Délibération nº 2006-103 du 27 avril 2006 portant autorisation unique de mise en oeuvre de traitements automatisés de données à caractère personnel reposant sur l'utilisation d'un dispositif de reconnaissance du contour de la main et ayant pour finalité l'accès au restaurant scolaire (décision d'autorisation unique nº AU-009).
La Commission nationale de l'informatique et des libertés,
Vu la convention nº 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi nº 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi nº 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 (8° et II) ;
Vu le décret nº 2005-1309 du 20 octobre 2005 pris pour l'application de la loi nº 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi nº 2004-801 du 6 août 2004 ;
Après avoir entendu M. Francis Delattre, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le contrôle de l'accès au restaurant scolaire peut s'effectuer grâce à la mise en oeuvre de traitements automatisés de données à caractère personnel reposant sur l'utilisation d'un dispositif de reconnaissance du contour de la main.
Dès lors, de tels dispositifs relèvent de l'article 25 (8°) de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes. Il y a lieu de faire application des dispositions de l'article 25-II aux termes duquel les traitements qui répondent à une même finalité, portent sur des catégories de données identiques et les mêmes destinataires ou catégories de destinataires peuvent être autorisés par une décision unique de la commission ;
Le responsable de traitement mettant en oeuvre un dispositif reposant sur la reconnaissance du contour de la main dans le respect des dispositions de cette décision unique adresse à la commission un engagement de conformité de celui-ci aux caractéristiques de la présente autorisation ;
Décide que les responsables de traitement qui adressent à la commission une déclaration comportant un engagement de conformité pour leurs traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en oeuvre ces traitements.
Article 1. Finalités et caractéristiques techniques du traitement.
Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente décision unique les traitements reposant sur un dispositif de reconnaissance du contour de la main mis en oeuvre par les établissements publics locaux d'enseignement du second degré et les établissements privés d'enseignement du second degré.
Ces traitements ont pour finalité le contrôle de l'accès des élèves et des personnels au restaurant scolaire et sont interconnectés avec une application de gestion de la restauration ainsi qu'avec un système de paiement associé.
Le système envisagé repose d'une part, sur la mise en oeuvre d'un fichier de gestion recensant les élèves fréquentant la cantine scolaire et d'autre part, sur un dispositif de contrôle d'accès.
Ce dernier est composé d'une borne d'accès, située à l'entrée du restaurant, reliée à un lecteur biométrique, lequel contient une base de données comportant les gabarits biométriques et les codes d'accès.
Le dispositif biométrique de reconnaissance du contour de la main doit présenter les caractéristiques suivantes :
– aucune photographie de la main des personnes concernées n'est conservée ;
– les éléments pris en compte reposent exclusivement sur la géométrie de la main ;
– seul le gabarit du contour de la main, résultat du traitement des mesures par un algorithme, est enregistré dans la base de données où il peut être associé à un code ou numéro d'authentification de la personne.
Article 2. Données à caractère personnel traitées.
Seules les données à caractère personnel suivantes peuvent être traitées :
a) S'agissant des élèves :
– les données de gestion utiles pour l'accès au restaurant : identité (nom, prénom), la classe, le numéro d'ordre dans l'établissement, les coordonnées du responsable légal, un code horaire et un code tarif ;
– les gabarits biométriques de la main associés à un code d'accès personnel ;
b) S'agissant des personnels :
– les données de gestion utiles pour l'accès au restaurant : identité (nom, prénom), les codes horaire et tarif.
– les gabarits biométriques de la main associés à un code d'accès personnel.
Article 3. Destinataires des informations.
Peuvent être destinataires des données visées à l'article 2, dans la limite de leurs attributions respectives et pour l'exercice des finalités précitées, le responsable d'établissement ainsi que les seules personnes habilitées qui assurent la gestion du service de la restauration scolaire.
Les personnes habilitées énumérées ci-dessus ne peuvent avoir accès au gabarit de l'empreinte digitale que de façon temporaire et pour les stricts besoins de son inscription sur le support individuel ou de sa suppression.
Article 4. Durée de conservation.
Les données relatives à l'identité de l'élève sont conservées pendant la durée de sa scolarité dans l'établissement. Les données relatives à l'identité des personnels sont conservées pendant la durée de leur affectation au sein de l'établissement.
Les gabarits biométriques du contour de la main associés à un code d'accès personnel sont conservés pendant la durée de l'année scolaire. Si une personne quitte l'établissement ou est désinscrite du service de restauration scolaire en cours d'année, les données biométriques sont effacées dans la semaine suivant son départ ou sa désinscription.
Article 5. Mesures de sécurité.
Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et, notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.
Les accès individuels au traitement s'effectuent par un identifiant et un mot de passe individuel, régulièrement renouvelé, ou par tout autre moyen d'authentification.
Article 6. Information des personnes.
L'information des élèves majeurs et des représentants légaux des élèves mineurs ainsi que des personnels sur l'identité du responsable du traitement, les finalités poursuivies, le caractère obligatoire ou facultatif des réponses à apporter, les conséquences éventuelles, à leur égard d'un défaut de réponse, les destinataires des données et l'existence d'un droit d'accès et de rectification aux données les concernant est assurée par la diffusion d'une note explicative, préalablement à la mise en oeuvre du traitement.
Les élèves majeurs et les représentants légaux des élèves mineurs doivent être individuellement informés du droit de s'opposer, par un moyen simple, à l'informatisation des données biométriques les concernant ou concernant leurs enfants. En cas d'opposition à l'utilisation du dispositif biométrique, les élèves ont la possibilité de se voir délivrer un badge ou tout autre moyen d'accès à la cantine.
L'information des représentants des parents d'élèves, des élèves et des personnels doit également être assurée lors des réunions des instances délibératives de l'établissement.
Article 7. Exercice des droits d'accès et de rectification.
Le droit d'accès défini au chapitre V de la loi du 6 janvier modifiée s'exerce auprès du ou des services que le responsable de traitement aura désignés. Cette information figure sur le formulaire d'inscription au service de restauration scolaire.
Article 8. Tout traitement automatisé de données à caractère personnel reposant sur l'utilisation d'un dispositif de reconnaissance du contour de la main qui n'est pas conforme aux dispositions qui précèdent doit faire l'objet d'une demande d'autorisation auprès de la Commission dans les formes prescrites par les articles 25 (8°) et 30 de la loi modifiée du 6 janvier 1978.
Article 9. La présente délibération sera publiée au Journal officiel de la République française.
Le président, A. Türk