Exigences en matière d'installation sur le lieu de travail de dispositifs biométriques reposant sur la reconnaissance du réseau veineux des doigts de la main

La Commission nationale de l'informatique et des libertés (CNIL) est seule compétente pour garantir le respect de la protection des données personnelles en cas de recours à des dispositifs de contrôle biométrique des individus sur le leur lieu de travail.
La biométrie est une méthode d'identification à partir de caractères biologiques d'une personne, dont l'identification par le réseau veineux de la main est une technologie en pleine expansion, car elle laisse moins de "trace que les autres". Utilisée de plus en plus par les firmes et les cellules stratégiques des entreprises de hautes technologies, le recours à ce dispositif biométrique est réglementé pour éviter les abus.

Dernièrement, la CNIL a délibéré sur l'autorisation unique de mise en oeuvre de dispositifs biométriques reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l'accès aux locaux sur les lieux de travail. Elle admet que la gestion des contrôles de l'accès physique à l'entrée des lieux de travail et dans les zones limitativement identifiées de l'organisme faisant l'objet d'une restriction de circulation, puisse s'effectuer grâce à la mise en oeuvre de traitements automatisés de données à caractère personnel reposant sur l'utilisation d'un dispositif de reconnaissance du réseau veineux des doigts de la main.

La Commission rappelle que de tels dispositifs relèvent de l'article 25-I (8°) de la loi du 6 janvier 1978 qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.

Aussi, le responsable de traitement mettant en oeuvre un tel dispositif, dans le respect des dispositions de la décision unique n°AU-O19, doit adresser à la CNIL un "engagement de conformité" de celui-ci, aux caractéristiques suivantes :

Finalités et caractéristiques techniques du traitement

Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente décision unique les traitements reposant sur un dispositif de reconnaissance du réseau veineux des doigts de la main, mis en oeuvre :

• par les organismes privés ou publics, à l'exception des traitements mis en oeuvre pour le compte de l'Etat lorsque les personnes concernées sont des mineurs.
• uniquement pour le contrôle des accès à l'entrée et dans les locaux limitativement identifiés de l'organisme faisant l'objet d'une restriction de circulation, à l'exclusion de tout contrôle des horaires des employés.

Le dispositif de reconnaissance du réseau veineux doit présenter les caractéristiques suivantes :

• seul le gabarit du réseau veineux du doigt, clé biométrique résultat du traitement des mesures par un algorithme, est enregistré et non une image ou une photographie du réseau veineux ;
• le gabarit du réseau veineux du doigt de la personne concernée est exclusivement enregistré sous une forme chiffrée soit dans la mémoire du terminal de lecture-comparaison qui ne dispose d'aucun port de communication permettant l'extraction de ce gabarit, soit sur un support individuel sécurisé qui reste en possession de la personne devant être authentifiée par le dispositif ;
• l'enrôlement des caractéristiques biométriques des personnes s'effectue exclusivement à partir du terminal de lecture-comparaison ;
• le contrôle d'accès s'effectue par une comparaison entre le doigt apposé sur le lecteur et le gabarit du réseau veineux du même doigt enregistré dans la mémoire du terminal de lecture-comparaison ;
• d'autres données nécessaires à l'identification des personnes peuvent être enregistrées dans la mémoire du terminal de lecture comparaison et associées au gabarit du réseau veineux de leur doigt.
  

Données à caractère personnel traitées

Seules les données à caractère personnel suivantes peuvent être traitées :

• Identité : nom, prénom, photographie et gabarit du réseau veineux du doigt de la personne
  
• Vie professionnelle : numéro de matricule interne, corps ou service d'appartenance, grade
  
• Déplacement des personnes : porte utilisée, zones et plages horaires d'accès autorisées, date et heure d'entrée et de sortie
  
• En cas d'accès à un parking : numéro d'immatriculation du véhicule, numéro de place de stationnement.
  

S'agissant des visiteurs, outre les catégories de données relatives à l'identité et au déplacement des personnes, l'indication de la société d'appartenance et du nom de l'employé accueillant le visiteur peuvent être traitées.

