| Sommaire BO courant | Archives BO | Table des matières cumulée BO | Sommaire RMLR |
Vu CON. n° 108 du 28-01-1981 du Conseil de l’Europe ; DIR. 95/46/CE du Parlement européen et du Conseil du 24-10-1995 ; L. n° 78-17 du 06-01-1978 not. art. 25 (8°) ; code du travail, not. art. L. 120-2, L. 121-8, L. 143-14, L. 212-1 et suivants, L. 236-3, L. 412-17, L. 424-3, L. 432-2, L. 432-2-1, L. 434-1, L. 611-9, L. 620-2 ; L. n° 83-634 du 13-07-1983 ; L. n° 84-16 du 11-01-1984 ; L. n° 84-53 du 16-01-1984 ; L. n° 86-33 du 09-01-1986 ; L. n° 98-461 du 13-06-1998 ; D. n° 82-452 du 28-05-1982 ; D. n° 2000-815 du 25-08-2000 ; D. n° 2005-1309 du 20-10-2005 ; après avoir entendu M. H. Bouchet, commissaire, en son rapport et Mme P. Compagnie, commissaire du Gouvernement, en ses observations,
La CNIL formule les observations suivantes :
La gestion des horaires et des contrôles d’accès aux locaux ainsi qu’au restaurant d’entreprise ou administratif et aux prestations associées peut s’effectuer grâce à la mise en oeuvre de traitements automatisés de données à caractère personnel reposant sur l’utilisation d’un dispositif de reconnaissance du contour de la main. Dès lors, de tels dispositifs relèvent de l’article 25 (8°) de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Il y a lieu, en l’état des connaissances sur la technologie utilisée, de faire application des dispositions de l’article 25-II aux termes duquel les traitements qui répondent à une même finalité portent sur des catégories de données identiques et les mêmes destinataires ou catégories de destinataires peuvent être autorisés par une décision unique de la commission.
Le responsable de traitement mettant en oeuvre un dispositif reposant sur la reconnaissance du contour de la main dans le respect des dispositions de cette décision unique adresse à la commission un engagement de conformité de celui-ci aux caractéristiques de la présente autorisation ;
Décide que les responsables de traitement qui adressent à la commission une déclaration comportant un engagement de conformité pour leurs traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en oeuvre ces traitements.
Art. 1er. - Finalités et caractéristiques techniques du traitement.
Seuls peuvent faire l’objet d’un engagement de conformité en référence à la présente décision unique les traitements reposant sur un dispositif de reconnaissance du contour de la main, mis en oeuvre par les organismes privés ou publics, à l’exception des traitements mis en oeuvre :
– pour le compte de l’Etat ;
– par les établissements accueillant des mineurs, lorsque les personnes concernées sont des mineurs.
Ces traitements peuvent avoir pour finalités :
– le contrôle des accès à l’entrée et dans les locaux limitativement identifiés de l’organisme faisant l’objet d’une restriction de circulation ;
– la gestion des horaires et des temps de présence ;
– le contrôle de l’accès au restaurant d’entreprise ou administratif et la gestion de la restauration ainsi que la mise en place d’un système de paiement associé ;
– le contrôle d’accès des visiteurs.
Le dispositif biométrique de reconnaissance du contour de la main doit présenter les caractéristiques suivantes :
– aucune photographie de la main des personnes concernées n’est conservée ;
– les éléments pris en compte reposent exclusivement sur la géométrie de la main ;
– seul le gabarit du contour de la main, résultat du traitement des mesures par un algorithme, est enregistré dans une base de données où il peut être associé à un numéro d’authentification de la personne ;
– lorsque la finalité poursuivie est le contrôle des horaires des employés, le dispositif de reconnaissance du contour de la main peut être interconnecté avec une application de gestion des horaires et des temps de présence ;
– lorsque la finalité poursuivie est le contrôle de l’accès au restaurant d’entreprise ou administratif, le dispositif de reconnaissance du contour de la main peut être interconnecté avec une application de gestion de la restauration ainsi qu’avec un système de paiement associé.
Art. 2. - Données à caractère personnel traitées.
Chacune des finalités précitées peut faire l’objet d’une application mise en oeuvre de façon indépendante ou intégrée.
Seules les données à caractère personnel suivantes peuvent être traitées :
a) Identité : nom, prénom, photographie, numéro d’authentification et gabarit du contour de la main ;
b) Vie professionnelle : numéro de matricule interne, corps ou service d’appartenance, grade ;
c) Temps de présence : plages horaires autorisées, cumul des horaires, congés, autorisations d’absences, heures supplémentaires, jours de réduction du temps de travail, décharge d’activité de service et autres absences (motifs, droits et décomptes) ;
d) Déplacement des personnes : porte utilisée, zones d’accès autorisées, date et heures d’entrée et de sortie ;
d) En cas d’accès à un parking : numéro d’immatriculation du véhicule, numéro de place de stationnement ;
e) En cas de gestion de la restauration : prix des consommations et moyen de paiement, part patronale ou de l’administration, solde, date du repas et type de consommation (sous la forme exclusive : « hors d’oeuvres », « plat », « dessert », « boisson »).
S’agissant des visiteurs, outre les catégories de données relatives à l’identité et au déplacement des personnes, l’indication de la société d’appartenance et du nom de l’employé accueillant le visiteur peut être traitée.
Art. 3. - Destinataires des informations.
Dans la limite de leurs attributions respectives et pour l’exercice des finalités précitées, seuls peuvent être destinataires des données suivantes :
Lorsqu’un accord sur le temps de travail le prévoit et dans la limite des dispositions légales et conventionnelles applicables, certains employés protégés peuvent être destinataires des informations relatives aux heures d’arrivée et de départ des personnes.
Les personnes habilitées du service du personnel ou du service gérant la sécurité ne peuvent avoir accès au gabarit du contour de la main que de façon temporaire et pour les stricts besoins de son inscription dans la base de données ou de sa suppression.
Art. 4. - Durée de conservation.
A l’exception du gabarit du contour de la main et du code d’authentification associé qui doivent être supprimés dès le départ de l’employé, les catégories de données relatives à l’identité, à la vie professionnelle et à la gestion du parking peuvent, au maximum, être conservés cinq ans après le départ de l’employé.
Lorsque le dispositif a exclusivement pour objet de contrôler l’accès à certaines zones des locaux, la durée de conservation du gabarit du contour de la main et du code d’authentification associé est égale au temps pendant lequel la personne concernée est habilitée à pénétrer dans lesdites zones.
Les éléments relatifs aux déplacements des personnes ne doivent pas être conservés plus de trois mois. Toutefois, les catégories de données relatives aux déplacements des personnes et aux temps de présence des employés peuvent être conservées pendant cinq ans lorsque le traitement a pour finalité le contrôle du temps de travail.
La conservation des données relatives aux motifs d’absence est limitée à une durée de cinq ans sauf dispositions législatives contraires.
En cas de paiement direct ou de prépaiement des repas, les données monétiques ne peuvent être conservées plus de trois mois. En cas de paiement par retenue sur le salaire, la durée de conservation est de cinq ans.
S’agissant des visiteurs, les catégories de données relatives à l’identité, à la vie professionnelle et à la gestion du parking peuvent, au maximum, être conservés trois mois à compter de la date de la dernière visite.
Art. 5. - Liberté de circulation des employés protégés.
Les contrôles d’accès aux locaux du responsable de traitement et aux zones limitativement désignées faisant l’objet d’une restriction de circulation justifiée par la sécurité des biens et des personnes qui y travaillent ne doivent pas entraver la liberté d’aller et venir des employés protégés dans l’exercice de leurs missions.
Art. 6. - Mesures de sécurité.
Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et notamment pour empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.
Les accès individuels au traitement s’effectuent par un identifiant et un mot de passe individuel, régulièrement renouvelé, ou par tout autre moyen d’authentification.
Art. 7. - Information des personnes.
Le responsable du traitement procède, conformément aux dispositions des articles L. 432-2 et L. 432-2-1 du code du travail et à la législation applicable aux trois fonctions publiques, à l’information et à la consultation des instances représentatives du personnel avant la mise en oeuvre des traitements visés à l’article 1er.
L’information des employés est effectuée, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004, par la diffusion à chaque personne concernée, préalablement à la mise en oeuvre du traitement, d’une note explicative.
Art. 8. - Exercice des droits d’accès et de rectification.
Le droit d’accès défini au chapitre V de la loi du 6 janvier 1978 modifiée s’exerce auprès du ou des services que le responsable de traitement aura désignés.
Art. 9. - Tout traitement automatisé de données à caractère personnel reposant sur l’utilisation d’un dispositif de reconnaissance du contour de la main qui n’est pas conforme aux dispositions qui précèdent doit faire l’objet d’une demande d’autorisation auprès de la Commission dans les formes prescrites par les articles 25 (8°) et 30 de la loi du 6 janvier 1978 modifiée.
Art. 10. - La présente délibération sera publiée au Journal officiel de la République française.
Le Président,
A. TÜRK
1 Pour tout renseignement, contacter la Direction des systèmes d’information du CNRS à l’adresse suivante : dsicnil@dsi.cnrs.fr