Délibération n°2012-82 du 15 mars 2012 autorisant la mise en œuvre par le COMITE FRANCECLAT d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès à un poste informatique  (Demande d’autorisation n°1559350)
Nature: Autre autorisation

 (Demande d’autorisation n°1559350)
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la demande d’autorisation présentée par le COMITE FRANCECLAT d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès à un poste informatique ;
Sur la proposition de M. Emmanuel de GIVRY, Vice-Président, et après avoir entendu les observations de Mme Elisabeth ROLIN, Commissaire du gouvernement.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par le COMITE FRANCECLAT d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès à un poste informatique.
Il y a lieu de faire application des dispositions prévues à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Le COMITE FRANCECLAT est le Comité Professionnel de développement de l’horlogerie, de la bijouterie, de la joaillerie et de l’orfèvrerie. Il a notamment pour mission d'élaborer et de mettre en œuvre des programmes d'action en vue de l'accroissement de la productivité, de l'adaptation des structures à l’évolution de la profession, de l'amélioration des conditions de production et de commercialisation, ainsi que d'apporter son concours aux entreprises intéressées pour leur faciliter la réalisation des programmes retenus.
Le COMITE FRANCECLAT souhaite sécuriser l’accès à un poste informatique permettant de créer des fichiers sources qui seront ultérieurement utilisés par les professionnels pour activer un laser générant des « poinçons de garantie dématérialisés ». Ces poinçons qui sont marqués au laser sur les ouvrages tels que les bijoux permettent d’attester de leur authenticité. 
La Commission observe qu’en 2008, le COMITE FRANCECLAT, anciennement désigné CPDHBJO, a signé une convention avec la Direction Générale des Douanes et Droits Indirects afin d’expérimenter le marquage au laser, conformément aux dispositions de l’article 275 bis F de l’annexe II du code général des impôts. 
Le COMITE FRANCECLAT s’est ainsi engagé à concevoir les fichiers de dessins utilisés pour la gravure au laser et à mettre en place un système informatique sécurisé afin de garantir l’inviolabilité des fichiers sources. 
Un décret en date du 21 février 2012 a consacré le fait que « la garantie du titre d’un ouvrage est attestée par un poinçon appliqué sur cet ouvrage soit par l’apposition d’un poinçon de garantie métallique fabriqué et commercialisé par la Monnaie de Paris, soit par le marquage au laser d’un poinçon, sur autorisation de la direction générale des douanes et des droits indirects » et que « l’autorisation de marquage au laser est accordée après vérification du protocole de sécurité informatique par un organisme agréé par le ministre chargé du budget et par le ministre chargé de l’industrie. »
Le dispositif biométrique a pour objet de renforcer l’authentification des personnels qui ont accès à la création des fichiers sources pour le compte du COMITE FRANCECLAT ainsi que de prévenir tout risque d’usurpation d’identité et de tracer les opérations effectuées par ces personnels.
La Commission prend acte que le poste informatique permettant la création de ces fichiers sources est dédié uniquement à leur production, qu’il est complètement autonome et non relié au réseau informatique ou à internet et que le COMITE FRANCECLAT établit et tient à jour la liste des personnes habilités à la production des fichiers sources. 
Le poste informatique comportera un lecteur de gabarit de réseau veineux des doigts de la main. La procédure d’enrôlement du réseau veineux des doigts de la main s’effectuera en présence d’un administrateur de la sécurité des systèmes d’information. Au moment de l’accès aux postes informatiques concernés, la vérification s’effectuera entre le doigt apposé par l’employé sur le lecteur et le gabarit de l’empreinte du réseau veineux du même doigt enregistré sur le serveur du COMITE FRANCECLAT.
La Commission observe que le recours au dispositif biométrique est limité à une seule utilisation qui dépasse l’intérêt strict de l’organisme et qui justifie de garantir que les personnes qui accèdent à l’application sont bien celles qui y sont habilitées. 
Compte tenu de ce qui précède, et dans la mesure où le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace non susceptible d’être capturée à l’insu des personnes, la Commission considère que la mise en œuvre d’un traitement reposant sur sa reconnaissance apparaît adaptée et proportionnée à la finalité assignée au dispositif au regard de la protection des données personnelles.
Les catégories de données à caractère personnel enregistrées seront :
le nom et le prénom des utilisateurs ;
les gabarits résultant du traitement des mesures sur le réseau veineux par un algorithme ;
l’historique des accès aux postes informatiques.
Les données d’identification et les gabarits biométriques sont conservés le temps pendant lequel la personne concernée est habilitée à accéder aux postes informatiques.  
L’historique des accès aux postes informatiques est conservé pendant six mois maximum. 
Le destinataire des informations sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, l’administrateur de la sécurité des systèmes d’information. 
Le droit d’accès et de rectification s’exercera directement auprès du COMITE FRANCECLAT, 22 avenue Franklin Roosevelt, 75008 PARIS.
Dans ces conditions, la Commission autorise le COMITE FRANCECLAT à mettre en œuvre d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès à un poste informatique.
La Présidente
Isabelle FALQUE-PIERROTIN