Délibération n°2009-025 du 29 janvier 2009 refusant la mise en œuvre par la société Famer Industrie Maintenance d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux et le contrôle des horaires (autorisation n°1290116)
Nature: Autre autorisation

La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société Famer Industrie Maintenance de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux ainsi que le contrôle des horaires.
Formule les observations suivantes :
La société Famer Industrie Maintenance souhaite utiliser un dispositif biométrique reposant sur la reconnaissance des empreintes digitales afin de limiter l’accès de la société au personnel habilité ainsi que de contrôler les horaires des salariés.
D’une manière générale, la Commission observe qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. Ainsi, à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être changée une fois collectée, ce qui impose d’en limiter l’usage afin d’en garantir la sécurité et le contrôle par les personnes.
La Commission considère également que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un fort impératif de sécurité, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
En l’espèce, la Commission observe que le dispositif n’a pas pour objet de contrôler l’accès à une zone bien déterminée des locaux, représentant un enjeu majeur dépassant l’intérêt strict de l’organisme concerné, mais répond à un besoin général de sécurisation d’un établissement. Par ailleurs, l’objectif poursuivi par la société Famer Industrie Maintenance tendant au contrôle des horaires, s’il est légitime, n’est pas associé à un fort impératif de sécurité justifiant la conservation dans une base de données des empreintes digitales des employés concernés. En outre, la société Famer Industrie Maintenance justifie l’utilisation d’un système reposant sur l’enregistrement des empreintes digitales dans une base de données par le fait qu’un tel dispositif permettrait de remédier aux inconvénients du système actuel reposant sur l’utilisation de badges : « beaucoup de pertes ou de prêt de carte à d’autres salariés qui badgent pour plusieurs personnes ».
La Commission relève que cet objectif pourrait être atteint, par exemple, par le recours à un dispositif reposant sur la reconnaissance du contour de la main qui, en l’état actuel de la technique, n’est pas susceptible d’être capturé à l’insu des personnes et dès lors, ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes.
Ainsi, elle rappelle que la constitution d’une base de données d’empreintes digitales comporte davantage de risques pour le droit des personnes et doit être réservée à des hypothèses particulières fondées sur un impératif fort de sécurité. En effet, parce que l’empreinte digitale constitue une « trace » laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l’état des techniques, exige que son utilisation soit limitée et encadrée afin d’empêcher que l’exemplaire de l’empreinte récupéré ne puisse être utilisé pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif d’empreintes digitales ;
usurper l’identité d’une personne, par exemple pour frauder un dispositif reposant sur la reconnaissance de l’empreinte digitale. 
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles. 
Dès lors, la Commission n’autorise pas, en l’état, la société Famer Industrie Maintenance – 26 rue Fleury Neuvesel – 69700 Givors, à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l’accès aux locaux ainsi que celui des horaires.
Le Président
Alex TURK