{"id":5388,"date":"2019-04-16T00:24:20","date_gmt":"2019-04-15T22:24:20","guid":{"rendered":"https:\/\/www.agilit.law\/?p=5388"},"modified":"2021-10-27T00:32:16","modified_gmt":"2021-10-26T22:32:16","slug":"nouvelles-exigences-de-la-cnil-en-matiere-de-traitements-de-donnees-biometriques-sur-les-lieux-de-travail","status":"publish","type":"post","link":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/nouvelles-exigences-de-la-cnil-en-matiere-de-traitements-de-donnees-biometriques-sur-les-lieux-de-travail\/","title":{"rendered":"Focus sur les exigences de la Cnil en mati\u00e8re de traitements de donn\u00e9es biom\u00e9triques sur le lieu de travail"},"content":{"rendered":"

La Commission nationale de l\u2019informatique et des libert\u00e9s (Cnil) a publi\u00e9 son premier r\u00e8glement type<\/a> visant \u00e0 pr\u00e9ciser les conditions dans lesquelles un employeur, en qualit\u00e9 de responsable de traitement, est autoris\u00e9 \u00e0 d\u00e9ployer des dispositifs biom\u00e9triques sur le lieu de travail \u00e0 des fins de contr\u00f4le des acc\u00e8s<\/strong> des salari\u00e9s, des agents, des stagiaires ou encore des prestataires, qu\u2019il s\u2019agisse des acc\u00e8s aux locaux mais \u00e9galement aux appareils ou encore aux applications informatiques utilis\u00e9s dans le cadre des missions confi\u00e9es \u00e0 ces derniers.<\/p>\n

 <\/p>\n

Une nouvelle mission de la Cnil <\/strong><\/h2>\n

La loi informatique et libert\u00e9s, r\u00e9vis\u00e9e une premi\u00e8re fois par la loi n\u00b02018-593 du 20 juin 2018<\/a> (la \u00ab LIL 3 \u00bb) puis par l\u2019ordonnance n\u00b02018-1125 du 12 d\u00e9cembre 2018<\/a> (la \u00ab\u00a0LIL 4\u00a0\u00bb, qui a vocation \u00e0 entrer en vigueur au plus tard le 1er juin 2019), afin de clarifier les dispositions fran\u00e7aises au regard des nouvelles dispositions issues du r\u00e8glement europ\u00e9en (UE)2016\/67 9 du 27 avril 2016 dit \u00ab r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es \u00bb<\/a> (\u00ab RGPD \u00bb), conf\u00e8re \u00e0 la Cnil une nouvelle mission.<\/p>\n

En effet, en concertation avec les organismes publics et priv\u00e9s repr\u00e9sentatifs des acteurs concern\u00e9s, la Cnil dispose d\u00e9sormais du pouvoir d\u2019\u00e9tablir \u00ab\u00a0des r\u00e8glements types en vue d’assurer la s\u00e9curit\u00e9 des syst\u00e8mes de traitement de donn\u00e9es \u00e0 caract\u00e8re personnel et de r\u00e9gir les traitements de donn\u00e9es biom\u00e9triques, g\u00e9n\u00e9tiques et de sant\u00e9<\/em>\u00a0\u00bb. Ces r\u00e8glements types n\u2019ont pas vocation \u00e0 se substituer aux principes g\u00e9n\u00e9raux applicables en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel mais \u00e0 les compl\u00e9ter.<\/p>\n

En outre, l\u2019\u00e9diction par la Cnil d\u2019un r\u00e8glement type rel\u00e8ve de son pouvoir r\u00e9glementaire et est donc \u00e0 ce titre contraignant<\/strong> pour les organismes (contrairement aux r\u00e9f\u00e9rentiels ou recommandations qui, d\u2019un point de vue strictement juridique, ne sont pas contraignants mais permettent d\u2019identifier les bonnes pratiques \u00e0 d\u00e9ployer).<\/p>\n

C\u2019est dans ce contexte que la Cnil a publi\u00e9, \u00e0 la suite d\u2019une consultation publique, son premier r\u00e8glement type<\/strong> (cf. D\u00e9lib\u00e9ration n\u00b0 2019-001 du 10 janvier 2019<\/a> publi\u00e9e le 28 mars 2019) d\u00e9terminant les exigences sp\u00e9cifiques applicables aux traitements de donn\u00e9es biom\u00e9triques (cf. donn\u00e9es \u00e0 caract\u00e8re personnel r\u00e9sultant d’un traitement technique sp\u00e9cifique, relatives aux caract\u00e9ristiques physiques, physiologiques ou comportementales d’une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des donn\u00e9es dactyloscopiques) aux fins de contr\u00f4le par les employeurs publics ou priv\u00e9s de l’acc\u00e8s aux lieux de travail ainsi qu’aux appareils et aux applications utilis\u00e9s dans le cadre des missions confi\u00e9es aux salari\u00e9s, aux agents, aux stagiaires ou aux prestataires. Ce nouveau cadre de r\u00e9f\u00e9rence s\u2019inscrit toutefois dans la continuit\u00e9 des positions ant\u00e9rieures de la Cnil en mati\u00e8re de biom\u00e9trie sur les lieux de travail.<\/p>\n

 <\/p>\n

Les principales exigences issues du r\u00e8glement type de la Cnil<\/strong><\/h2>\n

S\u2019agissant en particulier des dispositifs ayant pour finalit\u00e9 le contr\u00f4le d’acc\u00e8s par authentification biom\u00e9trique aux locaux, aux appareils et aux applications informatiques sur les lieux de travail, et outre le respect des principes applicables en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel (cf. conditions de lic\u00e9it\u00e9 du traitement, principe de minimisation des donn\u00e9es, information obligatoire des personnes concern\u00e9es, etc.) les employeurs publics ou priv\u00e9s mettant en \u0153uvre de tels traitements de donn\u00e9es \u00e0 caract\u00e8re personnel sont d\u00e9sormais \u00e9galement tenus de respecter les obligations \u00e9dict\u00e9es par la Cnil dans son r\u00e8glement type.<\/p>\n

Dans ce contexte, la Cnil est venue pr\u00e9ciser les conditions dans lesquelles les traitements de donn\u00e9es \u00e0 caract\u00e8re personnel \u00e0 l\u2019aide de dispositifs biom\u00e9triques peuvent \u00eatre d\u00e9ploy\u00e9s par un employeur aux fins de contr\u00f4le d\u2019acc\u00e8s.<\/strong> Ainsi, les r\u00e8gles suivantes doivent notamment \u00eatre respect\u00e9es par le responsable de traitement :<\/p>\n