Délibération n° 2018-012 du 18 janvier 2018 refusant la mise en œuvre par l’association « ailes sportives airbushelicopters haltérophilie musculation » d’un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès par reconnaissance faciale des adhérents aux locaux de l’association sportive(Demande d’autorisation n° 1970157)
Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
Saisie par l’association « ailes sportives airbus helicopters haltérophilie musculation » d’un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès par reconnaissance faciale des adhérents aux locaux de l’association sportive ; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l'informatique des libertés a été saisie par l’association « ailes sportives airbus helicopters haltérophilie musculation » d'une demande d’autorisation portant sur un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès par reconnaissance faciale des adhérents aux locaux de l’association sportive.
La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour assurer le contrôle de l’identité des personnes. Il relève, à ce titre, du 8° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par la CNIL.
Le dispositif a pour objet de permettre aux 400 adhérents de l’association d’utiliser le dispositif de reconnaissance faciale pour accéder à la salle de sport. L’association étant composée de bénévoles, ce dispositif de contrôle d’accès permettrait de pallier l’indisponibilité d’un de ses dirigeants chargés de l’ouverture de la salle tout en s’assurant de l’identité des personnes souhaitant y accéder.
Compte tenu de la sensibilité des traitements de données biométriques, la Commission estime que ceux mis en œuvre pour des raisons de commodité, c’est-à-dire en dehors de forts enjeux de sécurité, ne peuvent pas être imposés aux personnes concernées, y compris au titre de l’intérêt légitime du responsable de traitement.
De tels dispositifs ne peuvent, dès lors, être mis en œuvre qu’avec le consentement des personnes concernées, entendu comme la manifestation de leur volonté libre, spécifique et éclairée.
La liberté du consentement suppose que la personne concernée dispose d’un choix réel et non contraint. La personne ne doit donc pas être influencée dans son choix par les conséquences négatives qui pourraient résulter de son refus d’utiliser un contrôle d’accès biométrique.
Or, la Commission observe qu’aucune alternative au dispositif biométrique n’étant proposée aux adhérents de l’association pour leur permettre d’accéder à la salle, leur consentement à la mise en œuvre de ce traitement biométrique ne peut être qualifié de libre. En effet, leur consentement conditionne leur capacité à accéder aux locaux en l’absence de personnes habilitées. 
Le traitement envisagé par l’association est donc dépourvu de base légale.
Au surplus, compte tenu des risques, par nature irrévocables, que la compromission de données biométriques pourrait provoquer, la Commission considère que les dispositifs biométriques mis en œuvre pour des raisons de commodité doivent l’être dans des conditions assurant aux personnes concernées une maîtrise de leurs gabarits biométriques aux fins d’assurer la sécurité et la confidentialité des données.
Cette maîtrise peut notamment se décliner sous la forme d’un stockage des données biométriques :
sur un support individuel détenu par les personnes concernées ou, 
si la détention d'un tel support dédié n’était pas adaptée, de leur conservation en base sous forme chiffrée par une clé (y compris sous la forme d’un secret) de chiffrement/déchiffrement uniquement détenue par la personne concernée et non conservée sur le serveur. 
Or, le présent dispositif permet aux adhérents de n’avoir qu’à présenter leur visage devant le lecteur afin que celui-ci soit comparé à l’ensemble des gabarits qui sont enrôlés puis stockés en base, conditions de stockage présentant des risques accrus pour la vie privée.
Refuse d’autoriser l’association « ailes sportives airbus hélicopters haltérophilie musculation » à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité le contrôle d’accès par reconnaissance faciale des adhérents de l’association du fait :
de l’absence de consentement des personnes, seule base légale valable s’agissant d’un dispositif biométrique mis en œuvre au profit des usagers et clients pour des raisons de commodité (article 7 de la loi n° 78-17 du 6 janvier 1978 modifiée) et ; 
des conditions de stockage des gabarits dont il résulte des risques importants pour la sécurité des données (article 34 de la loi n° 78-17 du 6 janvier 1978 modifiée).
La Présidente
Isabelle FALQUE-PIERROTIN