Délibération n°2008-362 du 2 octobre 2008 autorisant la mise en œuvre par Aéroports de Paris   d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès en zone réservée de l’aéroport de Paris-Charles-de-Gaulle (autorisation n°1220290)
Nature: Autre autorisation

(demande d’autorisation)
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Vu la délibération n°2007-041 du 8 mars 2007 portant autorisation de la mise en œuvre par Aéroports de Paris d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès au sein de la zone réservée du satellite S3 de l’aéroport de Paris-Charles-de-Gaulle
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par Aéroports de Paris d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès en zone réservée de l’aéroport de Paris-Charles-de-Gaulle.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par la société Aéroports de Paris (ADP) d’une demande de modification concernant un traitement reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès au sein de la zone réservée du satellite S3 de l’aéroport de Paris-Charles-de-Gaulle. Ce dispositif a été autorisé par la CNIL dans sa délibération n°2007-041 du 8 mars 2007.
La modification demandée par ADP consiste à étendre la mise en œuvre de ce système aux terminaux 2E, 2F, et 2G de l’aéroport de Paris-Charles-de-Gaulle ainsi qu’à l’ensemble des satellites, existants où à venir, reliés à ces terminaux. Pour le reste les dispositifs mis en œuvre seront strictement identiques à ceux autorisés dans la délibération n°2007-041 précitée.
Ainsi, les traitements auront pour objet d’autoriser l’accès de certains locaux ou zones des satellites aux seules personnes ayant une justification professionnelle. En fonction du niveau de sensibilité de la zone ou des locaux, le processus de contrôle d’accès est le suivant :
lecture d’un badge délivrés par la Direction Générale de l’Aviation Civile (DGAC) dans le cadre de la gestion des activités de sûreté sur les plates-formes aéroportuaires ;
vérification en temps réel des droits d’accès associés à ce badge en interrogeant une base de données ;
authentification de la personne grâce à un dispositif de reconnaissance des empreintes digitales.
La phase relative à la vérification des droits d’accès associés au badge repose sur l’interrogation d’un serveur central dans lequel seront enregistrés les données relatives aux personnes concernées (le nom, le prénom, le type d’activité, l’entreprise ayant délivré l’accréditation, l’entreprise d’appartenance, le numéro de badge et la date de fin de validité de badge). 
Certains personnels habilités de sociétés opérant sur les satellites concernés, de ADP et de la Direction de la Police aux Frontières disposent d’un accès, en consultation et en alimentation, à cette base de données afin de gérer, en fonction des zones et des locaux, les habilitations de leurs propres personnels. Les personnes habilités auront uniquement accès aux données des employés de leur organisme. 
S’agissant du procédé de reconnaissance des empreintes digitales, l’authentification des personnes s’effectuera localement par une lecture du gabarit des empreintes digitales exclusivement enregistrés, sous forme chiffrée, dans la puce sans contact des badges délivrés par la DGAC. Le contrôle d’accès s’effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l’empreinte digitale enregistré sur le badge.
Un historique des passages, le détail des accès empruntés ainsi que la liste des irrégularités pourront être édités. La conservation de ces données ne pourra excéder trois mois et elle seront uniquement accessibles aux administrateurs et personnels en charge de la maintenance des serveurs d’ADP.
Les données relatives au profil des personnes concernées seront conservées dans le serveur central jusqu’à expiration de la date de validité du badge. Il en est de même pour le gabarit enregistré sur le badge.
L’information des personnels se fera au moyen de la remise d’un document lors de l’opération d’accréditation ainsi que par un affichage dans les salles où cette procédure aura lieu. Une information et une consultation du comité d’entreprise de la société Aéroports de Paris seront effectués.
Compte tenu de l’impératif de sécurité lié à la nécessité de contrôler l’accès aux zones réservées de l’aéroport de Paris-Charles-de-Gaulle et dans la mesure où il repose sur l’enregistrement du gabarit de l’empreinte digitale dans un support individuel exclusivement détenu par la personne concernée, le traitement apparaît, en l’état actuel des connaissances sur la technologie utilisée, adapté et proportionné à la finalité assignée au dispositif.
Les droits d’accès et de rectification s’exerceront auprès du pôle gestion du patrimoine – activités domaniales – direction de l’aéroport de Paris-Charles-de-Gaulle – BP 24101 – 97711 Roissy Charles de Gaulle cedex.
Les catégories de données à caractère personnel enregistrées seront :
dans la base de données gérée par les organismes opérant sur les satellites concernés : le nom, le prénom, le type d’activité, l’entreprise ayant délivré l’accréditation, l’entreprise d’appartenance, le numéro de badge et la date de fin de validité de badge ainsi que l’historique des passages, le détail des accès empruntés et la liste des irrégularités ;
dans les badges : le gabarit des empreintes digitales, le code PIN associé au badge (permettant une identification du porteur lorsque la capture biométrique est inexploitable).
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les agents chargés de l’enregistrement des données sur le badge, les agents de sûreté visés à l’article L.282-8 du code de l’aviation civile sur les points d’accès à la zone réservée, les administrateurs techniques et fonctionnels du traitement, et enfin les agents de l’Etat chargés du contrôle du personnel au sein de la zone réservée.
Néanmoins, l’historique des passages, le détail des accès empruntés ainsi que la liste des irrégularités seront uniquement accessibles aux administrateurs et personnels en charge de la maintenance des serveurs d’ADP.
Autorise, dans ces conditions, Aéroport de Paris à mettre en œuvre le traitement de données à caractère personnel présenté.
Le président
Alex Türk