La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-8° ;
Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement en ses observations,
Vu le dossier de déclaration, présenté par le groupe Imprimerie Nationale, d'un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle des accès par reconnaissance des empreintes digitales.
Formule les observations suivantes :
La déclaration de traitement adressée par le groupe Imprimerie Nationale a pour objet l'utilisation d'un nouveau dispositif de reconnaissance des empreintes digitales en vue de contrôler l'accès du site où sont produits les documents d'identité tels que les passeports, les cartes grises et les cartes d'identité.
La Commission considère qu'il y a lieu de faire application des dispositions prévues à l'article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Le dispositif biométrique projeté sera associé au système de contrôle d'accès par badge et d'enregistrement vidéo des passages déjà en place et qui permet de tracer les déplacements des employés. L'accès aux zones sensibles sera matérialisé par des sas "unipersonnels", équipés de détecteurs de présence et lecteur de badges auquel seront ajoutés des lecteurs d'empreintes digitales.
Les empreintes digitales (l'empreinte digitale d'un doigt de chaque main) des personnes habilitées à pénétrer dans les zones sécurisées au sein d'une base de données centralisée.
Le groupe Imprimerie Nationale justifiant d'un fort impératif de sécurité lié à la nécessité de contrôler l'accès aux zones sensibles, la Commission considère que les traitements et notamment, le recours à la constitution d'une base de données biométriques, sont adaptés et proportionnés à la finalité assignée au dispositif.
Le droit d'accès défini au chapitre VII de la loi s'exercera auprès du groupe Imprimerie Nationale, service sécurité, rue des frères Beaumont - 59128 Flers en Escrébieux.
Les catégories de données à caractère personnel enregistrées seront,
. s'agissant des employés de l'Imprimerie Nationale : les empreintes digitales (l'empreinte digitale d'un doigt de chaque main), le numéro de badge, le numéro d'immatriculation Imprimerie Nationale, l'identité (nom, prénom), le profil d'accès (indication des zones dans lesquelles la personne a le droit de pénétrer), la zone dans laquelle la personne se situe, l'horodatage du dernier passage associé à une séquence vidéo.
. s'agissant des personnes ayant le statut d'intervenant extérieur : les empreintes digitales (l'empreinte digitale d'un doigt de chaque main), le numéro de badge, l'identité (nom, prénom), le profil d'accès (indication des zones dans lesquelles la personne a le droit de pénétrer), la zone dans laquelle la personne se situe, l'horodatage du dernier passage associé à une séquence vidéo.
Les destinataires des informations seront le directeur d'établissement, le responsable sécurité du site et de son adjoint.
Autorise, dans ces conditions, le groupe Imprimerie Nationale, à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité le contrôle des accès par reconnaissance des empreintes digitales.
Le président, Alex TURK.