Biométrie : passage facultatif en case CNIL pour certains traitements de données

Les traitements de données biométriques doivent-ils systématiquement faire l’objet d’une autorisation préalable de la CNIL ?

L’autorité administrative, qui range dans cette catégorie « l’ensemble des techniques informatiques permettant d’identifier un individu à partir de ses caractéristiques physiques, biologiques, voire comportementales », répond par la négative.

Dans l’absolu, l’article 25 de la loi Informatique et Libertés établit que « la mise en œuvre de traitements automatisés comportant des données biométriques nécessaires au contrôle de l’identité des personnes est soumis à l’autorisation [de la commission] ».

Sauf que l’article 2 de la même loi introduit une exception, concernant les traitements « mis en œuvre pour l’exercice d’activité exclusivement personnelles ».

C’est privé

La CNIL revient sur cette « exemption domestique » en rappelant qu’il existe deux types de dispositifs biométriques.

Il y a d’abord ceux qui fonctionnent « en local » : la donnée biométrique (appelée « gabarit ») est placée sous le seul contrôle de l’utilisateur final. Elle est stockée sur son terminal, dans un environnement cloisonné et sert d’élément de comparaison pour l’authentification. Les services et applications qui l’exploitent ne reçoivent qu’une information sur la réussite ou l’échec de ladite comparaison.

Ce type de traitement peut être couvert par l’exemption domestique inscrite à l’article 2 de la loi Informatique et Libertés… à plusieurs conditions.

Le recours au dispositif ne doit, avant tout, pas être lié à une contrainte extérieure : l’initiative doit provenir de l’utilisateur. Cela exclut notamment les appareils fournis dans le cadre des activités professionnelles.

Les fournisseurs de services doivent par ailleurs proposer un mode d’authentification alternatif, « sans contrainte additionnelle », comme un code PIN. Sinon, le traitement de données relève de leur responsabilité et requiert une autorisation de la CNIL.

Juste un jeton

Concernant le gabarit, il doit être chiffré et stocké dans une zone à laquelle ne peut accéder aucun organisme externe. Enfin, lors du contrôle d’accès, ne devra être transmis qu’un jeton ou une donnée indiquant la réussite ou l’échec de la reconnaissance.

Si les fournisseurs de services qui remplissent ces conditions ne sont pas responsables du traitement des données biométriques associées, ils restent responsables du traitement mis en œuvre par leurs services.

Cela impose tout particulièrement que le taux de faux positifs et de faux négatifs soit adaptés au niveau de sécurisation du contrôle d’accès souhaité (seuil de tolérance d’autant plus restreint que les données sont critiques). Le capteur doit en outre être résistant aux attaques dites « triviales », comme l’utilisation d’une empreinte digitale imprimée à plat ou d’une photo pour la reconnaissance faciale.

Dans le cas d’un dispositif fonctionnant en interaction avec des serveurs distants, une autorisation est requise aussi longtemps que l’organisme tiers est décideur de la mise en place de l’authentification dans un contexte donné et qu’il maîtrise tout ou partie des moyens de traitement (lecteur, base pour stocker le gabarit).