Délibération n°2009-221 du 7 mai 2009 autorisant  la mise en œuvre par la Banque de France d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès au contenu des clés USB (autorisation n°1338732)
Nature: Autre autorisation

La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean-Paul AMOUDRY, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du Gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la Banque de France d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès au contenu de clés USB.
Formule les observations suivantes :
La Banque de France souhaite utiliser un dispositif reposant sur la reconnaissance de l’empreinte digitale des salariés afin de contrôler l’accès aux données stockées sur les clés USB. Le choix d’un dispositif biométrique permet d’assurer que seul le salarié détenteur de la clé USB pourra accéder aux données confidentielles qui y sont enregistrées. 
La clé USB est divisée en deux partitions : une partition privée pour le stockage des données  de l’utilisateur et une partition publique hébergeant le logiciel d’enregistrement des empreintes. La partition privée de la clé USB est accessible uniquement par les personnes dont les doigts sont enrôlés.
Pour contrôler l’accès au contenu des clés USB, une comparaison sera effectuée entre le doigt apposé sur le lecteur incorporé à la clé USB et le gabarit chiffré de l’empreinte digitale enregistré dans cette clé.
L’enregistrement de l’empreinte est effectué par le détenteur de la clé lui-même,  sous forme de gabarit généré par le logiciel de la clé USB et le gabarit sera exclusivement stocké dans la mémoire de la clé USB. A aucun moment, les gabarits des empreintes digitales ne circuleront sur un réseau. 
La lecture s’effectue par la comparaison entre le doigt apposé sur le lecteur et le gabarit de l’empreinte enregistré dans la mémoire de la clé USB. Les salariés sont informés de la nécessité de sécuriser l’accès à des données confidentielles. 
Compte tenu de l’impératif de confidentialité lié à la nécessité de contrôler l’accès à des informations que les salariés peuvent être amenés à enregistrer dans le cadre de leurs missions, les traitements sont adaptés et proportionnés à la finalité assignée au dispositif.
La seule donnée à caractère personnel enregistrée est le gabarit de l’empreinte digitale enregistré sur la clé.
L’empreinte digitale n’est conservée sur la clé qu’aussi longtemps que celle-ci est détenue par le salarié. Celui-ci gère seul l’accès au gabarit de son empreinte digitale et peut le supprimer en cas de restitution définitive de la clé.
Dans ces conditions, la Commission autorise la Banque de France à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK