La biométrie regroupe l’ensemble des techniques informatiques permettant de reconnaître automatiquement un individu à partir de ses caractéristiques physiques, biologiques, voire comportementales. Les données biométriques sont des données à caractère personnel car elles permettent d’identifier une personne. Elles ont, pour la plupart, la particularité d’être uniques et permanentes (ADN, empreintes digitales...). Elles se rapprochent ainsi de ce qui pourrait être défini comme un « identificateur unique universel », permettant de fait le traçage des individus.
La CNIL n’agrée pas et ne labellise pas les dispositifs biométriques.
Les sociétés qui commercialisent ce type de dispositifs ne peuvent donc en aucune façon se prévaloir d’un quelconque agrément de la CNIL sur leur produit.
Les dispositifs biométriques, parce qu’ils permettent d’identifier une personne par ses caractéristiques physiques, biologiques voire comportementales, sont particulièrement sensibles et sont donc soumis à un contrôle particulier de la CNIL. Ainsi, ces dispositifs ne peuvent être mis en œuvre sans autorisation préalable de la CNIL.
Tous les dispositifs de reconnaissance biométrique sont soumis à autorisation préalable de la CNIL quel que soit le procédé technique retenu (contour ou forme de la main, empreinte digitale...). Il appartient à chaque organisme d’adresser une demande d’autorisation à la CNIL. Sauf trois cas de figure précisés ci-après, chaque application fait l’objet d’un examen au cas par cas, en fonction notamment de la caractéristique biométrique utilisée.
Afin de faciliter les formalités, la Commission a défini un cadre, appelé autorisation unique, applicable à certains dispositifs biométriques. Le principe est le suivant : lorsque, par exemple, un employeur souhaite mettre en oeuvre un dispositif biométrique qui répond aux conditions définies dans ce cadre, il peut bénéficier d’une procédure simplifiée. Il lui suffit alors d’adresser à la CNIL une simple déclaration de conformité.
Cette procédure d’autorisation unique s’applique à trois types de dispositifs reposant sur la reconnaissance :
Les personnes concernées par le dispositif biométrique doivent être clairement informées de ses conditions d’utilisation, de son caractère obligatoire ou facultatif, des destinataires des informations et des modalités d’exercice de leurs droits d’opposition, d’accès et de rectification. En outre, et conformément au Code du travail et à la législation applicable à la fonction publique territoriale, les instances représentatives du personnel doivent, le cas échéant, être consultées et informées avant la mise en oeuvre des dispositifs.
Dans une communication destinée à mieux informer les salariés sur leurs droits et permettre aux entreprises et administrations de se poser les bonnes questions « informatique et libertés » la CNIL rappelle que :
Par conséquent, ces dispositifs ne sont justifiés que s’ils sont fondés sur un fort impératif de sécurité et satisfont aux quatre exigences suivantes :
