Délibération portant avis sur un projet d'arrêté présenté par le ministre de l'éducation nationale concernant un traitement automatisé d'informations nominatives ayant pour finalité le contrôle d'accès par la reconnaissance des empreintes digitales de certains personnels de l'éducation nationale, pour certains locaux de la cité académique de Lille.
Nature: Avis

   La Commission nationale de l'informatique et des libertés ;   Saisie pour avis du projet d'arrêté présenté par le recteur de l'académie de Lille ;   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la Directive n° 95/46/ CE du Parlement Européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;   Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 susvisée ;   Après avoir entendu Monsieur Hubert Bouchet, Commissaire, en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
   FORMULE LES OBSERVATIONS SUIVANTES :   Le Ministre de l'Education nationale a saisi la Commission d'une demande d'avis concernant la mise en oeuvre d'un traitement automatisé d'informations nominatives destiné à contrôler les conditions d'accès des personnels de l'Education nationale aux bâtiments, au moyen d'un dispositif biométrique reposant sur la reconnaissance des empreintes digitales des personnes concernées.   La finalité du traitement est présentée par le déclarant comme étant destinée à assurer la sécurité des locaux tout en facilitant l'accès des personnels ainsi dispensés d'avoir à présenter une carte ou un badge d'accès. Il est précisé que les dates et heures de passage des personnels habilités ne seraient pas enregistrées, le système n'étant pas destiné à vérifier les horaires de présence.   Le recours à la biométrie associée aux nouvelles technologies peut être de nature à apporter une réponse adaptée à certaines situations dans lesquelles l'authentification ou l'identification des personnes doit être parfaitement assurée. Cependant le surcroît de sécurité et les commodités d'usage qui sont attendues du recours aux techniques biométriques ont, le plus souvent, pour contrepartie l'enregistrement dans une base de données informatique des éléments physique d'identification des personnes. Les empreintes digitales font de surcroît partie des données biométriques qui laissent des traces pouvant être exploitées à des fins d'identification des personnes à partir des objets les plus divers que l'on a pu toucher ou avoir en main et dès lors, la constitution d'une base de données d'empreintes digitales est susceptible d'être utilisée à des fins étrangères à la finalité recherchée par sa création.   C'est au regard de l'ensemble de ces considérations qu'il y a lieu pour la Commission d'apprécier, dans chaque cas, si le recours à des techniques de reconnaissance d'éléments biométriques et la constitution d'une base de données à caractère personnel sont, compte tenu des caractéristiques de l'élément d'identification physique retenu et des usages possibles des bases de données ainsi constituées, adaptés et proportionnés à la finalité assignée au dispositif.   Dans le cas d'espèce, le recours à la reconnaissance des empreintes digitales des personnels de la Cité académique est principalement destiné à assurer la fluidité de l'entrée des personnels, les visiteurs extérieurs n'étant pas soumis à un tel système, et à contrôler que seuls les personnels habilités ont accès à tel ou tel lieu de la Cité académique.
   Dans sa généralité, une telle finalité ne paraît pas justifier la constitution d'une base de données d'empreintes digitales de l'ensemble du personnel de la Cité académique ni le recours à un procédé de reconnaissance par éléments d'identification biométrique pour contrôler l'habilitation des personnels à avoir ou non accès à l'ensemble des locaux. En revanche, certains impératifs spécifiques de sécurité, tels que la confidentialité des examens et concours, sont de nature à justifier le recours à un tel système dès lors qu'il serait limité à certains locaux déterminés et adapté à la nécessité d'authentifier ceux des membres du personnel habilités à y accéder.   Il résulte du dossier de demande d'avis que tel est le cas pour les locaux suivants : l'imprimerie (sujets d'examen et concours), les salles fortes, les coffres et les salles d'archives (dossiers des personnels, ...).   Ainsi limité à ces locaux et aux seuls membres du personnel habilités à y accéder, le système de reconnaissance des empreintes digitales et la base de données subséquente doivent être entourés de toutes mesures permettant d'assurer la confidentialité des données.   Sur ce point, la Commission relève que la base de données serait composée de 3 modules distincts : le module "personne" qui comporterait les noms, prénoms et identifiants permettant d'accéder aux données d'un autre module ; le module "droit d'accès" qui contiendrait les profils d'habilitation des personnes. Le module "empreintes" qui comporterait les gabarits des empreintes digitales et ferait l'objet d'un cryptage spécifique. Ce module comporterait l'identifiant interne permettant de faire le lien entre le module droits d'accès et les gabarits des empreintes.   Le déclarant fait valoir en outre, d'une part que le dispositif de sécurité mis en place ne permettrait pas de procéder à l'impression des gabarits enregistrés, d'autre part l'administrateur de la base de la Cité académique ne disposerait pas des clés de cryptage et de décryptage qui seraient gardées par le concepteur du produit.   Ces mesures satisfont, dans le cas d'espèce, aux exigences de confidentialité et de sécurité qu'appelle la constitution d'une base de données de cette nature.   AU BENEFICE DE CES OBSERVATIONS, la Commission émet un avis favorable au projet d'arrêté présenté par le Ministre de l'Education nationale sous réserve que l'article premier soit ainsi rédigé :   "Il est créé un traitement automatisé d'informations nominatives ayant pour objet le contrôle d'accès, par la reconnaissance des empreintes digitales de certains personnels spécialement habilités, pour les locaux exigeant une confidentialité totale qui sont l'imprimerie spécifique (sujets d'examen et concours), les salles fortes, les coffres et les salles d'archives (dossiers des personnels, ...)".   Le Président, Michel GENTOT.