La vérification biométrique d’identité est en pleine expansion pour le contrôle d’accès à des installations publiques. Pour répondre aux préoccupations des abonnés concernés, nous avons décidé de procéder à un contrôle du nouveau système biométrique de contrôle d’accès mis en place dans un centre sportif privé. Nous analysons à présent les données récoltées, en les évaluant à l’aune des principes fondamentaux de protection des données.
Sollicités par plusieurs citoyens préoccupés par l’introduction d’un système biométrique de contrôle d’accès à un centre sportif privé, nous avons décidé de procéder à un contrôle sur place. Comme à l’accoutumée, nous avons annoncé notre visite à la direction de l’établissement et nous avons préalablement demandé un éclaircissement quant au concept envisagé et posé quelques questions de base. Après examen des réponses fournies, nous nous sommes rendus sur les lieux pour constater et vérifier les traitements de données effectués, afin de compléter notre éclaircissement des faits. En l’état actuel, une empreinte digitale est saisie au moment de la conclusion d’un abonnement annuel et conservée dans le système central, sous la forme d’un gabarit biométrique. Lors de chaque visite à la piscine, l’abonné introduit son empreinte digitale – dont le gabarit extrait doit correspondre à la référence mémorisée dans le système central - afin de libérer le portail d’accès. Un des buts avoués de ce nouveau type d’authentification biométrique est de prévenir les abus (notamment par transmission de carte entre personnes proches). La carte ne contient aucune donnée personnelle, mais uniquement un numéro personnel d’identification lisible par radiofréquence (RFID). En cas d’oubli, l’abonné peut se présenter au guichet et attester de son identité, afin d’accéder aux installations. Nous avons également porté notre attention sur le traçage des entrées des clients, sur les délais de conservation des différentes données et sur les multiples statistiques issues de ce nouveau système de gestion. Après dépouillement et analyse des informations qui nous ont été fournies, nous adresserons à la direction de l’établissement un rapport définitif comprenant des appréciations, des propositions d’amélioration ou, selon les résultats de notre examen, une recommandation au sens de l’art. 29 al. 3 LPD.
[Juillet 2006]