Délibération n°2008-205 du 17 juillet 2008 autorisant  la mise en œuvre par la société Total SA  d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux données stockées sur des clés USB (autorisation n° 1299089)
Nature: Autre autorisation

La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société Total SA d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux données stockées sur des clés USB.
Formule les observations suivantes :
La société Total SA souhaite utiliser un dispositif biométrique afin de garantir que seules les personnes habilitées pourront accéder au contenu des clés USB et ainsi de préserver la confidentialité des données qui y sont stockées.
Il reposera sur une clé USB à laquelle sera associé un lecteur d’empreintes digitales. Le gabarit de l’empreinte digitale des personnes concernées sera exclusivement stocké dans la mémoire de la clé USB. Le contrôle d’accès aux données s’effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l’empreinte digitale enregistré dans la clé USB. Les employés seront informés via l’intranet et par la remise d’un document. Le gabarit biométrique sera conservé jusqu’au départ de l’employé de la société.
La Commission considère que dans la mesure où le gabarit de l’empreinte digitale est uniquement stocké dans un support individuel exclusivement détenu par la personne concernée et dont elle décide librement de l’utilisation, le dispositif soumis par la société Canon Bretagne comporte pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d’accès et de rectification s’exerceront auprès de la direction des systèmes d’information – 2, place de la Coupole – 92078 La Défense 6.
La donnée à caractère personnel enregistrée sur la clé USB sera le gabarit chiffré, résultat du traitement des mesures par un algorithme sur l’empreinte digitale.
Le destinataire des information sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, l’employé dépositaire de la clé USB.
Dans ces conditions, la Commission autorise la société Total SA à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK