L'Autorisation unique n° AU-007 ne porte plus sur les contrôles d'horaires des salariés

La Commission s'est toujours montrée vigilante concernant les données biométriques. Celles-ci ont en effet la particularité d'être uniques et permanentes, car elles permettent d'identifier un individu à partir de ses caractéristiques physiques, biologiques, voire comportementales (ex : empreinte digitale, contour de la main). Elles ne sont pas attribuées par un tiers ou choisies par la personne. Elles sont produites par le corps lui-même et le désigne de façon définitive permettant de ce fait le "traçage" des individus et leur identification certaine. Le caractère sensible de ces données explique que la loi Informatique et Libertés prévoit un contrôle spécifique de la CNIL fondé essentiellement sur la proportionnalité du dispositif au regard de la finalité recherchée, telle que la gestion des horaires. Le 27 avril 2006, la Commission avait adopté une autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance du contour de la main et ayant pour finalités le contrôle d'accès ainsi que la gestion des horaires et de la restauration sur les lieux de travail (AU-007). À la suite de plus d'une dizaine d'auditions, un consensus s'est clairement exprimé pour considérer comme disproportionnée l'utilisation de la biométrie aux fins de contrôle des horaires. Dès lors, la Commission a décidé de modifier l'AU-007 en ce qu'elle autorisait l'utilisation du contour de la main aux fins de gestion des horaires. Désormais, aucune autorisation unique ne permet  de contrôler les horaires des salariés par un dispositif biométrique.

Mesures transitoires

Les organismes qui recourent déjà à ce dispositif pour contrôler les horaires de leur personnel et qui ont effectué un engagement de conformité avant la publication de cette nouvelle délibération pourront continuer de l'utiliser pendant une période de cinq ans. Passé ce délai, ils devront arrêter de recourir à la fonctionnalité biométrique, ce qui n'impliquera pas systématiquement de changer de matériel. Les organismes pourront en effet paramétrer le système pour inhiber la fonction biométrique et utiliser, à la place, des codes, cartes ou/ et badges sans biométrie. La CNIL a informé individuellement les organismes ayant précédemment adressé un engagement de conformité à l'AU-007. Toutefois, les dispositifs de contour de la main pourront toujours être utilisés pour contrôler l'accès à des locaux ou gérer la restauration sur les lieux de travail. Ces traitements continueront de faire l'objet d'un engagement de conformité à l'AU-007 Le fait d'installer un dispositif biométrique pour d'autres finalités que celles couvertes par l'AU-007 devra donner lieu à des demandes d'autorisation spécifiques, qui seront examinées au cas par cas par la Commission.