Délibération n° 2011-387 du 1er décembre 2011 autorisant la mise en œuvre par la société LESOT d’un traitement de données à caractère personnel reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un support individuel sous le contrôle exclusif de son détenteur et ayant pour finalité le contrôle d’accès à des applications informatiques permettant d’exercer des délégations de pouvoir   (demande d’autorisation n°1518525)
Nature: Autre autorisation

La Commission nationale de l’informatique et des libertés,  
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ; 
Vu la demande d’autorisation présentée par la société LESOT relative à un traitement de données à caractère personnel reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un support individuel sous le contrôle exclusif de son détenteur et ayant pour finalité le contrôle d’accès à des applications informatiques permettant d’exercer des délégations de pouvoir ;
Sur le rapport de M. Emmanuel de GIVRY, vice-président, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la société LESOT, filiale du groupe VINCI, d’une demande d’autorisation d’un traitement de données à caractère personnel reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un support individuel sous le contrôle exclusif de son détenteur et ayant pour finalité le contrôle d’accès à des applications informatiques permettant d’exercer des délégations de pouvoir.
Il y a lieu de faire application des dispositions prévues à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Sur la finalité et les caractéristiques du traitement :
Certaines opérations sensibles telles que des transactions financières ou des réponses à des appels d’offre nécessitent d’être exécutées par un responsable de l’entreprise nommément désigné et bénéficiant d’une délégation de pouvoir. 
Afin de garantir l’authentification de la personne responsable, la société LESOT souhaite utiliser une clé USB comportant un lecteur d’empreinte digitale. Ce dispositif vise à sécuriser l’accès à un certificat permettant de s’authentifier dans des applications informatiques et de signer électroniquement ces opérations. 
La clé USB est sous le contrôle exclusif de son détenteur. Son usage est strictement individuel et professionnel. 
L’enrôlement s’effectue sur le poste informatique de l’utilisateur, en présence, si besoin, des personnes habilitées du service en charge de la sécurité informatique. 
Le contrôle d’accès au certificat s’effectue par comparaison entre le gabarit de l’empreinte digitale du doigt apposé sur le lecteur et le gabarit de l’empreinte digitale enregistré lors de l’enrôlement de l’utilisateur sur la clé USB. Dans l’hypothèse d’un incident informatique, l’entreprise aura recours à l’ancienne procédure « papier ». 
La Commission observe que seules les personnes bénéficiant d’une délégation de pouvoir seront concernées par ce traitement et que ce dispositif n’a pas pour finalité de contrôler le temps de travail de l’utilisateur.
Les catégories de données à caractère personnel enregistrées seront :
le gabarit chiffré de l’empreinte digitale de deux doigts, résultat du traitement des mesures par un algorithme sur l’empreinte digitale. Aucune image ou photographie de l'empreinte digitale ne peut être collectée ;
un ou plusieurs certificats. 
La durée de conservation des données correspond au temps pendant lequel la personne concernée bénéficie de la délégation de pouvoir.
La Commission prend acte que le gabarit de l’empreinte digitale n’est pas associé aux traces des opérations.
L’information et la consultation des instances représentatives du personnel avant la mise en œuvre de ce traitement sont réalisées conformément aux dispositions du code du travail. 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes sont informées de leurs droits par la remise d’un courrier personnalisé au moment de leur enrôlement et de la remise de la clé USB.
La sécurité et la confidentialité des données traitées est assurée par le responsable de traitement afin notamment d’empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance. 
La Commission prend acte qu’aucune conservation dans une ou plusieurs bases de données des gabarits biométriques des empreintes digitales n’est prévue. Les données biométriques ne sont conservées que sur la clé USB. Elles ne circuleront pas sur un réseau et ne seront ni stockées ni archivées. 
Les gabarits des empreintes digitales sont stockés sur la clé USB sous une forme chiffrée. En outre, la Commission recommande que les utilisateurs soient tenus de ne stocker aucune autre information sur ce support.
Les droits d’accès et de rectification s’exerceront auprès de la société LESOT, service UF, 19 rue René Cassin Zone artisanale, 62223 Saint-Laurent-Blangy. 
Dans ces conditions, la Commission autorise la société LESOT à mettre en œuvre le traitement de données à caractère personnel présenté.
La Présidente
Isabelle FALQUE-PIERROTIN