Réponse publiée le 5 septembre 2006

En vertu de l'article 2 de la loi n° 78-18, du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, constitue une donnée à caractère personnel toute information relative à l'identification d'une personne physique. Par suite, le traitement informatisé de cette information est constitué par « toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation ». Cette donnée et son traitement existent dans un système de badges installé par une commune. Dès lors qu'il permet d'identifier le personnel et qu'il est exploité informatiquement. Il convient donc de procéder à une déclaration auprès de la Commission nationale de l'informatique et des libertés (CNIL). Afin de faciliter cette formalité, l'article 24 de la loi du 6 janvier 1978 prévoit la déclaration de conformité à une norme simplifiée pour les catégories les plus courantes de traitements, c'est-à-dire ceux qui ne portent pas atteinte à la vie privée ou aux libertés. La norme simplifiée n° 42 (délibération n° 02-001 du 8 janvier 2002 disponible sur le site Internet de la CNIL) concerne notamment les traitements automatisés d'informations nominatives mis en oeuvre sur les lieux de travail pour la gestion des contrôles d'accès aux locaux et des horaires. Elle est applicable au secteur public, à l'exclusion des systèmes utilisant une identification biométrique. Si la mise en oeuvre du système de badges informatisé est strictement conforme à cette norme simplifiée, la commune peut effectuer une déclaration simplifiée envoyée, le cas échéant à la CNIL, par voie électronique. En revanche, si les conditions d'application et de fonctionnement de ce système de badges informatisé sont plus larges que celles énoncées dans la norme simplifiée, il convient alors d'utiliser le régime de déclaration normale.