La Commission nationale de l'informatique et des libertés, 
 Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
 Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25 (8°) ;
 Vu le code du travail, et notamment ses articles L. 120-2, L. 121-8, L. 143-14, L. 212-1 et suivants, L. 236-3, L. 412-17, L. 424-3, L. 432-2, L. 432-2-1, L. 434-1, L. 611-9, L. 620-2 ;
 Vu la loi n° 83-634 du 13 juillet 1983 portant droits et obligations des fonctionnaires ;
 Vu la loi n° 84-16 du 11 janvier 1984 portant dispositions statutaires relatives à la fonction publique de l'Etat ;
 Vu la loi n° 84-53 du 16 janvier 1984 portant dispositions statutaires relatives à la fonction publique territoriale ;
 Vu la loi n° 86-33 du 9 janvier 1986 portant dispositions statutaires relatives à la fonction publique hospitalière ;
 Vu la loi n° 98-461 du 13 juin 1998 d'orientation et d'incitation relative à la réduction du temps de travail ;
 Vu le décret n° 82-452 du 28 mai 1982 relatif aux comités techniques paritaires ;
 Vu le décret n° 2000-815 du 25 août 2000 relatif à l'aménagement et à la réduction du temps de travail dans la fonction publique de l'Etat ;
 Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
 Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,
 Formule les observations suivantes :
 La gestion des horaires et des contrôles d'accès aux locaux ainsi qu'au restaurant d'entreprise ou administratif et aux prestations associées peut s'effectuer grâce à la mise en oeuvre de traitements automatisés de données à caractère personnel reposant sur l'utilisation d'un dispositif de reconnaissance du contour de la main. Dès lors, de tels dispositifs relèvent de l'article 25 (8°) de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
 Il y a lieu, en l'état des connaissances sur la technologie utilisée, de faire application des dispositions de l'article 25-II aux termes duquel les traitements qui répondent à une même finalité portent sur des catégories de données identiques et les mêmes destinataires ou catégories de destinataires peuvent être autorisés par une décision unique de la commission.
 Le responsable de traitement mettant en oeuvre un dispositif reposant sur la reconnaissance du contour de la main dans le respect des dispositions de cette décision unique adresse à la commission un engagement de conformité de celui-ci aux caractéristiques de la présente autorisation ;
 Décide que les responsables de traitement qui adressent à la commission une déclaration comportant un engagement de conformité pour leurs traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en oeuvre ces traitements.
Le président,
A. Türk