Délibération CNIL 2023-135.pdf — page 1

Commission nationale de l’informatique et des libertés 
Délibération no 2023-135 du 14 décembre 2023 portant avis sur un projet de décret autorisant la 
mise en œuvre de traitements automatisés de données à caractère personnel relatifs au 
contrôle d’accès biométrique de locaux et emprises relevant du ministère des armées 
NOR : CNIX2405078V 
Date de l’avis : 14 décembre 2023 
No de la délibération : 2023-135 
No de demande d’avis : 23013369 
No d’acte réglementaire unique : 
RU-81 
Organisme à l’origine de la saisine : ministère des armées 
Textes concernés : code de la défense, titre IV de la loi « informatique et libertés » 
Thématiques : biométrie, défense, contrôle d’accès 
Fondement de la saisine : article 31 de la loi no 78-17 du 6 janvier 1978 modifiée 
relative à l’informatique, aux fichiers et aux libertés 
L’essentiel : 
1. La CNIL estime que les modalités de mise en place des systèmes de contrôle d’accès biométriques prévues par l’acte réglementaire unique sont globalement 
conformes à la réglementation en matière de la protection des données à caractère personnel. 
2. Elle constate toutefois que l’information des agents concernés sur l’existence et les caractéristiques principales du traitement, ainsi que sur leurs droits, doit se faire 
de manière individuelle lors de l’enrôlement, et recommande au ministère de compléter le décret sur ce point. 
3. Elle considère que le stockage en base centralisée des gabarits biométriques n’est pas la modalité la plus protectrice pour les données des personnes concernées. 
Elle invite donc fortement le ministère, à défaut de modifier le projet de décret sur ce point, à privilégier le recours au stockage des gabarits sous forme chiffrée, de 
manière à ce qu’aucune donnée ne puisse être lue ni exploitée sans l’intervention de la personne concernée, celle-ci étant par exemple porteuse du badge 
permettant le déchiffrement du gabarit.  
La Commission nationale de l’informatique et des libertés, 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des 
personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces 
données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 
Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi 
« informatique et libertés »), notamment son article 31 ; 
Sur la proposition de Mme Isabelle LATOURNARIE-WILLEMS, commissaire, et après avoir entendu les 
observations de M. Damien MILIC, commissaire du Gouvernement, 
Adopte la délibération suivante : 
I. – La saisine 
A. – Le contexte 
La sensibilité particulière de certains sites du ministère des armées nécessite un niveau de sécurité important des 
accès aux périmètres concernés. 
Traditionnellement, plusieurs mesures de sécurité à la fois organisationnelles et techniques sont mises en œuvre 
à cette fin. Actuellement, parmi ces sites sensibles, deux font l’objet d’un contrôle d’accès encadré par décret : 
– le décret no 2017-1132 du 3 juillet 2017 autorisant la création d’un traitement automatisé de données à 
caractère personnel en vue d’un contrôle d’accès biométrique aux locaux d’un bâtiment de la direction 
générale de l’armement ; 
– le décret no 2018-504 du 21 juin 2018 autorisant la création d’un traitement automatisé de données à caractère 
personnel en vue d’un contrôle d’accès biométrique à une emprise de la marine nationale. 
Le projet de décret tend à uniformiser ce cadre et à étendre son application à l’ensemble des emprises présentant 
un caractère particulièrement sensible. Par mesure de cohérence, les décrets nos 2017-1132 du 3 juillet 2017 
et no 2018-504 du 21 juin 2018 susmentionnés sont abrogés. 
B. – L’objet de la saisine 
Le projet de décret vise à adopter un acte réglementaire unique (ARU) au sens de l’article 31.IV de la loi 
« informatique et libertés », permettant le recours à la biométrie à des fins de contrôle des accès à certains locaux 
relevant du ministère des armées. Il relève de son titre IV (« Dispositions applicables aux traitements intéressant la 
sûreté de l’Etat et la défense »). 
15 mars 2024 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 101 sur 134