Délibération n°2008-214 du 17 juillet 2008 autorisant  la mise en œuvre par la société Canon Bretagne  d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux données stockées sur des clés USB (autorisation n° 1281875)
Nature: Autre autorisation

La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société Canon Bretagne d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux données stockées sur des clés USB.
Formule les observations suivantes :
La société Canon Bretagne souhaite utiliser un dispositif biométrique afin de garantir que seules les personnes habilitées pourront accéder au contenu des clés USB et ainsi de préserver la confidentialité des données qui y sont stockées.
Il reposera sur une clé USB à laquelle sera associé un lecteur d’empreintes digitales. Le gabarit de l’empreinte digitale des personnes concernées sera exclusivement stocké dans la mémoire de la clé USB. Le contrôle d’accès aux données s’effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l’empreinte digitale enregistré dans la clé USB. 
Tout employé disposant d’une clé pourra exceptionnellement la prêter à un collaborateur. Dans ce cas, il sera désigné administrateur de cette clé et procèdera à l’enregistrement des empreintes de la personne à qui il prêtera la clé. Ces empreintes seront supprimées lorsque la clé sera restituée à son titulaire légitime. Les employés seront informés par une note d’utilisation remise par le service informatique. 
La Commission considère que dans la mesure où le gabarit de l’empreinte digitale est uniquement stocké dans un support individuel exclusivement détenu par la personne concernée et dont elle décide librement de l’utilisation, le dispositif soumis par la société Canon Bretagne comporte pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d’accès et de rectification s’exerceront auprès du service informatique – Leslandes de Beaugé – 35340 Liffré.
La donnée à caractère personnel enregistrée sur la clé USB sera le gabarit chiffré, résultat du traitement des mesures par un algorithme sur l’empreinte digitale.
Le destinataire des information sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, l’employé dépositaire de la clé USB.
Dans ces conditions, la Commission autorise la société Canon Bretagne à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK