Délibération n° 2017-320 du 7 décembre 2017 autorisant la société IDF Fitness à mettre en œuvre un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales stockées sur support individuel et ayant pour finalité le contrôle de l'accès à un club de sport(Demande d’autorisation n° 2009398
Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
Saisie par la société IDF Fitness d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales stockées sur support individuel et ayant pour finalité le contrôle de l'accès à un club de sport ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement,
La Commission nationale de l'informatique des libertés a été saisie par la SARL IDF Fitness d'une demande d’autorisation portant sur un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales stockées sur un support individuel et ayant pour finalité le contrôle de l'accès à un club de sport.
La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour assurer le contrôle de l’identité des personnes. Il relève, à ce titre, du 8° du I de l’article 25 de la loi du 6 janvier 1978 modifiée, et doit dès lors être autorisé par la CNIL.
Sur la finalité du traitement :
La SARL IDF Fitness gère un club de sport comptant environ 5000 adhérents. Le dispositif vise à garantir que seules les personnes ayant un abonnement en cours de validité puissent accéder à la salle de sport.
Il sera mis en place par le biais de deux bornes situées à l’entrée de l’établissement. Ces boîtiers seront reliés à un serveur dédié au contrôle d'accès et dans lequel seront uniquement enregistrées les données nécessaires à l'identification des personnes et la vérification de la validité de l’abonnement (nom, prénom, la date de début et de fin de validité de l'abonnement).
Le gabarit de l'empreinte digitale des personnes concernées sera exclusivement stocké sur une carte individuelle (de type badge). Le contrôle d'accès s'effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l'empreinte digitale enregistré sur le badge.
La finalité du traitement envisagé est double.
Le traitement biométrique de reconnaissance des empreintes digitales a pour objet de limiter les risques de fraudes en permettant de vérifier l’identité du titulaire de l’abonnement. Il vise à garantir que seules les personnes ayant un abonnement en cours de validité puissent accéder à la salle de sport de manière fluide et ergonomique. Celles qui ne souhaiteraient pas en bénéficier pourront continuer d’utiliser le contrôle d’accès classique qui consiste en l’utilisation d’un badge d’accès associée à un contrôle effectué par l’agent d’accueil présent pendant les horaires d’ouverture de l’établissement (7 jours sur 7 de 8h30 à 22 heures).
La Commission considère que la finalité du traitement est déterminée, explicite et légitime.
Sur le fondement juridique du traitement :
La Commission rappelle que conformément aux dispositions de l’article 7 de la loi du 6 janvier 1978 modifiée, le consentement ne peut servir de base légale valable au traitement que s’il est libre, spécifique et informé.
Dans le cas présent, deux modes d’authentification seront proposés aux adhérents :
soit de consentir à l’utilisation du dispositif de contrôle d’accès biométrique,
soit de ne pas y consentir ou de retirer leur consentement à tout moment en optant pour le contrôle d’accès classique (badge et contrôle par l’agent d’accueil de l’établissement).
La Commission rappelle que le dispositif alternatif à la biométrie doit être présenté aux personnes concernées avant qu’elles n’expriment leur choix et que l’utilisation de celui-ci doit être maintenue, sans contrainte additionnelle, en tant qu’option pour accéder à la salle de sport.
Sous ces réserves, le traitement soumis à la présente autorisation repose sur le consentement préalable des personnes concernées, conformément à l’article 7 de la loi du 6 janvier 1978.
Sur la nature des données traitées :
Le traitement envisagé prévoit la collecte des données suivantes :
données d’identité de l’adhérent ;
données relatives à l’abonnement de l’adhérent ;
Celles-ci seront enregistrées sur le serveur dédié au contrôle d’accès et conservées le temps de validité de l’abonnement de l’adhérent ;
gabarit biométrique chiffré qui est enregistré et conservé pendant la durée de l’abonnement du client, ou jusqu’à demande de suppression, sur le support individuel remis à l’adhérent ayant souhaité utiliser ce mode d’authentification.
La Commission considère que la collecte de ces données est proportionnée à la finalité poursuivie.
Sur l’information et les droits des personnes :
Chaque nouvel inscrit ou toute personne concernée se verra remettre une note d’information relative au dispositif biométrique précisant notamment la finalité du traitement, les modalités de sa mise en œuvre, la durée de conservation du gabarit biométrique sur le support, ainsi que les modalités d’exercice des droits et particulièrement celles relatives au retrait du consentement. Ces mentions seront également portées sur un affichage dédié, ainsi que sur le formulaire d’inscription au club.
Les droits d'accès et de rectification s'exerceront auprès du directeur de l’établissement.
Sur la sécurité :
La Commission rappelle que le responsable du traitement est tenu de prendre toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.
Dans cet objectif, le responsable de traitement doit s’assurer a minima que les données biométriques soient chiffrées à l'aide d'un algorithme cryptographique et d'une gestion des clés conformes à l'état de l'art, ainsi qu’interdire tout accès externe à la donnée biométrique (match-on-card ou module de sécurité physique/logique type HSM).
La Commission considère que le projet de traitement laisse aux personnes concernées la maîtrise de leurs données personnelles dans la mesure où, d'une part, seules les données des personnes y ayant expressément consenties seront traitées et, d'autre part, l'empreinte digitale est uniquement stockée dans un support individuel exclusivement détenu par la personne concernée dont elle décide librement de l'utilisation. 
Le dispositif soumis par la société IDF Fitness apparaît donc ne pas comporter de risques importants pour la protection des libertés et des droits fondamentaux de la personne.
Dans ces conditions, la Commission autorise, conformément à la présente délibération, la société IDF Fitness à mettre en œuvre le traitement de données à caractère personnel présenté.
La Présidente
    Isabelle FALQUE-PIERROTIN