Délibération n°2008-358 du 2 octobre 2008 autorisant la mise en œuvre par l’Aviation Club de France  d’un traitement de données à caractère personnel reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un support individuel détenu par la personne concernée et ayant pour finalité le contrôle de l’accès aux salles de jeux (autorisation n°1308415)
Nature: Autre autorisation

(demande d’autorisation)
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ; 
Vu le décret n°59-1489 du 22 décembre 1959 portant réglementation des jeux dans les casinos des stations balnéaires, thermales et climatiques ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Vu l’arrêté du 23 décembre 1959 relatif à la réglementation des jeux dans les casinos ;
Vu l’arrêté du 19 mai 1993 portant création d’un fichier automatisé des casinos et des exclus des salles de jeux ;
Vu la délibération n°93-042 de la Commission nationale de l’informatique et des libertés du 11 mai 1993 relative à un arrêté du ministère de l’intérieur autorisant la création d’un fichier automatisé des casinos et des exclus des salles de jeux ;
Vu le protocole « sur la promotion du jeu responsable » signé par le ministre de l’intérieur et de l’aménagement du territoire, le ministre délégué au budget et à la réforme de l’Etat, le président de la commission supérieure des jeux et les présidents des syndicats représentant le secteur des casinos ;
Sur le rapport de M. M. François GIQUEL, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par l’Aviation Club de France d’un traitement de données à caractère personnel reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un support individuel détenu par la personne concernée et ayant pour finalité le contrôle de l’accès aux salles de jeux.
Formule les observations suivantes :
La demande d’autorisation de l’Aviation Club de France s’inscrit dans le cadre du « protocole sur la promotion du jeu responsable » signé, le 5 janvier 2006, par le ministre de l’intérieur et de l’aménagement du territoire, le ministre délégué au budget et à la réforme de l’Etat, le président de la commission supérieure des jeux et les présidents de deux syndicats représentants le secteur des casinos. 
Ce protocole prévoit notamment, depuis le 1er novembre 2006, la mise en œuvre d’un contrôle généralisé des personnes désirant accéder aux salles de jeux, afin de s’assurer qu’elles ne sont pas mineures ou qu’elles ne figurent pas dans le fichier national des interdits de jeux. Ce fichier comprend les données relatives aux personnes ayant volontairement fait une demande auprès du ministère de l’intérieur pour être exclues des salles de jeux ainsi que celles ayant fait l’objet d’une exclusion administrative. Le respect de cette obligation implique, pour chaque personne souhaitant entrer dans un casino ou une salle de jeux, un contrôle de la pièce d’identité suivi d’une vérification dans le fichier national des interdits de jeux. Le protocole précise qu’aucune collecte de données à caractère personnel n’est réalisée à cette occasion.
Estimant que la mise en œuvre d’une telle procédure pourrait avoir pour conséquence de créer des files d’attente à l’entrée de son établissement et accroîtrait le risque de laisser entrer par erreur une personne non autorisée, l’Aviation Club de France souhaite proposer à sa clientèle une carte sécurisée par la reconnaissance des empreintes digitales du porteur et qui permettrait à celui-ci d’accéder plus rapidement à l’enceinte du club, tout en réduisant le flux des personnes faisant l’objet d’une procédure de contrôle « visuel » par ses employés.
Le dispositif présenté repose sur l’utilisation d’une carte à puce sans contact qui sera exclusivement remise aux personnes ayant volontairement accepté d’adhérer au programme proposé. Il leur sera alors demandé de présenter un document d’identité sur la base duquel le personnel habilité du casino interrogera le fichier national des casinos et des personnes exclues des salles de jeu, afin de ne pas délivrer une carte à une personne exclue.
Après avoir consulté le fichier précité, le personnel habilité de l’Aviation Club de France procédera à la collecte et à la saisie, au sein d’un fichier de clientèle, du nom et du prénom de la personne, de sa date et de son lieu de naissance ainsi que le type et le numéro de sa pièce d’identité, dans la mesure où ces informations sont exigées par le ministère de l’intérieur dans le cadre de la réglementation applicable aux casinos.
