Un nouveau débat sur la biométrie s'est engagé
La biométrie et la vie privée sont un sujet de discussion depuis longtemps, avant même l'entrée en vigueur du RGPD.
En 1997, un professeur de droit américain du nom de John D. Woodward a écrit un document révolutionnaire, publié dans IEEE Proceedings, intitulé Biometrics, ami de la vie privée ou ennemi de la vie privée ?
Woodward a fait valoir que la biométrie pouvait être l'amie de la vie privée parce qu'elle offrait un moyen d'établir l'identité qui dépendait des caractéristiques uniques d'un vice unique d'un comparateur externe comme un mot de passe. L'utilisateur ne peut pas oublier son visage, son empreinte digitale ou sa rétine et les laisser chez lui, mais il peut oublier un mot de passe ou laisser un badge d'accès sur une commode.
Un mot de passe peut être deviné ou obtenu par usurpation, un badge peut être volé, mais la duplication d'une empreinte digitale ou d'une rétine est un défi. L'argument est valable dans une certaine mesure aujourd'hui, bien que Woodward n'ait pas eu à se pencher sur les questions de sécurité qui se posent aujourd'hui en matière de protection des données biométriques et qu'il n'ait pas eu à se pencher sur l'intelligence artificielle, qui peut, dans certaines circonstances, procéder à des identifications précises sur la base de données incomplètes ou indicatives. En outre, les cas d'utilisation auxquels il a fait référence dans son argument étaient tous des cas d'utilisation d'authentification, et non d'identification. Nous allons examiner les différences. Enfin, le RGPD n'existait pas, de sorte que les questions relatives aux données biométriques liées au RGPD n'ont pas influencé sa réflexion.
Identification vs. authentification avec biométrie
Woodward a défini deux cas d'utilisation des données biométriques : l'identification et l'authentification. Pour l'identification, l'identité d'un sujet n'a pas été établie. Le système capture des données d'image et extrait des caractéristiques pertinentes pour la personne à évaluer. Le système compare ensuite les données sur les caractéristiques avec des informations connues et tente d'établir un lien avec un certain degré de certitude statistique.
Toute cette activité peut se faire en secret et sans le consentement de l'utilisateur. Étant donné que le visage humain est généralement exposé et que, dans son ensemble, il est unique, la reconnaissance faciale est l'approche d'identification la plus couramment utilisée. Avec l'authentification, l'utilisateur donne son consentement et fournit volontiers un échantillon de données biométriques, par exemple une image d'empreinte digitale, un scan rétinien ou autre, puis le système utilise ces informations pour vérifier l'identité d'un utilisateur avant d'autoriser l'utilisateur à accéder à un établissement ou à des informations potentiellement hautement sécurisées.
En substance, l'authentification répond à la question "êtes-vous qui vous dites être" ? L'identification répond à la question "Qui êtes-vous ?
Applications pour les données biométriques
Les applications de données biométriques pour l'authentification sont très répandues, en particulier dans les téléphones portables. Dans ces cas, l'utilisateur part du principe que les données sont stockées sur le téléphone mobile et ne sont pas dupliquées ailleurs sans son consentement. Dans ces circonstances, l'utilisateur contrôle les données. Dans les cas où un utilisateur a accès à un compte bancaire en ligne contenant des données biométriques, ces données sont stockées sur les serveurs de la banque et la banque contrôle les données. Un utilisateur de téléphone portable peut partager des données biométriques stockées avec un opérateur de téléphonie mobile afin de débloquer des services en ligne.
Authentification
Application : Qui es-tu ?
Approbation : Oui
Contrôle des données : utilisateur ou fournisseur, ou les deux
Technologie : Scanner d'empreintes digitales Scanner rétinien
Identification
Application : Es-tu qui tu dis que tu es ?
Approbation : Non
Contrôle des données : tiers
Technologie : Reconnaissance faciale
Les cas d'utilisation de l'identification sont l'affaire des gouvernements qui se soucient d'une plus grande sécurité. La capture d'images/reconnaissance faciale est utilisée dans les aéroports internationaux du monde entier pour aider à identifier les criminels connus ou les activistes étrangers.
