes dont les doigts sont enrôlés.
Pour contrôler l'accès au contenu des clés USB, une comparaison sera effectuée entre le doigt apposé sur le lecteur incorporé à la clé USB et le gabarit chiffré de l'empreinte digitale enregistré dans cette clé.
Les personnes concernées tenues au secret professionnel (le Président, la Secrétaire générale, les commissaires contrôleurs, les directeurs, les chefs de services, les membres du collège ainsi que les personnes spécialement habilitées à les assister) seront informées sur le fonctionnement de leurs clés par le Bureau du Système d'Information de l'ACAM.  Cette information s'effectuera au travers d'une note d'information et d'une Charte sur la sécurité de l'environnement bureautique.
Compte tenu de l'impératif de sécurité lié à la nécessité de contrôler l'accès à des documents confidentiels, le recours à une clé USB dans laquelle est enregistré le gabarit de l'empreinte digitale des seules personnes habilitées à accéder audits documents, est adapté et proportionné à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès de l'ACAM sise au 61 rue Taitbout 75009 Paris.
Les catégories de données à caractère personnel enregistrées seront les minuties de l'empreinte digitale, le nom, le prénom, le bureau des personnes concernées.
Les données traitées seront conservées jusqu'au départ de la personne concernée.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le Bureau du Système d'Information de l'ACAM.
Dans ces conditions, la Commission autorise l'Autorité de contrôle des assurances et des mutuelles (ACAM) à mettre en oeuvre le traitement de données à caractère personnel présenté.
Le Président, Alex TURK.