CNIL, 5 juillet 2005, 2005-186

La Commission nationale de l'informatique et des libertés,

Vu

la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-8° ; Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations,

Formule les observations suivantes

: La société Carrefour Hypermarchés France a adressé le 8 mars 2005 à la Commission nationale de l'informatique et des libertés une demande d'avis relative à la mise en oeuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité de contrôler l'accès du personnel à certains locaux sensibles de l'établissement de la Valette du Var par le recours à un dispositif biométrique de reconnaissance du contour de la main. La Commission considère qu'il y a lieu de faire application des dispositions prévues à l'article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes. La société Carrefour Hypermarchés France justifie de l'existence de risques spécifiques encourus par l'établissement de la Valette du Var, pour sécuriser certains de ses locaux par la mise en place d'un dispositif de contrôle d'accès reposant sur l'utilisation d'une technique biométrique. Le contour de la main fait partie des données biométriques qui ne laissent pas de traces susceptibles d'être utilisées à des fins étrangères à la finalité recherchée par le responsable du traitement. Compte tenu des caractéristiques du dispositif présenté à la Commission et en l'état actuel des connaissances sur la technologie utilisée, la mise en oeuvre d'un traitement reposant sur la reconnaissance de la géométrie de la main est adaptée et proportionnée à la finalité assignée. Les droit d'accès et de rectification s'exerceront auprès du directeur du magasin ou auprès du responsable de la sécurité. Les catégories de données à caractère personnel enregistrées seront les noms, prénoms, le gabarit de la forme de la main, un code individuel à quatre chiffres, la date et l'heure de passage. Les destinataires des informations seront les seuls utilisateurs du dispositif autorisés : le directeur du magasin et le responsable de la sécurité. Autorise, dans ces conditions, la société Carrefour Hypermarchés France à mettre en oeuvre, dans l'établissement de la Valette du Var, un traitement de données à caractère personnel ayant pour finalité de contrôler l'accès à certains locaux par la mise en oeuvre de dispositifs de contrôle d'accès par reconnaissance de la forme de la main. Le président, Alex TURK.