Biométrie et RGPD : ami ou ennemi ?

Les données biométriques sont en vogue et ne sont plus uniquement utilisées par la justice et la police. Elles offrent divers avantages en termes de commodité et de sécurité, tant dans la vie professionnelle que privée. Pensez simplement à la facilité avec laquelle vous pouvez déverrouiller votre smartphone grâce à la reconnaissance faciale ou vous connecter à votre PC via la reconnaissance d’empreintes digitales. Les biométries ont le potentiel de simplifier notre vie quotidienne, à la maison comme au bureau.

L’utilisation croissante et le stockage de ce type de données nécessitent naturellement un cadre juridique concluant qui garantit la confidentialité des parties concernées. Le RGPD, ou Règlement Général sur la Protection des Données, vise à protéger, sauvegarder et ancrer ces droits. Cependant, nous constatons dans la pratique que des mises en œuvre médiocres, des interprétations erronées du RGPD et l’absence d’un cadre clair ont conduit à ce que les biométries aient une réputation quelque peu mauvaise, malgré leurs avantages indéniables.

Données biométriques : une définition

De manière générale, les données biométriques peuvent être considérées comme tout ce que vous pouvez mesurer sur un corps, telles que les empreintes digitales, les vaisseaux sanguins sur la paume de la main ou un scan de la rétine de l’œil. Cependant, un comportement unique qui caractérise une personne peut également entrer dans cette catégorie. Par exemple, vous pourriez reconnaître quelqu’un en fonction de sa routine matinale : quelle est la première chose que cette personne fait sur son PC ? Dans quel ordre ? Comment tape-t-elle sur l’ordinateur ou le smartphone ? Et ainsi de suite.

Néanmoins, d’un point de vue juridique et sécuritaire, une définition plus stricte a émergé. L’article 4(n) du RGPD définit les données biométriques comme suit :

« Données à caractère personnel résultant d’un traitement technique spécifique concernant les caractéristiques physiques, physiologiques ou comportementales d’une personne physique, qui permettent ou confirment l’identification unique de cette personne physique, telles que des images faciales ou des données dactyloscopiques. »

En d’autres termes, il s’agit de données uniques qui peuvent être attribuées à une personne spécifique. Cela peut poser des risques majeurs en cas d’utilisation illicite : par exemple, les données biométriques peuvent révéler plus d’informations que prévu dans certains cas, telles que l’origine ethnique, l’état de santé ou même l’état d’ébriété. Le traitement de ce type de données est donc extrêmement délicat, ce qui entraîne des défis supplémentaires en termes de confidentialité.

L’article 9.1 du RGPD (concernant les catégories particulières de données personnelles, communément appelées « les données sensibles dans la loi sur la vie privée ») stipule que le traitement des données biométriques dans le but d’identifier une personne physique de manière unique est, en principe, interdit. Les données biométriques à des fins d’identification sont considérées, selon cet article, comme une catégorie particulière de données personnelles en raison de leur nature sensible. Par conséquent, il est nécessaire d’utiliser l’un des motifs d’exception au traitement, mentionnés à l’article 9.2.

Identification ou vérification ?

Cependant, ce que l’article 9.1 ne semble pas prendre en compte, c’est la différence entre l’identification et la vérification, comme mentionnée à l’article 4 n). Ces deux termes peuvent sembler interchangeables, mais ils ont des significations différentes.

Voici le point : lors de l’identification ou de la reconnaissance, un système vérifiera si les caractéristiques biométriques de quelqu’un correspondent à des modèles précédemment stockés dans une base de données. Ce processus est également appelé approche « one-to-many » ou « un-à-plusieurs » : une caractéristique biométrique spécifique (par exemple, une empreinte digitale) de l’utilisateur est comparée aux caractéristiques de tous les autres utilisateurs enregistrés dans la base de données. Cette comparaison est effectuée en arrière-plan sur la base d’un modèle calculé par le système biométrique et non sur la base d’images de, par exemple, l’empreinte digitale. Cette méthode est très importante : en effet, à partir de ces modèles stockés dans la base de données, la caractéristique biométrique elle-même ne peut pas être reconstituée. Lorsque le seuil fixé est atteint dans cette comparaison des modèles, il y a correspondance et la bonne identité est liée. L’identification consiste donc à reconnaître les personnes sans autre forme de procès : la personne ne communique pas à l’avance qui elle est.

En revanche, lors de la vérification ou de la confirmation d’identité, l’identité d’une personne est vérifiée à l’aide d’un numéro ou d’un code unique fourni par la personne (via un clavier ou un badge d’accès) et de l’identifiant biométrique qu’elle a fourni. Ces éléments sont également comparés, mais uniquement avec le modèle précédemment stocké du même utilisateur dans une base de données. Il est donc seulement vérifié si la personne qui se présente est bien celle qu’elle prétend être. De plus, le modèle utilisateur peut être parfaitement stocké sur le badge d’accès, de sorte que l’organisation n’a pas besoin de le conserver dans les systèmes centraux.

Un exemple de vérification : lorsque vous accédez à votre coffre-fort personnel, vous entrez votre code et scannez votre empreinte digitale. Le système vérifie alors si cette empreinte digitale correspond à votre modèle, qui est demandé en fonction de votre code. Si oui, le coffre-fort s’ouvre.

