Délibération n°2008-317 du 11 septembre 2008 refusant la mise en œuvre par l’école nationale des arts du cirque de Rosny-sous-Bois  d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux (autorisation n°1277654)
Nature: Autre autorisation

La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par l’école nationale des arts du cirque de Rosny-sous-Bois d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
L’école nationale des arts du cirque de Rosny-sous-Bois souhaite utiliser un dispositif reposant sur la reconnaissance des empreintes digitales afin de contrôler l’accès des adhérents et du personnel à ses locaux. Ce traitement doit permettre de sécuriser l’établissement et ainsi de prévenir les intrusions de personnes étrangères à l’école. Deux modes de fonctionnement sont disponibles sur le dispositif choisi. Il est ainsi possible d’enregistrer le gabarit des empreintes digitales des personnes :
sur un support individuel tel qu’une carte à puce. Le contrôle d'accès s'effectue par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l'empreinte digitale enregistré sur le badge ;
dans la mémoire du terminal de lecture comparaison. Le contrôle d'accès s'effectue par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l'empreinte digitale enregistré dans la base de données du lecteur.
L’école nationale des arts du cirque de Rosny-sous-Bois, ne disposant que de dix supports individuels (cartes à puce) pour quatre cents utilisateurs concernés, devrait procéder à l’enregistrement du gabarit de la quasi-totalité des personnes dans la mémoire du terminal de lecture comparaison.
D’une manière générale, la Commission observe qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. Ainsi, à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être changée une fois collectée, ce qui impose d’en limiter l’usage afin d’en garantir la sécurité et le contrôle par les personnes.
La Commission considère également que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un fort impératif de sécurité, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
A cet égard, la Commission observe que le dispositif destiné au contrôle de l’accès aux locaux précités n’a pas pour seul objet de sécuriser une zone représentant un enjeu majeur dépassant l’intérêt strict de l’organisme concerné, mais répond à un besoin général de sécurisation d’un établissement. Elle relève également que, comme le permet le dispositif envisagé, cet objectif pourrait être atteint par le recours à un enregistrement de l’empreinte digitale sur des supports individuels qui présente moins de risques au regard de la protection des données et libertés individuelles.
Ainsi, la Commission rappelle que la constitution d’une base de données d’empreintes digitales comporte davantage de risques pour le droit des personnes et doit être réservée à des hypothèses particulières fondées sur un impératif fort de sécurité. En effet, parce que l’empreinte digitale constitue une « trace » laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l’état des techniques, exige que son utilisation soit limitée et encadrée afin d’empêcher que l’exemplaire de l’empreinte récupéré ne puisse être utilisé pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif d’empreintes digitales ;
usurper l’identité d’une personne, par exemple pour frauder un dispositif reposant sur la reconnaissance de l’empreinte digitale. 
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles. 
Dès lors, la Commission n’autorise pas, en l’état, L’école nationale des arts du cirque de Rosny-sous-bois – 22 rue Jules GUESDE – 93110 Rosny-sous-Bois - à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l’accès aux locaux.
Le Président
Alex TURK