Est autorisée la création, par le ministère de la justice et des libertés, de traitements automatisés de données à caractère personnel dénommés « BIOAP » comportant des données biométriques et ayant pour finalités :
a) D'établir une carte d'identité interne des personnes écrouées ;
b) De procéder à l'identification de ces personnes, afin notamment de lutter contre des tentatives d'évasion par substitution.
Ces traitements sont mis en œuvre au sein des établissements pénitentiaires.

Les catégories de données à caractère personnel relatives aux personnes écrouées enregistrées dans les traitements automatisés prévus à l'article 1er sont les suivantes :
― nom de famille, nom d'usage, alias et prénoms ;
― numéro d'écrou ;
― photographie d'identité numérisée ;
― gabarit du contour de la main ;
― suivi des contrôles d'identification.
Les traitements ne comportent pas de dispositifs de reconnaissance faciale à partir de la photographie numérisée.

Les données à caractère personnel mentionnées à l'article 2 sont conservées jusqu'à la levée d'écrou faisant suite à la libération ou au transfèrement définitif des personnes écrouées, à l'exception des enregistrements des contrôles d'identification qui sont conservés un mois à compter de leur survenance.

Pour les besoins exclusifs des missions qui leur sont confiées :
1° Ont directement accès aux données mentionnées à l'article 2 les agents de l'administration pénitentiaire individuellement désignés et dûment habilités par le chef de l'établissement pénitentiaire, en consultation seule ou en consultation, modification ou suppression ;
2° Sont destinataires, en consultation seule, des données mentionnées à l'article 2 les agents de la direction générale de l'administration pénitentiaire et des directions interrégionales de l'administration pénitentiaire individuellement désignés et dûment habilités par le directeur de l'administration pénitentiaire.

Le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 susvisée ne s'applique pas aux traitements mentionnés à l'article 1er.

Les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 susvisée s'exercent auprès du chef de l'établissement pénitentiaire ou du directeur interrégional concerné.

La mise en œuvre des traitements BIOAP par les établissements pénitentiaires du ministère de la justice et des libertés est subordonnée à l'envoi préalable à la Commission nationale de l'informatique et des libertés, en application du III de l'article 27 de la loi du 6 janvier 1978 susvisée, d'un engagement de conformité au présent décret, qui précisera le lieu d'implantation du traitement.

La ministre d'Etat, garde des sceaux, ministre de la justice et des libertés, est chargée de l'exécution du présent décret, qui sera publié au Journal officiel de la République française.