Biométrie : la CNIL encadre l’utilisation de certains dispositifs et simplifie leur déclaration

La CNIL a adopté le 27 avril 2006 trois autorisations uniques en matière de biométrie. Elle encadre ainsi les modalités d’utilisation et simplifie les formalités déclaratives de certains dispositifs biométriques : - le contour de la main pour le contrôle d’accès, la gestion des horaires et de la restauration sur les lieux de travail ; - l’empreinte digitale exclusivement enregistrée sur un support individuel pour le contrôle de l’accès aux locaux sur les lieux de travail ; - le contour de la main pour l’accès au restaurant scolaire.

Les dispositifs reposant sur l’utilisation de données biométriques, telles que l’empreinte digitale ou le contour de la main, doivent, préalablement à leur mise en œuvre, faire l’objet d’une autorisation de la CNIL. Parmi ces dispositifs certains ne présentent pas de risques particuliers au regard de la protection des données à caractère personnel et ont, à de nombreuses reprises, fait l’objet d’autorisations de la CNIL.

Il en est ainsi des dispositifs reposant sur la reconnaissance du contour de la main. Ce type de donnée biométrique ne laisse pas de traces susceptibles d’être captées à l’insu de la personne et d’être utilisées à des fins étrangères à la finalité initiale assignée au dispositif. Les autorisations uniques adoptées concernent les traitements qui ont pour finalités :

le contrôle d’accès, la gestion des horaires et de la restauration sur les lieux de travail ;
l’accès au restaurant scolaire, cette hypothèse faisant l’objet d’un encadrement spécifique compte tenu du traitement de données relatives à des mineurs.

La troisième autorisation unique porte sur les dispositifs reposant sur la reconnaissance de l’empreinte digitale dès lors qu’elle est exclusivement enregistrée sur un support individuel dont la personne concernée a un contrôle exclusif. Ce mode de stockage permet là aussi de garantir que la donnée biométrique ne sera pas captée à l’insu de la personne et utilisée à des fins étrangères à la finalité initiale assignée au dispositif. Seuls sont visés les traitements ayant pour finalité le contrôle de l’accès physique aux locaux sur les lieux de travail.

Les dispositifs reposant sur un enregistrement de l’empreinte digitale dans une base de données centralisée ou située sur le lecteur restent soumis à la procédure d’autorisation au cas par cas.

Dès lors que les dispositifs biométriques respectent les prescriptions définies par la CNIL dans l’une de ces autorisations, ils peuvent faire l’objet d’une déclaration en ligne sous la forme d’un engagement de conformité à l’autorisation unique adéquate.