Délibération n°2008-293 du 17 juillet 2008 autorisant la mise en œuvre par la société Natixis  d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux données stockées sur des clés USB(demande d’autorisation 1293133)
Nature: Autre autorisation

La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société Natixis d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux données stockées sur des clés USB ;
Formule les observations suivantes :
Le dispositif présenté a pour objet de garantir que seules les personnes habilitées pourront accéder au contenu des clés USB et ainsi de préserver la confidentialité des données qui y sont stockées.
Il reposera sur une clé USB à laquelle sera associé un lecteur d’empreintes digitales. Le gabarit de l’empreinte digitale des personnes concernées sera exclusivement stocké dans la mémoire de la clé USB. Le contrôle d’accès aux données s’effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l’empreinte digitale enregistré dans la clé USB. Les empreintes seront supprimées au départ du salarié de l’entreprise. Les employés seront informés directement au cours de la procédure d’enrôlement. 
La Commission considère que dans la mesure où le gabarit de l’empreinte digitale est uniquement stocké dans un support individuel exclusivement détenu par la personne concernée et dont elle décide librement de l’utilisation, le dispositif soumis par la société Natixis ne comporte pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d’accès et de rectification s’exerceront auprès Natixis- Systèmes d’information et services partagés-30 avenue Pierre Mendès-France 75013 Paris. 
La donnée à caractère personnel enregistrée sur la clé USB sera le gabarit chiffré, résultat du traitement des mesures par un algorithme sur l’empreinte digitale.
Le destinataire des informations sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, l’employé dépositaire de la clé USB.
Dans ces conditions, la Commission autorise la société Natixis à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK