Le bureau de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-8° ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations,
Vu la demande d'autorisation, présentée par la société Redbus Interhouse SA, d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance de l'iris et ayant pour finalité de contrôler l'accès aux locaux sensibles ;
Formule les observations suivantes :
La société Redbus Interhouse SA a adressé à la Commission un dossier de demande d'autorisation relatif à l'utilisation d'un nouveau dispositif d'authentification par reconnaissance de l'iris. Ce dispositif a pour objet de contrôler l'accès aux salles techniques dans lesquelles se situent les systèmes informatiques dont la société Redbus Interhouse SA assure l'hébergement pour le compte de ses clients.
Les personnes concernées par le traitement sont les employés de la société Redbus Interhouse SA, les employés des sociétés clientes de la société Redbus Interhouse SA, ainsi que les employés des sociétés sous-traitantes en charge de la maintenance des infrastructures informatiques. Le dispositif de contrôle d'accès conserve également les traces relatives aux passages des personnes habilitées à avoir accès aux locaux protégés.
Compte tenu de la nature des données stockées sur les systèmes informatiques hébergés par la société Redbus Interhouse SA, cette dernière justifie d'un fort impératif de sécurité lié à la nécessité de contrôler l'accès aux salles informatiques considérés comme zones sensibles.
Dès lors, la Commission considère que la mise en oeuvre d'un traitement reposant sur la reconnaissance de l'iris est adaptée et proportionnée à la finalité assignée au dispositif.
Le droit d'accès défini au chapitre VII de la loi s'exercera auprès de la société Redbus Interhouse SA, 130-136 boulevard de Verdun, Energypark 09, 92413 Courbevoie.
Les catégories de données à caractère personnel enregistrées seront l'identité (nom, prénom) des personnes habilitées à accéder à la zone protégée, le gabarit de leur iris, le nom de l'entreprise pour laquelle elles travaillent, les dates et heures de leurs accès en zone protégée.
Les destinataires des informations seront les employés du département technique de la société Redbus Interhouse. Les entreprises dont les systèmes informatiques sont hébergés par la société Redbus Interhouse et celles en charge de la maintenance desdits systèmes peuvent accéder sur demande aux données relatives aux passages de leurs employés.
Autorise, dans ces conditions, la société Redbus Interhouse SA à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité de contrôler l'accès aux locaux sensibles via l'utilisation d'un dispositif de reconnaissance de l'iris.
Le président, Alex TURK.