La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d’autorisation présentée par la société Apave Parisienne d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts et ayant pour finalité le contrôle d’accès à des appareils de reprographie multifonctions ;
Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par la société Apave Parisienne d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts et ayant pour finalité le contrôle d’accès à des appareils de reprographie multifonctions.
Il y a lieu de faire application des dispositions prévues à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
L’Apave Parisienne souhaite contrôler l’accès à des appareils de reprographie multifonctions ayant diverses fonctionnalités telles que celles de photocopieur, de scanneur ou d’imprimantes, fax et courriel et par lesquels transitent des documents potentiellement sensibles : des plans d’installation de zones sensibles, d’accès à ces zones pour certains de ses inspecteurs ainsi que des rapports confidentiels.
Le traitement projeté a notamment vocation à améliorer la confidentialité des informations traitées par l’Apave Parisienne. Il doit permettre de garantir que seules les personnes habilitées pourront accéder aux documents reproduits, scannés ou envoyés. De même, ce type de dispositif permet d’éviter que des tiers non autorisés aient accès aux documents oubliés dans les appareils de reprographie multifonctions ou ne les récupèrent par erreurs lorsque plusieurs documents sont imprimés par différents utilisateurs.
Le dispositif concernera l’ensemble des salariés de la société et sera installé sur 67 appareils de reprographie multifonctions situés sur les 20 sites de la société Apave Parisienne. Il reposera sur un système de lecture-comparaison du réseau veineux des doigts de la main situé sur chaque copieur. L’utilisateur venant récupérer des éditions lancées de son poste de travail sur l’appareil de reprographie multifonctions s’authentifiera afin de lancer l’impression. Il pourra également utiliser le dispositif pour scanner des documents et se les envoyer par mail. L’identification permettra une sauvegarde automatique du fichier créé sur l’espace réseau personnel de l’utilisateur.
Les salariés auront le choix d’utiliser ou non le dispositif biométrique. En cas de refus, une solution alternative sous forme de renseignement d’un mot de passe sera proposée.
Le contrôle de l’accès aux différentes fonctionnalités de l’appareil de reprographie multifonctions s’effectuera par la comparaison entre le doigt apposé sur le lecteur et une image du réseau veineux enregistrée sur un serveur dans une base centralisée. Les gabarits stockés seront chiffrés. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ de l’employé de la société.
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace qui n’est pas susceptible d’être capturée à l’insu des personnes et dont l’enregistrement sur un serveur aux fins de contrôler les accès à des documents et d’en garantir la confidentialité ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès du correspondant informatique et libertés de l’Apave Parisienne, 13/17, rue Salneuve, 75854 Paris Cedex 17.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom,) ;
adresse réseau du poste de travail
le gabarit chiffré du réseau veineux du doigt de la main ;
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les administrateurs informatiques.
Dans ces conditions, la Commission autorise l’Apave Parisienne à mettre en œuvre le traitement de données à caractère personnel présenté.