La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 1ier et 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 modifiée en 2007;
Vu la demande d'autorisation ainsi que les compléments adressés par le collège ATURRI d'un traitement de données reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle d'accès au service de restauration scolaire ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l'informatique des libertés a été saisie par le collège ATURRI d'un traitement de données reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle d'accès au service de restauration scolaire.
Il y a lieu de faire application des dispositions prévues à l'article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Il convient de rappeler que la Commission a toujours accordé une attention particulière aux dispositifs biométriques qui pouvaient concerner des mineurs, notamment en ce qu'ils sont susceptibles de les habituer aux techniques de surveillance reposant sur des éléments corporels propres à leur identité. En cela la Commission agit conformément à l'article 1

L'informatique doit être au service de chaque citoyen. [...] Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques.
La Commission réaffirme sa vigilance s'agissant de dispositifs concernant des élèves, mineurs de surcroit, et la nécessité d'examiner les traitements qui lui sont soumis au regard des évolutions technologiques et sociologiques qui sont portés à sa connaissance.
En l'espèce, le traitement proposé a pour objet de contrôler l'accès au service de restauration scolaire tant pour les élèves que pour le personnel de l'établissement. Le dispositif de reconnaissance du réseau veineux des doigts de la main permet de débloquer la délivrance d'un plateau pour la cantine ainsi que de tenir la comptabilité et de suivre les passages des utilisateurs.
L'avantage escompté de la mise en œuvre du dispositif proposé est donc de faciliter la gestion de la cantine, en évitant notamment les inconvénients que peut comporter l'utilisation d'un badge (perte, détérioration, oubli...). Le collège ATURRI, récemment ouvert, voit aussi un intérêt de principe à faire usage des nouvelles technologies.
Le traitement de cette donnée biométrique doit être examiné au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l'article 6-2° de la loi du 6 janvier 1978 modifiée qui précise que les données sont collectées pour des finalités déterminées, explicites et légitimes et de l'article 6-3° qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission rappelle qu'elle a déjà autorisé l'utilisation de dispositifs biométriques reposant sur le contour de la main aux fins de contrôler l'accès à la restauration scolaire. A la différence du réseau veineux des doigts de la main, le contour de la main d'une personne est susceptible d'évoluer dans le temps, a fortiori pour une population de mineurs en pleine croissance.
La Commission constate que la reconnaissance du réseau veineux des doigts de la main constitue une technique biométrique plus précise et plus fiable que celle du seul contour de la main. Même si le réseau veineux des doigts de la main ne présente pas, en l'état actuel de la technique, la caractéristique de pouvoir être capturé à l'insu des personnes concernées, toute possibilité de détournement ou de mauvais usage (faille de sécurité, détournement de finalité par le responsable de traitement ou par un tiers...) fait peser un risque sérieux sur l'intégrité et la protection des données biométriques personnelles des utilisateurs qui, de surcroît, s'agissant des élèves, sont des mineurs.
Par ailleurs, la Commission relève que la finalité poursuivie pourrait être atteinte par d'autres moyens comme le badge remis à chaque utilisateur ou la technique biométrique du contour de la main.
Dès lors, elle considère que le recours à un élément propre à l'identité physique des élèves et aussi fiable que le réseau veineux des doigts de la main aux seules fins d'accéder à un service de restauration scolaire n'est pas pertinent, adéquat et non excessif au regard de la finalité poursuivie.
Par conséquent, la Commission
n'autorise pas
Le président