La biométrie regroupe l’ensemble des techniques informatiques permettant d’identifier un individu à partir de ses caractéristiques physiques, biologiques, voire comportementales. Les données biométriques ont la particularité d’être uniques et permanentes. Elles permettent de ce fait le "traçage" des individus et leur identification certaine. Le caractère sensible de ces données justifie que la loi prévoie un contrôle particulier de la CNIL fondé essentiellement sur l’impératif de proportionnalité.
Divers procédés biométriques existent à ce jour. On distingue :
D’abord réservée à l’identification judiciaire, la biométrie concerne des usages toujours plus variés (contrôle d’accès à des locaux, gestion des horaires, etc). Or, la donnée biométrique n’est pas une donnée d’identité comme les autres. Elle n’est pas attribuée par un tiers ou choisie par la personne. Elle est produite par le corps lui-même et le désigne de façon définitive. Le mauvais usage ou le détournement d’une telle donnée peut alors avoir des conséquences graves. C’est pour cela que le recours à la biométrie doit être strictement encadré.
Principe général : les dispositifs de reconnaissance biométrique sont soumis à l’autorisation préalable de la Commission (art 25 de la loi "Informatique et libertés"). Chaque organisme doit donc effectuer une demande d’autorisation auprès de la CNIL.
Afin de simplifier la procédure, la Commission a allégé les formalités pour certains dispositifs, en définissant un cadre : l’autorisation unique. Quand un organisme souhaite mettre en œuvre un dispositif biométrique qui répond aux conditions définies dans une autorisation unique, il doit effectuer une déclaration simplifiée, en s’engageant à respecter les conditions définies dans ce texte. La CNIL peut, à tout moment, effectuer un contrôle sur place pour vérifier la réalité de cet engagement.
Cas particulier : les dispositifs biométriques mis en œuvre par l’Etat pour authentifier ou contrôler l’identité des personnes relèvent d’un avis préalable de la CNIL sur un décret (art 27-I-2° de la loi).
Sur la base de ces critères, la CNIL a strictement encadré le recours à la biométrie. Elle a, en particulier, subordonné la création d’une base centralisée de données d’empreintes digitales à un "fort impératif de sécurité". En effet, si le recours à l’empreinte digitale, technique "à traces", est très performant en matière d’identification des personnes, cette technique demeure en effet risquée en termes d’usurpation d’identité, ce qui justifie que son usage soit encadré.
A titre d’exemples,
Les personnes concernées par le dispositif biométrique (salariés, clients, patients, etc), doivent être clairement informées de ses conditions d’utilisation, de son caractère obligatoire ou facultatif, des destinataires des informations collectées et des modalités d’exercice de leurs droits d’opposition, d’accès et de rectification. Lorsque la réglementation l’exige (Code du travail ou régime de la fonction publique), les instances représentatives du personnel doivent être consultées et informées avant la mise en œuvre des dispositifs.
Toutes les formalités s’effectuent en ligne sur le site internet de la CNIL, rubrique Déclarer :