A ce stade, la Commission souligne que la gestion du fichier de clientèle et la consultation du fichier des personnes exclues, fichier sur lequel elle a émis un avis favorable dans sa délibération n°93-042 susvisée, constituent des traitements de données à caractère personnel nécessitant d’accomplir les formalités préalables prévues par la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004. 
A la suite de l'inscription dans le fichier de clientèle, une carte à puce sera éditée et il sera alors demandé à la personne concernée d’apposer son doigt sur un lecteur afin d’enregistrer le gabarit de l’empreinte digitale d’un seul de ses doigts au sein de la puce. Ce procédé s’effectuera en temps réel. L’ordinateur servant à l’enrôlement biométrique ne sera connecté à aucun réseau. 
En outre, seul le gabarit de l’empreinte digitale, clé biométrique résultat du traitement des mesures par un algorithme, sera enregistré sur le support individuel et non une image ou une photographie de l’empreinte digitale. Le gabarit fera également l’objet d’un chiffrement. 
Par la suite, lorsque les personnes souhaiteront accéder au casino, elles se présenteront à des bornes d’accès automatique. Le contrôle d’accès s’effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l’empreinte digitale enregistré sur le badge. Aucun historique des entrées et des sorties ne sera réalisé. En outre, une interrogation automatisée du fichier des personnes exclues de jeux sera effectuée lors du passage des personnes ayant une carte de fidélité afin de vérifier qu’elles n’ont pas fait l’objet d’une inscription dans ce fichier depuis la date à laquelle leur carte leur a été délivrée.
Dans l’hypothèse où la personne figurerait sur ledit fichier, il sera procédé au retrait et à la destruction de sa carte ainsi qu’à la suppression des données la concernant dans le fichier de gestion des cartes. Dans le cas contraire, les données seront conservées tant que la personne concernée souhaite adhérer au programme de fidélisation dans le cadre duquel elle dispose d’un support individuel lui permettant d’utiliser un dispositif de contrôle d’accès automatisé à l’Aviation Club de France.
En outre, la Commission prend acte que les personnes demandant à bénéficier d’une carte seront informées de leurs droits, dans les conditions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée, par la diffusion à chacune d’entre elles d'une note d’information précisant la possibilité qui leur est reconnue de s’opposer à tout moment au traitement des données les concernant et d’utiliser une autre possibilité d’accès. Les personnes concernées seront également informées que le responsable de traitement interroge, sur la base des informations qu’elles auront communiquées, le fichier national des personnes exclues des salles de jeux.
Compte tenu des éléments précités et dans la mesure où d’une part, seules les données à caractère personnel des personnes volontaires seront traitées, et d’autre part, le gabarit de l’empreinte digitale est uniquement stocké dans un support individuel exclusivement détenu par la personne concernée  et dont elle décide librement de l’utilisation, la Commission considère que le dispositif soumis par l’Aviation Club de France ne comporte pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d’accès et de rectification s’exerceront auprès du directeur responsable de l’Aviation Club de France ou des membres de son comité de direction. S’agissant des personnes figurant dans le fichier national des personnes exclues des salles de jeux, le droit d’accès s’exerce auprès de la direction des libertés publiques et des affaires juridiques du ministère de l’intérieur.
Les catégories de données à caractère personnel enregistrées seront le gabarit de l’empreinte digitale d’un doigt, le nom, le prénom, la date et le lieu de naissance ainsi que le type et le numéro de la pièce d’identité de la personne faisant une demande de carte de fidélité.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le directeur responsable de l’Aviation Club de France, les membres du comité de direction du casino et les personnels en charge des contrôles à l’entrée à l’Aviation Club de France.
Dans ces conditions, la Commission autorise l’Aviation Club de France, à mettre en œuvre un traitement de données à caractère personnel présenté.
Le président
Alex Türk