Délibération n°2011-388 du 1er décembre 2011 refusant la mise en œuvre par le lycée LES IRIS d’un traitement de données reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle d’accès à la bagagerie des élèves et au portillon intérieur
Nature: Autre autorisation

(demande d’autorisation n°1530961)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 1 et 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 modifiée en 2007;
Vu la demande d’autorisation du lycée LES IRIS d’un traitement de données reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle d’accès à la bagagerie des élèves et au portillon intérieur ;
Après avoir entendu M. Eric PERES, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par le lycée LES IRIS d’un traitement de données reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle d’accès à la bagagerie des élèves et au portillon intérieur.
Il y a lieu de faire application des dispositions prévues à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Il convient de rappeler que la Commission a toujours accordé une attention particulière aux dispositifs biométriques qui pouvaient concerner des mineurs, notamment en ce qu’ils sont susceptibles de les habituer aux techniques de surveillance reposant sur des éléments corporels propres à leur identité, conformément à l’article 1er de la loi du 6 janvier 1978 modifiée qui pose le principe que : « L’informatique doit être au service de chaque citoyen. […] Elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques. »
La Commission réaffirme sa vigilance s’agissant de dispositifs concernant des élèves, mineurs de surcroit, et la nécessité d’examiner les traitements qui lui sont soumis au regard des évolutions technologiques et sociologiques qui sont portés à sa connaissance. 
En l’espèce, le traitement proposé a pour objet de contrôler l’accès à la bagagerie des élèves et au portillon intérieur. Le recours à ces dispositifs est justifié par de nombreux vols. 
Le traitement du réseau veineux des doigts doit être examiné au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-2° de la loi du 6 janvier 1978 modifiée qui précise que les données sont collectées pour des finalités déterminées, explicites et légitimes et de l’article 6-3° qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission constate que même si le réseau veineux des doigts de la main ne présente pas, en l'état actuel de la technique, la caractéristique de pouvoir être capturée à l'insu des personnes concernées, toute possibilité de détournement ou de mauvais usage (faille de sécurité, détournement de finalité par le responsable de traitement ou par un tiers...) fait peser un risque sérieux sur l'intégrité et la protection des données biométriques personnelles des utilisateurs, qui de surcroît, s'agissant des élèves, sont des mineurs.
Par ailleurs, la Commission relève que la finalité poursuivie pourrait être atteinte par d’autres moyens comme un badge remis à chaque utilisateur. 
Dès lors, elle considère que le recours à un élément propre à l’identité physique des élèves et aussi fiable que le réseau veineux des doigts de la main aux seules fins d’accéder à un service à la bagagerie des élèves et au portillon intérieur n’est pas pertinent, adéquat et non excessif au regard de la finalité poursuivie.
Par conséquent, la Commission n’autorise pas le lycée LES IRIS à mettre en œuvre un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle d’accès à la bagagerie des élèves et au portillon intérieur.
La Présidente
Isabelle FALQUE-PIERROTIN