La CNIL s’est prononcée 11 décembre 2007 sur le décret instituant le nouveau passeport biométrique (décret du 30 avril 2008). Ce passeport comportera comme le passeport actuel une puce électronique, qui contiendra non plus seulement la photographie de son titulaire, comme c’est le cas actuellement, mais aussi ses deux empreintes digitales, conformément au règlement européen du 13 décembre 2004.

Le décret prévoit aussi la création d’un fichier central comportant les photographies des demandeurs de passeport et les empreintes digitales de leurs huit doigts, ce qui va au-delà de ce qui est prévu par la législation européenne.

Constatant que le dispositif envisagé conduirait à la mise en place de la première base centralisée de données biométriques à finalité administrative portant sur des ressortissants français, la Commission, dont l’avis n’a pas été suivi sur ce point, a tout d’abord considéré que l’ampleur de la réforme et l’importance des questions qu’elle pouvait soulever nécessitait l’intervention du législateur, à l’égal de ce qui est prévu pour le projet de carte d’identité nationale électronique.

Elle a ensuite rappelé qu’une telle base de données biométriques ne pouvait être admise que dans la mesure où elle serait dûment justifiée par un impératif fort de sécurité ou d’ordre public.

A cet égard, tout en prenant acte des garanties prises pour assurer la sécurité de cette base centrale d’empreintes, qui sera séparée des autres fichiers de gestion et accessible uniquement dans des conditions strictement encadrées, la Commission a estimé que le ministère n’avait pas apporté d’éléments convaincants de nature à justifier la constitution d’un tel fichier centralisé. Elle a d’ailleurs observé que certains états membres de l’Union Européenne (Allemagne par exemple) ont mis en œuvre les passeports biométriques sans pour autant créer des bases centrales d’empreintes digitales.