Délibération n° 2012-130 du 2 mai 2012 autorisant le GIE PRICEWATERHOUSE à mettre en œuvre un traitement automatisé de données à caractère personnel reposant sur la reconnaissance combinée du réseau veineux des doigts de la main et de l’empreinte digitale et ayant pour finalité le contrôle de l’accès aux locaux sur les lieux de travail
Nature: Autre autorisation

(Demande d’autorisation n°1565368)
La Commission nationale de l’informatique et des libertés, 
Saisie par le GIE PRICEWATERHOUSE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle de l’accès aux locaux sur les lieux de travail ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, Vice-Président, et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
le GIE PRICEWATERHOUSE
Sur la finalité
Contrôle d’accès aux locaux sur les lieux de travailLe GIE PRICEWATERHOUSE a pour activité de fournir à ses membres, qui exercent leur activité dans la France entière, des prestations de gestion des locaux notamment en ce qui concerne la sécurité des personnes et des systèmes d'information et la protection des activités (sécurité des informations et des données). Une des entités membres du GIE, basée à Montpellier, gère une activité de conseil en système d’information nécessitant une sécurité renforcée en raison de l’installation d’un centre de traitements des données des clients.Seules les personnes habilitées en charge de cette activité utilisent le dispositif biométrique, en plus d’un procédé par badge. Le personnel des autres entités du site n’ont recours qu’au seul dispositif de contrôle d’accès par badge sans biométrie. Il y a lieu de faire application des dispositions prévues à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.La Commission constate que la finalité est déterminée, explicite et légitime.
Sur la description du traitement
Le dispositif est composé d’un seul et même lecteur qui permet de lire le réseau veineux d’un doigt d’une personne ainsi que l’empreinte digitale de ce même doigt de manière quasi simultanée. La reconnaissance biométrique utilisée est fondée sur la comparaison des informations d’empreinte digitale d’une part, et des informations de réseau veineux d’autre part. L’ensemble des opérations d’enrôlement est effectué sur le terminal lui-même et aucune donnée biométrique n’est transférée en dehors du terminal. Un ordinateur peut toutefois y être connecté via un logiciel spécifique pour gérer le terminal. Lors de l’enrôlement, les données biométriques de la personne sont associées à un identifiant sur le terminal. Cet identifiant est transmis par le terminal au dispositif de gestion des accès pour définir les droits d’accès de la personne. Toutefois, aucune donnée biométrique n’est transférée à l’ordinateur.  Le mécanisme d’enrôlement prévoit une vérification des gabarits enregistrés : si le gabarit enregistré ne comprend pas de données du réseau veineux ou d’empreinte digitale utilisables, le processus d’enrôlement doit être recommencé. Il n’est donc pas possible d’enregistrer un gabarit ne comprenant que l’empreinte digitale ou que le réseau veineux. Lors du contrôle d’accès, l’utilisateur appose son doigt sur le lecteur biométrique du boîtier. Une comparaison s’effectue alors entre l’empreinte digitale, le réseau veineux du doigt correspondant et les gabarits enregistrés dans la base de données située dans le boîtier.Le contrôle d’accès biométrique est couplé à un contrôle par badge : le système contrôlant l’accès vérifie que l’identifiant du badge correspond à l’identifiant fourni par le terminal biométrique avant d’accorder l’accès au local.
Sur les données traitées
Les données traitées sont les suivantes :
Le numéro de profil attribué à chaque utilisateur;
les gabarits résultant du traitement des mesures sur l’empreinte digitale et le réseau veineux par un algorithme ;
l’historique des accès aux locaux 
Les données collectées n’appellent pas d’observations particulières.  
Sur les destinataires
Seules auront accès les personnes habilitées du GIE PRICEWATERHOUSE. 
Sur l’information et le droit d’accès 
L’information des personnes concernées est réalisée grâce à des mentions légales sur un formulaire, des réunions d’information avec le personnel ainsi que par voie d’affichage. Les droits d’accès et de rectification s’exerceront auprès du GIE PRICEWATERHOUSE, service chargé de la sécurité des locaux, 63, rue de Villiers, 92200 NEUILLY-SUR-SEINE. 
Sur les mesures de sécurité
La Commission constate que le GIE PRICEWATERHOUSE s’engage à suivre les préconisations du fabricant et relève ainsi que les mesures de sécurité suivantes apportent des garanties satisfaisantes quant à la protection des données personnelles : 
seuls les gabarits du réseau veineux du doigt et de l’empreinte digitale sont enregistrés et non une image ou une photographie du réseau veineux, et ne permettent pas de recalculer l'image correspondante du réseau veineux du doigt ou de l’empreinte digitale ; 
afin de garantir la confidentialité des gabarits enregistrés dans le dispositif, ils sont stockés sous un format propriétaire et chiffrés en utilisant des algorithmes cryptographiques réputés forts et les clés de chiffrement sont spécifiques à chaque terminal ;
les gabarits sont exclusivement enregistrés dans la mémoire du terminal de lecture/comparaison dont le port de communication ne permet pas l’extraction de ces gabarits ; 
l’enrôlement des caractéristiques biométriques des personnes s'effectue exclusivement à partir du terminal de lecture/comparaison ; 
les composants du terminal font l’objet d’une protection physique (technologie BGA, incorporation du système de communication « bus » dans le circuit électronique) ;
le dispositif permet de détecter toute ouverture, arrachement ou tentative d’accès au terminal de lecture/comparaison et de le signaler à l’administrateur du système.
Dans ces conditions, la Commission estime que, compte tenu de la combinaison des deux biométries et des garanties apportées, le stockage des données sur le terminal de lecture, et non sur un serveur, permet de diminuer les risques liés à la centralisation des empreintes digitales.
Sur les autres caractéristiques du traitement
Durée de conservationLes données d’identification et les gabarits seront conservés le temps pendant lequel la personne concernée est habilitée à expérimenter le dispositif. Toutes les données seront supprimées à la fin de l’expérimentation qui durera trois mois. 
Autorise, conformément à la présente délibération, le GIE PRICEWATERHOUSE à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN