Délibération relative à une demande d'avis présentée par le Centre hospitalier de Hyères concernant la mise en oeuvre d'un dispositif de reconnaissance de l'empreinte digitale ayant pour finalité la gestion du temps de travail de ses personnels.
Nature: Avis

   La commission nationale de l'informatique et des libertés,   Saisie par le Centre hospitalier de Hyères d'une demande d'avis relative à la mise en oeuvre d'un traitement automatisé d'informations nominatives ayant pour finalité la gestion du temps de travail et ses personnels (demande d'avis n° 892491) ;   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe sur la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés pris ensemble le décret n° 78-774 du 17 juillet 1978 ;   Vu les délibérations de la CNIL n° 00-057 du 16 novembre 2000, 01-006 du 25 janvier 2001 et 02-033 du 23 avril 2002 ;   Après avoir entendu M. Hubert Bouchet, Commissaire, en son rapport et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement, en ses observations ;
   Formule les observations suivantes :    Le Centre hospitalier de Hyères envisage de mettre en oeuvre un traitement automatisé d'informations nominatives pour la gestion du temps de travail de ses personnels (six cents agents). Ce traitement d'horodatage des entrées et sorties de l'établissement s'appuierait sur un dispositif de reconnaissace de l'empreinte digitale.   L'utilisation d'une technique biométrique a été choisie afin de renforcer l'identification des agents hospitaliers au moment des pointages et d'éviter les contraintes liées à la gestion d'un badge magnétique. Les éléments caractéristiques de chaque empreinte digitale (gabarits) devraient être enregistrés dans le lecteur biométrique.   D'une manière générale, le recours à la biométrie associée aux nouvelles technologies peut être de nature à apporter une réponse adaptée à certaines situations dans lesquelles l'idenfication des personnes doit être parfaitement assurée.   Cependant, le surcroît de sécurité et les commodités d'usage qui sont attendues du recours aux techniques biométriques ont, le plus souvent, pour contrepartie l'enregistrement dans une base de données informatique des éléments physiques d'identification des personnes. Or, les empreintes digitales font partie des données biométriques qui laissent des traces pouvant être exploitées à des fins d'identification des personnes à partir des objets les plus divers que l'on a pu toucher ou avoir en main. Aussi la constitution d'une base de données d'empreintes digitales est-elle susceptible d'être utilisée à des fins étrangères à la finalité recherchée par sa création.   C'est au regard de l'ensemble de ces considérations qu'il y a lieu pour la Commission d'apprécier, dans chaque cas, si le recours à des techniques de reconnaissance d'éléments biométriques et la constitution d'une base de données sont, compte tenu des caractéristiques de l'élément d'identification physique retenu et des usages possibles des bases de données ainsi constituées, adaptés et prortionnés à la finalité assignée au dispositif.   La Commission considère ainsi que seul un impératif particulier de sécurité est susceptible de justifier la centralisation de données biométriques.   Dans le cas d'espèce, le gabarit biométrique serait enregistré non pas sur un support individuel (tel qu'une carte à puce) détenu par la personne concernée, mais dans le lecteur d'empreintes digitales qui, comme une base de données centralisée, n'est pas de nature à garantir la personne concernée contre toute utilisation détournée de ses données biométriques.   La Commission considère que l'objectif d'une meilleure gestion des temps de travail, s'il est légitime, ne paraît pas de nature à justifier l'enregistrement dans un lecteur biométrique des empreintes digitales des personnels du Centre hospitalier. Aussi le traitement pris dans son ensemble n'apparaît-il ni adapté ni proportionné à l'objectif poursuivi.   Emet un avis défavorable au projet présenté par le Centre hospitalier de Hyères.   Le Président, Alex TURK.