Délibération portant autorisation d'un traitement automatisé de données à caractère personnel présenté par la société TF1 et concernant la mise en oeuvre d'un système de contrôle des accès par biométrie.
Nature: Autre autorisation

   La Commission nationale de l'informatique et des libertés,   Saisie par la société Télévision française 1 (TF1) d'une demande d'autorisation relative à un traitement automatisé de données à caractère personnel concernant la mise en oeuvre d'un système de contrôle des accès par biométrie.   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-8° ;   Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, commissaire du Gouvernement en ses observations,   Faisant application des dispositions de l'article 25-1-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes,
   Autorise la société TF1 à mettre en oeuvre un traitement automatisé de données à caractère personnel ayant pour finalités principales de permettre la gestion du contrôle des accès par badge à ses locaux, ainsi que la gestion du contrôle des accès de certains personnels autorisés à certaines zones sensibles à l'aide d'un dispositif biométrique utilisant les empreintes digitales, et pour finalités accessoires de faciliter la gestion des accès au restaurant d'entreprise et du paiement des consommations.   Les catégories de données à caractère personnel traitées sont relatives à l'identité (nom, prénom, photographie) et à la vie professionnelle (direction et service d'affectation, lieu d'affectation, centre d'imputation, statut, part patronale (pour le calcul des dépenses de restauration), zones d'accès spécifiques, date de mise en service du badge). Sont également enregistrés dans le badge les gabarits des empreintes digitales des index gauche et droit des personnels autorisés (personnels exploitants, de maintenance et de sécurité) à accéder à certaines zones dites "sensibles" (la régie finale, le groupe électrogène, la salle des onduleurs, la salle des transformateurs, la salle autocommutateurs, ainsi que les salles informatiques :  salles serveurs et salles techniques centralisées).   Les destinataires de ces données dans le cadre strict de l'exercice de leurs missions sont les personnels habilités de la direction de la sécurité, de la sûreté et de l'accueil, les personnels du service de production informatique sur autorisation de la direction de la sûreté, pour la maintenance et l'exploitation de l'architecture, ainsi que les personnels de la direction des études informatiques pour le support technique et fonctionnel.   Les mesures de sécurité prises afin d'assurer la protection des données à caractère personnel sont conformes aux recommandations de la Commission, en particulier dans la mesure où les gabarits d'empreintes digitales seront uniquement stockées dans le badge individuellement détenu par chaque personne concernée et où les informations biométriques ne feront en aucun cas l'objet d'un stockage centralisé dans une base de données. Ces données biométriques font en outre l'objet d'un chiffrement.
   La Commission relève en outre qu'en complément de l'algorithme de chiffrement utilisé pour les badges dits "sans contact", les données biométriques font l'objet d'un chiffrement supplémentaire et que les données contenues dans le badge ne peuvent être activées que dans la limite d'une distance de trois centimètres du lecteur.   La durée de conservation des données à caractère personnel traitées est fixée, au plus, jusqu'à la date de départ de la personne concernée de l'entreprise.   Le droit d'accès s'exerce auprès du service des badges de la direction de la sécurité, de la sûreté et de l'accueil.   Le président, Alex TURK.   Vice-Président Délégué, Guy ROSIER.