CNIL, 14 juin 2012, 2012-203

La Commission nationale de l'informatique et des libertés ;

Saisie par

la société SECURE NETWORKS COMMUNICATION d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l'accès au système d'information de la société SECURE NETWORKS COMMUNICATION par ses salariés ;

Vu

la Convention n°108, du 28 janvier 1981, du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-I-8° ; Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l'application de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifié ; Vu le dossier et ses compléments ; Sur la proposition de M. Bernard Peyrat, commissaire et après avoir entendu Mme Elisabeth ROLIN, Commissaire du Gouvernement.

Formule les observations suivantes

: Sur la finalité La société SECURE NETWORKS COMMUNICATION souhaite utiliser un dispositif biométrique de reconnaissance par frappe au clavier pour accéder à son système d'information par ses salariés. Sur les données traitées Le dispositif concernera uniquement les salariés de la société SECURE NETWORKS COMMUNICATION. Les catégories de données à caractère personnel enregistrées seront : Nom, prénom ; Le gabarit de la frappe au clavier ; L'adresse IP. Sur les destinataires Le destinataire des informations sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, l'administrateur du dispositif de la société SECURE NETWORKS COMMUNICATION. Sur l'information et le droit d'accès Les droits d'accès, de rectification et d'opposition s'exerceront, conformément à l'article 32, par courrier auprès de la SECURE NETWORKS COMMUNICATION, 8 RUE HONORE DE BALZAC, 37000 TOURS. Sur les mesures de sécurité Le dispositif biométrique s'appuie sur la variation de la durée séparant la frappe de deux touches du clavier d'un ordinateur pour la saisie d'un identifiant et d'un mot de passe d'une séquence de huit caractères au minimum chacun. Le contrôle d'accès s'effectuera par comparaison entre le gabarit de la frappe au clavier lors de la tentative d'accès au dispositif par le salarié et le gabarit de sa frappe au clavier préalablement enregistré. La Commission rappelle qu'elle est particulièrement vigilante sur le risque de dispersion des données biométriques, que son origine en soit accidentelle ou malveillante. Cependant, la Commission constate que plusieurs mesures de sécurité seront mises en œuvre afin de garantir la protection des données. Les gabarits biométriques des personnes enrôlées seront chiffrés par l'intermédiaire d'un algorithme public réputé fort. La clef de chiffrement utilisée sera spécifique à la société SECURE NETWORKS COMMUNICATION. La base de données qui contient les gabarits biométriques chiffrés sera hébergée par la société SECURE NETWORKS COMMUNICATION et non par un prestataire. La société SECURE NETWORKS COMMUNICATION s'assurera qu'aucun logiciel ou dispositif matériel permettant d'enregistrer puis de simuler les caractéristiques de la frappe clavier d'une personne, à son insu notamment, ne pourra être installé sur le poste informatique. Sur les autres caractéristiques du traitement Les données biométriques des salariés seront supprimées à l'issue de leurs relations de travail avec la société SECURE NETWORK COMMUNICATION. Les adresses IP seront conservées six mois à compter du jour de la connexion au dispositif.

Autorise, conformément à la présente délibération

, la société SECURE NETWORKS COMMUNICATION à mettre en œuvre le traitement susmentionné. La Présidente, Isabelle FALQUE-PIERROTIN