Délibération n°2010-333 du 22 juillet 2010 autorisant la mise en œuvre par le Commissariat à l’énergie atomique d’un traitement de données à caractère personnel ayant pour finalité l’évaluation du niveau de sécurité des systèmes biométriques existants
Nature: Autre autorisation

(demande d’autorisation 1398588)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la demande d’autorisation présentée par le Commissariat à l’énergie atomique (CEA) concernant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation du niveau de sécurité des systèmes biométriques existants ; 
Après avoir entendu Madame Marie-Hélène MITJAVILE, commissaire en son rapport et Madame Elisabeth ROLIN, commissaire du Gouvernement.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par le Commissariat à l’énergie atomique (CEA) d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation du niveau de sécurité des systèmes biométriques existants.
Il y a lieu de faire application des dispositions prévues à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Le projet a pour finalité l’évaluation du niveau de sécurité des systèmes biométriques existants. L’évaluation portera sur des algorithmes de reconnaissance des empreintes digitales. La mise en œuvre du dispositif reposera sur la collecte de données par le CEA de personnes volontaires, travaillant ou non au sein du CEA. Le consentement des personnes sera recueilli par l’intermédiaire d’un formulaire les informant de leurs droits tels que prévus à l’article 32 de la loi du 6 janvier 1978 modifiée.
La Commission prend acte qu’aucune donnée biométriques ne sera transférée à des tiers.
La Commission relève également que les données collectées seront conservées pendant cinq années à l’issue desquelles le CEA s’engage à demander, le cas échéant, une prorogation.
De même, elle prend acte que le formulaire utilisé pour la collecte des données est accompagné d’un formulaire de consentement que les personnes concernées doivent signer et dans le cadre duquel elles sont informées de leurs droits tels que mentionnés à l’article 32 de la loi du 6 janvier 1978 modifiée.
Compte tenu de ce qui précède, dans la mesure où seules les données des personnes volontaires seront traitées et ce dans le seul but d’évaluer le niveau de sécurité de systèmes biométriques existants, les traitements soumis à la Commission et en particulier, le recours à la constitution de bases de données biométriques ne comportent pas en l’espèce de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d’accès, de rectification et de suppression s’exerceront auprès du Commissariat à l’Energie Atomique, DRT/LETI/DCIS/SASTI/CESTI, 17 rue des Martyrs, 38054 Grenoble Cedex 09.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom) ;
l’image des empreintes digitales.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée:
pour les données relatives à l’identité des personnes concernées : l’administrateur de l’application ;
pour les données biométriques : l’ingénieur évaluateur du laboratoire CESTI.
Plusieurs mesures de sécurité seront mises en œuvre. L’accès aux locaux sera notamment protégé par gardiennage et par badges. Les gabarits biométriques seront chiffrés et hébergés sur un réseau interne sécurisé, non accessible de l’extérieur. Leur accès sera protégé par mot de passe et limité à l’ingénieur évaluateur du laboratoire CESTI. La télé-maintenance des logiciels de l’environnement de production n’est pas autorisée. Les supports contenant les sauvegardes des gabarits biométriques chiffrés et les formulaires de collecte seront stockés dans des armoires fortes ignifugées et distinctes.
Dans ces conditions, la Commission autorise le Commissariat à l’Energie Atomique à mettre en œuvre le traitement de données à caractère personnel présenté. 
Le président
Alex TURK