(Demande d’autorisation n° 1532467)
La Commission nationale de l’informatique et des libertés ;
Saisie par la société Aéroports de Lyon SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès, par dispositif biométrique, à la zone réservée de l’aéroport de Lyon ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) n° 185/2010 de la Commission du 4 mars 2010 fixant des mesures détaillées pour la mise en œuvre des normes de base communes dans le domaine de la sûreté de l’aviation civile, notamment le point 1.2.2 de son annexe ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 12 novembre 2003 relatif aux mesures de sûreté du transport aérien ;
Vu la délibération n° 2006-102 du 27 avril 2006 portant autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un support individuel détenu par la personne concernée et ayant pour finalité le contrôle de l’accès aux locaux sur les lieux de travail ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire et après avoir entendu les observations de  Mme Catherine POZZO Di BORGO, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La société Aéroports de Lyon SA, gestionnaire et concessionnaire de l’aéroport de Lyon.
Sur la finalité
La finalité du traitement est le contrôle d’accès, par dispositif biométrique, à la zone réservée de l’aéroport de Lyon pour les services de secours, les gestionnaires de sûreté aéroportuaire et les autorités administratives et judiciaires, telles que la police aux frontières, la direction de l’aviation civile, la gendarmerie des transports aériens et les douanes.
L’accès de ces personnels n’est pas prévu par l’autorisation unique n°08 ayant fait l’objet d’une délibération en date du 27 avril 2006, et portant sur la mise en œuvre de dispositifs biométriques reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un support individuel détenu par la personne concernée et ayant pour finalité le contrôle de l’accès aux locaux sur les lieux de travail. En effet, cette délibération ne porte que sur les personnels de l’entreprise, et non pas sur les autorités publiques. Dès lors, les autorités assurant la sécurité et la sûreté aéroportuaire ne sont pas prévues par celle-ci.
Pour autant, la Commission estime que l’accès de tels personnels aux zones réservées de l’aéroport de ces personnes est légitime, tout comme le contrôle de cet accès nécessitant une sécurité renforcée.
Ainsi, le traitement aura pour objet d’autoriser l’accès à certains locaux et certaines zones aux seules personnes ayant une justification professionnelle. Le contrôle d’accès est réalisé par lecteur biométrique SAGEM MorphoAcess et par carte personnelle munie d’un dispositif sans contact.
Le contrôle de ces accès offerts à ces personnels est nécessaire à la réalisation de leurs missions.
La Commission considère donc que la finalité du traitement projeté est déterminée, explicite et légitime. Etant donné que des données biométriques sont concernées, le traitement est soumis à une demande d’autorisation préalable avant sa mise en œuvre, sur le fondement de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données traitées sont collectées directement auprès de la personne concernée ; elles concernent leur identité : nom, prénom, adresse, photographie, date et lieu de naissance.
De plus, des données biométriques sont enregistrées. Le gabarit de l’empreinte digitale est effectué temporairement, uniquement le temps de l’enrôlement de la personne et de l’inscription dans le support individuel des empreintes prélevées.
Deux empreintes digitales, des index droit et gauche, sont collectées. Elles sont enregistrées et conservées sur le badge personnel de la personne concernée.
Lors d’une identification, la personne présente le badge sur le lecteur biométrique, ce dernier compare l’empreinte digitale avec celles téléchargées et autorise l’accès en cas de concordance. Aucun enregistrement, même temporaire, n’est effectué sur le lecteur biométrique.
La durée de conservation des empreintes digitales est égale au temps pendant lequel la personne concernée est habilitée à pénétrer dans les zones sécurisées.
En outre, des données de localisation sont également enregistrées lors des l’entrées et sorties des zones réservées dont l’accès est contrôlé.
Les catégories de données relatives à l’identité sont gardées au maximum cinq ans après la fin de l’habilitation d’accès de la personne concernée.
Les données de localisation sont conservées au maximum trois mois à compter de leur enregistrement.
La Commission considère que les données collectées sont adéquates, pertinentes et proportionnées à la finalité poursuivie.
Sur les destinataires
Dans la limite de leurs attributions respectives et pour l’exercice des finalités précitées, les seuls destinataires des données sont les gestionnaires de sûreté de l’aéroport.
Les personnes spécialement habilitées des autorités administratives et judiciaires, telles que la police aux frontières, la direction de l’aviation civile, la gendarmerie des transports aériens et les douanes peuvent avoir accès aux données dans le strict besoin qu’elles ont d’en connaître. Ces services effectuent continuellement des vérifications de l’identité, de l’habilitation, et de la validité des badges d’accès des personnes aux zones réservées.
Sur l’information et le droit d’accès
L’information des personnes, prévue à l’article 32 de la loi du 6 janvier 1978 modifiée, est effectuée lors de la collecte des données auprès des personnes concernées.
De plus, des informations complémentaires sur les mesures de sûreté sont transmises aux personnes concernées lors de formations obligatoires relatives aux procédures de sûreté dans l’aéroport.
Les droits d’accès et de rectification prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s’exercent directement auprès du gestionnaire de la sûreté de l’aéroport de Lyon.
Le droit d’opposition, prévu à l’article 38 de la loi du 6 janvier 1978 modifiée ne s’applique pas au présent traitement.
Sur les mesures de sécurité
Le responsable de traitement dispose de deux systèmes distincts de traitement des données, l’un concernant l’enrôlement et l’autre le contrôle d’accès.
Les accès au traitement des destinataires s’effectuent par identifiant et mot de passe individuel, régulièrement renouvelé, ou par tout autre moyen d’authentification.
Les mesures de sécurité mises en place n’appellent pas d’observation particulière de la part de la Commission.
Sur les autres caractéristiques du traitement
La présente autorisation vaut pour les seules catégories de personnels mentionnées ci-dessus. Le responsable de traitement effectue un engagement de conformité à l’autorisation unique n°08 pour l’enrôlement dans le traitement des personnels mentionnés dans ladite autorisation unique.
Autorise, conformément à la présente délibération, Aéroport de Lyon à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN