cour d'appel de Paris
Pôle 5 - Chambre 11,  décision 16-22.809 du 06/12/2017,  partie 4



 Il est fait grief à l'arrêt attaqué d'AVOIR confirmé le jugement ayant prononcé la nullité des contrats conclus entre les sociétés Easydentic renommée Safetic et Hamers et d'AVOIR, en conséquence, prononcé la caducité des contrats de location financière liant les sociétés Parfip France et Hamers,
 
 AUX MOTIFS PROPRES QUE la société Hamers expose que les contrats conclus avec la société Easydentic sont nuls pour défaut d'objet, que la mise à disposition des solutions destinées à assurer la sécurité des biens et des personnes, notamment des lecteurs biométriques, permettant le contrôle des points d'entrée de bâtiments ou d'enceintes privées grâce à la reconnaissance d'empreintes digitales, constituant l'objet des contrats, était soumise à un régime d'autorisation préalable de la CNIL, que pour obtenir cette autorisation, il était nécessaire que le dispositif mis en oeuvre par la société Hamers réponde à un fort impératif de sécurité et à une finalité bien précise, par des moyens proportionnés à l'objectif poursuivis et sécurisés, que cette demande ayant été rejetée par CNIL, l'un des contrats cédé a eu un objet illicite ; que la société Parfip fait valoir que le matériel ne relevait pas obligatoirement de l'autorisation préalable, qu'au contraire, il relevait d'un régime d'autorisation unique obligeant uniquement la société Hamers à effectuer une déclaration de conformité, que le dispositif entrait dans le champ d'application de l'autorisation unique nº AU008 du 27 avril 2006 délivrée par la CNIL dans la mesure où il ne pouvait pas uniquement être utilisé en ayant recours à une base de données centralisées pour la reconnaissance biométrique mais en utilisant également un système de carte à puce de de lecture de badge ; qu'en réponse à une demande d'autorisation d'utilisation des appareils faite par la société Hamers, la CNIL a, par courrier du 19 décembre 2012, demandé un complément d'informations propres à établir que le dispositif employé par la société Hamers remplissait bien les exigences de la loi informatique et libertés ; que la CNIL a fourni plusieurs éléments permettant d'évaluer les chances de la demande d'autorisation d'être accueillie, en précisant : « La Commission favorise l'utilisation de techniques biométriques « sans trace », telles que la reconnaissance tridimensionnelle du contour de la main [
 ] elle a également pu autoriser la mise en oeuvre de dispositifs de contrôle d'accès qui n'étaient pas justifiées par un fort impératif de sécurité, dès lors qu'ils reposaient sur l'enregistrement du gabarit de l'entreprise digitale dans un support individuel exclusivement détenu par la personne concernée, tel qu'une carte à puce ou un badge. C'est la raison pour laquelle la Commission considère que le recours à un dispositif reposant sur la reconnaissance des empreintes digitales, dès lors que ces dernières sont enregistrées dans une base de données centralisée ou sur le lecteur, ne saurait être justifié qu'en présence d'un fort impératif de sécurité. À toutes fins utiles et compte tenu de la finalité de votre traitement et du dispositif qui semble être utilisé, je vous informe que la CNIL a adopté une autorisation unique qui permet de simplifier les formalités et, d'une manière générale, a vocation à être utilisée par les déclarants comme cadre de référence (délibération du 27 avril 2006 - AU - 008). Si vous décidez d'opter pour un traitement recourant au support individuel, et non à un enregistrement en base centralisée, il vous suffit de nous en informer pour que votre dossier soit transformée en engagement de conformité à l'AU-008. Aucune formalité ne sera nécessaire. En revanche, dans l'hypothèse où, malgré les recommandations de la Commission, vous souhaiteriez toujours utiliser un dispositif nécessitant d'enregistrer des empreintes digitales dans une base de données centralisée, il vous appartient de justifier que votre demande se conforme aux conditions suivantes : La finalité du traitement doit être le contrôle de l'accès d'un nombre limité de personnes à une zone bien déterminée représentant ou contenant un enjeu majeur du point de vue de l'intérêt général, c'est-à-à dire correspondant à un fort impératif de sécurité. L'utilisation de ce dispositif doit être proportionnelle à la finalité prédéfinie, c'est-à-dire que le système est bien adapté à cette finalité ; Le système doit répondre à des exigences de fiabilité et de sécurité » ; que le matériel fourni par la société Easydentic ne permettait pas une utilisation avec enregistrement de l'empreinte digitale sur un support individuel mais au contraire un relevé de l'empreinte digitale sur un dispositif relié à une base de données centralisées permettant de reconnaître la personne souhaitant accéder au bâtiment afin de lui donner ou non accès à ce dernier, qu'en aucun cas ce traitement poursuivait une finalité d'intérêt général mais seulement un intérêt purement privé tenant au contrôle des entrées dans un bâtiment privé au sein duquel était exercé une activité commerciale, qu'en outre, la technologie utilisée n'était pas nécessaire à cette finalité pouvant être assurée par des moyens moins intrusifs et plus facilement maîtrisables, ainsi des dispositifs individuels visés au sein du courrier de réponse de la CNIL ; que, dans ces conditions, la demande d'autorisation de la société Hamers était vouée à l'échec, de sorte que le contrat de référence (......) portant sur la fourniture d'un lecteur d'empreintes digitales OYTOUCH s'est trouvé dépourvu de cause ;