Déclaration des dispositifs de contrôle d’accès auprès de la CNIL
)
L’installation d’un dispositif de contrôle d’accès doit faire l’objet d’un engagement de conformité déposé auprès de la CNIL (Commission Nationale Informatique et Libertés)
Cet engagement de conformité doit répondre à la norme simplifiée NS-042 Cette norme concerne la gestion des contrôles d’accès (non biométriques) sur les lieux de travail pour les salariés et les visiteurs, la gestion de horaires ainsi qu’à la gestion de la restauration.
Si l’entreprise dispose d’un Correspondant Informatique et Libertés (CIL), elle est dispensée de ces formalités.
Les dispositifs de contrôle d'accès utilisant la biométrie sont strictement encadrés
Depuis le 30 juin 2016, deux autorisations uniques encadrées pat la CNIL encadrent désormais l'ensemble des dispositifs de contrôle d'accès biométrique sur les lieux de travail, quels que soient les types de biométries utilisées.
Ces nouvelles dispositions abrogent les autorisations uniques antérieures AU-007, AU-008, AU-019, AU-027.
L’autorisation unique AU-052 concerne les dispositifs biométriques permettant aux personnes de garder la maîtrise de leur gabarit biométrique. La CNIL impose donc de stocker le gabarit biométrique sur un support détenu par la seule personne concernée ou en base de données sous une forme inexploitable car illisible sans un secret détenu par la seule personne concernée.
Ces systèmes intègrent donc par défaut des mécanismes permettant de respecter la vie privée des personnes. Ils doivent être privilégiés lorsqu’un contrôle d’accès biométrique est mis en place dans un contexte professionnel.
Les dispositifs biométriques ne garantissant pas cette maîtrise sont encadrés par l’autorisation unique AU-053.
L’entreprise devra alors prouver que le dispositif biométrique est nécessaire aux fins de contrôle d’accès et qu’il ne peut se contenter d’un système moins intrusif (une simple badgeuse par exemple).
Il doit justifier de son besoin de centraliser les gabarits biométriques dans ses serveurs. Le responsable du dispositif biométrique devra argumenter par écrit ses choix et appliquer les mesures de sécurité précisées dans l’autorisation unique AU-053.
L’entreprise devra alors prouver que le dispositif biométrique est nécessaire aux fins de contrôle d’accès et qu’il ne peut se contenter d’un système moins intrusif (une simple badgeuse par exemple).
Il doit justifier de son besoin de centraliser les gabarits biométriques dans ses serveurs. Le responsable du dispositif biométrique devra argumenter par écrit ses choix et appliquer les mesures de sécurité précisées dans l’autorisation unique AU-053.
