Délibération n°2009-561 du 24 septembre 2009 autorisant la mise en œuvre par la société Les Docks des Pétroles d’Ambès d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité la sécurisation de l’accès au dépôt pétrolier
Nature: Autre autorisation

(demande d’autorisation 1360401)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004;
Vu la demande d’autorisation présentée par la société Les Docks des Pétroles d’Ambès d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité la sécurisation de l’accès au dépôt pétrolier;
Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par la société Les Docks des Pétroles d’Ambès d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité la sécurisation de l’accès au dépôt pétrolier .
Il y a lieu de faire application des dispositions prévues à l’article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Le dispositif a pour objet de contrôler l’accès à un dépôt pétrolier de grande importance qui représente un stockage de 277 000 m3 d’hydrocarbure.  Ce site est classé « SEVESO II ».
Le dispositif reposera sur cinq boîtiers situés aux 5 points d’accès du dépôt pétrolier des Docks des Pétroles d’Ambès. 
Les Docks des Pétroles d’Ambès collectent déjà les données suivantes : l’identité du chauffeur (nom, prénom), l’indication de l’entreprise pour laquelle il travaille, son identifiant APTH (formation obligatoire pour la conduite de véhicule dangereux), la date de validité APTH, date de fin de validité du permis de conduire, autorisation ou interdiction d’accès, remise des consignes de sécurité mises de manière formelle et formation sur les dangers spécifiques du site effectuée. 
Lors de la phase d’enrôlement, un Numéro Anonyme de Chauffeur (NAC) est attribué à chaque chauffeur. Accolé à ce numéro anonyme, correspondront les deux gabarits, résultats du traitement des mesures de l’empreinte digitale par un algorithme. Ces données sont enregistrées dans une base centralisée qui est chiffrée sur un serveur dédié et en accès restreint, ce qui garantit la sécurité des gabarits.
Lors du contrôle d’accès, le chauffeur apposera son doigt sur le lecteur biométrique du boîtier et une comparaison s’effectuera entre son empreinte digitale et le gabarit enregistré dans la base de données stockée sur le serveur de comparaison qui ne comportera que le NAC.
Les deux gabarits d’empreinte digitale et les données relatives à l’identité, à la formation et aux autorisations d’accès du chauffeur seront conservés tant que la personne est autorisée à accéder à l’appontement. Un historique des passages sera conservé pendant trois mois.
Compte tenu d’une part, du fort impératif de sécurité lié à la nécessité de contrôler l’accès à un site classé de type « SEVESO II » dans lequel est stocké des produits dangereux et, d’autre part, de l’obligation de fournir, en cas d’exercice d’évacuation ou d’accident, la liste exacte des personnes présentes sur le site ainsi que l’historique des événements, le traitement soumis à la Commission est adapté et proportionné à la finalité assignée au dispositif.
Les droits d’accès et de rectification s’exerceront auprès des responsables du service informatique agissant sous l’autorité des agents de sûreté de la société Les Docks des Pétroles d’Ambès  - Avenue de Gerlandes Bassens – 33565 CARBON-BLANC Cedex.
Les catégories de données à caractère personnel enregistrées seront :
a) Données enregistrées exclusivement dans le PC d'enrôlement :
- gabarits des empreintes digitales ;
- Numéro Anonyme de Chauffeur (NAC) ;  - historique des opérations effectuées (uniquement l'horodatage des enrôlements associé aux NAC)
b) Données enregistrées exclusivement dans le PC d'automatisme :
- l'identité (nom, prénom, entreprise, Numéro Anonyme de Chauffeur) ;  - données relatives à la formation et aux autorisation d'accès
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les agents habilités du service informatique agissant sous l’autorité des agents de sûreté de l’installation.
Dans ces conditions, la Commission autorise la société Les Docks des Pétroles d’Ambès  à mettre en œuvre le traitement de données à caractère personnel présenté.
Le président
Alex TURK