L’option risquée

Pourquoi l’identification biométrique est-elle considérée comme une application plus risquée ? Une organisation mal intentionnée pourrait potentiellement abuser de la base de données (avec les modèles faciaux) et, par exemple, suivre les actions des membres du personnel en liant de manière permanente les images des caméras de surveillance au modèle stocké pour l’identification dans la base de données.

Le problème est que, selon nous, l’article 9.1 du RGPD ne traite que du traitement des données biométriques à des fins d’identification, ce qui est également confirmé par le Prof. Dr. Els Kindt. Cela implique qu’une base de données est toujours utilisée lors du traitement contre lequel tout le monde est comparé, lors du traitement des données biométriques.

Autorité de contrôle (AC) versus RGPD

L’Autorité de contrôle (AC) ne prend pas non plus en compte cette distinction entre vérification et identification dans sa recommandation concernant le traitement des données personnelles, ce qui signifie que, selon eux, la vérification des données biométriques relève également du champ d’application de l’article 9.1.

Néanmoins, la différence du point de vue de la confidentialité est grande. Prenons par exemple une organisation ou une entreprise avec une base de données de 1000 employés. En cas d’identification, cette entreprise pourrait identifier de manière unique des employés sans leur coopération ni même leur connaissance. Cela peut être fait, par exemple, en se basant sur des images nettes provenant de caméras de surveillance ordinaires. Avec la vérification, cela n’est pas possible, car vous devez d’abord savoir qui se présente avant de pouvoir récupérer le modèle dans la base de données d’un système conçu uniquement pour la vérification. Justement pour éviter ce type d’abus, l’identification biométrique est très strictement réglementée tant dans les espaces ouverts (par exemple, les rues commerçantes, les gares, les aéroports) que fermés, et à juste titre.

De plus, dans sa recommandation, la DPA part du principe qu’il s’agit toujours des images authentiques, « nues », c’est-à-dire la sortie du capteur en tant que telle, qui sont stockées dans les bases de données de ces systèmes biométriques. En pratique, ce n’est pas le cas. Sauf pour le gouvernement, qui stocke une copie authentique d’une photo normalisée de votre visage ou de vos empreintes digitales sur votre carte d’identité ou passeport), cela n’est pas réellement appliqué. Les entreprises qui utilisent la biométrie travaillent avec des modèles dérivés des informations originales.

Par exemple, un système biométrique convertira l’image originale en un modèle mathématique, un « modèle », lors de l’enregistrement initial de votre caractéristique biométrique. Il est impossible de passer de ce modèle à l’image authentique, mais le système est capable de reconnaître l’attribut sur la base de ce modèle, par comparaison avec le modèle enregistré ou, dans le cas de l’identification, avec tous les modèles enregistrés. Si le seuil est dépassé et qu’il y a une correspondance suffisante, l’identité est confirmée.

Il est important que l’algorithme fonctionne toujours dans un seul sens. Les données qu’un iPhone calcule et stocke pour reconnaître votre visage lors du déverrouillage, par exemple, seront toujours converties en une formule mathématique ou un modèle, mais, sur la base de ce modèle (qui, soit dit en passant, est stocké dans une partie matérielle hautement sécurisée de votre iPhone), il ne sera jamais possible de recréer une image exacte de votre visage.

Biométrie dans le monde professionnel : comment procéder en toute sécurité

Cette recommandation et la connotation négative que les biométriques génèrent parfois peuvent freiner, voire dissuader les entreprises d’utiliser des systèmes biométriques. Cependant, si vous :

• utilisez des modèles ;
• travaillez avec la vérification (et non l’identification) ;
• stockez le modèle de manière sécurisée uniquement avec l’utilisateur lui-même (par exemple sur un badge d’accès) ;
• et que vous, en tant qu’entreprise, avez une raison valable d’utiliser cette technologie (sécurité élevée ou commodité),

… alors les biométriques constituent certainement une technologie valable.

Un exemple où l’utilisation des biométriques pourrait être justifiée est, par exemple, pour accéder à une salle d’opération dans un hôpital. Les biométriques sont non seulement utiles dans ce contexte, car les chirurgiens peuvent entrer sans avoir à retirer leurs gants stériles ou leur masque facial, mais elles offrent également une sécurité supplémentaire en ne donnant accès qu’à un nombre limité de personnes. L’authentification peut être facilitée ici, par exemple, en lisant sans contact le badge d’accès d’un utilisateur.

Quelques bonnes pratiques à garder à l’esprit :

• Appliquez la vérification au lieu de l’identification ;
• Utilisez des modèles (au lieu des images authentiques, « brutes ») ;
• Stockez ces modèles chez l’utilisateur final (par exemple sur un badge d’accès), et non de manière centrale chez le contrôleur lui-même ;
• Offrez toujours une alternative aux biométriques (par exemple, un code PIN ou un mot de passe suffisamment long).
• Travaillez avec un partenaire expert qui peut vous conseiller ;
• Réalisez une EIPD (évaluation d’impact sur la protection des données) ;
• Mettez régulièrement à jour les modèles enregistrés en procédant à un nouvel enregistrement.

Et, souvenez-vous : les biométriques offrent une myriade de possibilités, tant qu’elles sont manipulées avec soin. Personne n’est parfait – pas même les systèmes biométriques.