Délibération n°2008-492 du 11 décembre 2008 refusant la mise en œuvre par l'Association d'aide pour l'accès et le maintien en logement autonome (ADAMAL)  d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux (autorisation n°1247372)
Nature: Autre autorisation

La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment ses articles 1 et 25-I-8° ; 
Vu le Code civil, notamment ses articles 16 et 16-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Sur le rapport de Madame Anne DEBET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par l'Association d'aide pour l'accès et le maintien en logement autonome (ADAMAL) d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
L'Association d'aide pour l'accès et le maintien en logement autonome (ADAMAL) souhaite installer un dispositif biométrique afin de contrôler les accès au foyer de jeunes travailleurs dont elle assure la gestion. Il devrait permettre d’empêcher les intrusions de personnes non-autorisées à pénétrer dans le foyer. Il sécuriserait l’accès aux locaux d’hébergement la nuit, les week-ends et les jours fériés.
Le système présenté par l’ADAMAL repose sur un boîtier qui serait situé à l’entrée du foyer. Le contrôle d’accès s’effectuerait par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l’empreinte digitale enregistré sur le support individuel. Les données relatives à l’identité des personnes (nom, prénom, numéro de chambre et sexe) seraient également traitées. 
L’ADAMAL veut imposer ce dispositif biométrique à l’ensemble des résidents, aucun système alternatif ne leur étant proposé. Elle entend également conserver un historique des entrées pendant un mois.
En application de l’article 1er de la loi du 6 janvier 1978 modifiée en août 2004, « l'informatique doit être au service de chaque citoyen. […]. Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques ».
Dans ce contexte, la Commission relève que les données biométriques sont, à la différence de toute autre donnée personnelle, produites par le corps lui-même et le désignent de façon immuable. A ce titre, en dehors de certains cas précis, leur utilisation devrait reposer sur le consentement des utilisateurs afin de préserver, toutes les fois que cela est possible, la maîtrise de ceux-ci sur ces données particulièrement sensibles.
La Commission observe qu’en l’espèce l’obligation qui serait faite aux résidents de soumettre à un dispositif de contrôle, un élément de leur corps, pour pouvoir accéder librement à leur logement, est de nature à porter atteinte au respect de leur domicile et de leur vie privée, principes consacrés  à l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales.
Il apparaît ainsi qu’un tel dispositif, en ce qu’il impose le recours à de telles données, est susceptible de porter atteinte non seulement aux principes fixés à l’article 1er précité mais également aux principes à valeur constitutionnelle d’intégrité du corps humain et de dignité de la personne, tels que reconnus par les articles 16 et 16-1 du Code civil.
Il résulte de tout ce qui précède que le traitement pris dans son ensemble n'est ni adapté ni proportionné du point de vue de la protection des données personnelles. 
Dès lors, la Commission n’autorise pas, en l’état, l'Association d'aide pour l'accès et le maintien en logement autonome (ADAMAL) – 89 Bd Aristide Briand – 13300 Salon de Provence - à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l’accès aux locaux.
Le Président
Alex TURK