Destinataires des informations

Dans la limite de leurs attributions respectives et pour l'exercice des finalités précitées, seules peuvent être destinataires des données limitativement les personnes dûment habilitées :

• du service du personnel et du service informatique : identité, vie professionnelle, déplacement des personnes et informations en relation avec la gestion du parking ;
• du service gérant la sécurité des locaux : identité, déplacement des personnes, vie professionnelle et informations en relation avec la gestion du parking.
  

Les personnes habilitées énumérées ci-dessus ne peuvent avoir accès au gabarit du réseau veineux du doigt de la personne que de façon temporaire et pour les stricts besoins de son inscription sur le support individuel ou de sa suppression, sans qu'il leur soit possible d'accéder directement, de modifier, ou de copier sur un autre support, les gabarits enregistrés.

Durée de conservation

• de quelques heures à plusieurs jours : s'agissant de la durée de conservation du gabarit du réseau veineux des doigts de la main. En effet, la durée de conservation doit être égale au temps pendant lequel la personne concernée est habilitée à pénétrer dans les locaux ou les zones limitativement identifiées de l'organisme faisant l'objet d'une restriction de circulation.
• 5 ans après le départ de l'employé (maximum) : s'agissant des catégories de données relatives à l'identité, à la vie professionnelle et à la gestion du parking
• 3 mois (maximum) pour les éléments relatifs aux déplacements des personnes.
• 3 mois (maximum) à compter de la date de la dernière visite, concernant les catégories de données relatives à l'identité des visiteurs, à l'indication de la société d'appartenance et à la gestion du parking.
  

Liberté de circulation des employés protégés

Les contrôles d'accès aux locaux du responsable de traitement et aux zones limitativement désignées, faisant l'objet d'une restriction de circulation justifiée par la sécurité des biens et des personnes qui y travaillent, ne doivent pas entraver la liberté d'aller et venir des employés protégés dans l'exercice de leurs missions, conformément aux dispositions du code du travail.

Mesures de sécurité

Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées, et notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.

Les accès individuels au traitement par l'administrateur du dispositif s'effectuent par un identifiant et un mot de passe individuel ou tout système offrant un niveau de sécurité au moins équivalent. En cas d'utilisation d'un mot de passe, celui-ci doit être régulièrement renouvelé, être d'une longueur d'au moins 8 caractères alphanumériques et comporter au moins un chiffre, une lettre et un caractère de ponctuation.

Le dispositif doit permettre l'enrôlement de plusieurs doigts par utilisateur.

Afin d'en garantir la confidentialité, les gabarits enregistrés dans le dispositif doivent être chiffrés en utilisant des algorithmes cryptographiques réputés forts.

Le dispositif doit permettre de détecter toute ouverture ou arrachement du terminal de lecture-comparaison et de le signaler à l'administrateur du système.

Les gabarits traités ne doivent pas permettre de recalculer l'image correspondante du réseau veineux. Au cas où le dispositif comporte un historique des passages, celui-ci ne doit pas conserver des données au-delà de 90 jours.

Information des personnes

Le responsable du traitement procède également, conformément aux dispositions des articles L2323-13 et suivants, L2323-32 du Code du travail et à la législation applicable aux trois fonctions publiques, à l'information et à la consultation des instances représentatives du personnel avant la mise en oeuvre de tels traitements.

L'information des employés est effectuée, conformément aux dispositions de l'article 32 de la loi Informatique et libertés, par la diffusion à chaque personne concernée, préalablement à la mise en oeuvre du traitement, d'une note explicative.

Exercice des droits d'accès et de rectification

Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 modifiée s'exerce auprès du ou des services que le responsable de traitement aura désignés.

Situation des dispositifs non-conformes

Tout traitement automatisé de données à caractère personnel reposant sur l'utilisation d'un dispositif de reconnaissance du réseau veineux des doigts de la main qui n'est pas conforme aux dispositions qui précèdent, doit faire l'objet d'une demande d'autorisation auprès de la CNIL.