La prémisse est que les traits du visage des citoyens ordinaires sont scannés, par rapport aux données connues, puis laissés tomber s'il n'y a pas de correspondance. Des problèmes peuvent survenir lorsque les données pour les citoyens ne sont pas abandonnées, souvent pour les meilleures intentions, comme cette personne pourrait être identifiée plus tard comme un criminel, sachant où cette personne avait été, serait très précieuse.
Il s'agit d'une pente glissante, le stockage de données est bon marché, modeste prix caméras vidéo numériques offrent d'excellentes performances, et peut être installé sans fil presque partout. La tentation pour les professionnels de la sécurité de tout enregistrer à partir d'autant de caméras qu'ils peuvent se le permettre est très forte.
Les données biométriques seront-elles couvertes par le RGPD ?
Le RGPD et les données biométriques sont traités par le règlement et par des règles qui sont définies auprès de chaque autorité de protection des données (APD). Le RGPD empêche explicitement l'utilisation de données biométriques à des fins d'authentification ou d'identification, mais il existe plusieurs exceptions, mentionnées à l'article 9, paragraphe 2. Pour l'authentification, l'application doit exiger une fiabilité élevée qui ne peut être obtenue par d'autres technologies. Les données biométriques concernant des individus sont considérées comme des données à caractère personnel sensibles et requièrent donc un niveau de protection plus élevé.
Plusieurs pays ont adopté des positions spécifiques sur l'identification biométrique, par exemple la CNIL française a récemment publié un document de position reconnaissant la nécessité d'un gouvernement pour sécuriser les frontières, mais refusant de fixer des règles strictes, préférant vérifier au cas par cas.
- Conformément à ces règles, la nécessité de tels dispositifs doit être déterminée au cas par cas : La reconnaissance faciale ne peut pas être utilisée sans une exigence particulière afin de garantir une grande fiabilité dans la vérification de l'identité des personnes. Ces textes imposent également de garantir à la fois la proportionnalité des moyens utilisés et la protection particulière des enfants. Ils exigent que les personnes soient au cœur des systèmes, par exemple en obtenant leur consentement ou en s'assurant qu'elles ont le contrôle de leurs données. L'application de ces principes, récemment réaffirmés au niveau européen, a déjà permis à la CNIL d'autoriser le principe de certaines utilisations tout en les encadrant concrètement (contrôle aux frontières dans les aéroports) et d'en refuser d'autres (contrôle de l'accès des élèves dans les établissements scolaires).
La CNIL a également mis en garde les entreprises contre la promotion d'applications expérimentales ou expérimentales dans le seul but de socialiser le public à ces technologies et d'obtenir son consentement tacite, celles-ci ne seront pas autorisées par la CNIL.
La DPA italienne (The Garante) a adopté une approche différente dans ses lignes directrices pour 2014, en se concentrant sur la méthode de collecte plutôt que sur l'utilisation et en choisissant de définir des systèmes de collecte biométrique passifs et interactifs :
- Les systèmes biométriques sont dits interactifs ou participatifs lorsqu'ils envisagent la participation de la personne concernée et l'obligent à collaborer à la phase de collecte des données biométriques - par exemple lors de la numérisation rétinienne ou du placement de la signature manuscrite. Inversement, les systèmes passifs collectent des données biométriques sans que la personne concernée ne les perçoive ou ne les connaisse - par exemple dans le cas de l'imagerie faciale ou des enregistrements vocaux, qui sont saisis sans que la personne concernée y ait recours.
Cette situation est restée essentiellement inchangée depuis 2014, bien qu'un décret législatif (en italien uniquement) ait exigé l'introduction de nouvelles dispositions tous les deux ans (à partir de 2018), qui réviseraient les lignes directrices en fonction de l'utilisation des nouvelles technologies.
L'Allemagne n'a pas d'autorité centrale de protection des données. La responsabilité incombe aux organisations gouvernementales, qui sont au nombre de 16.
Résoudre le débat sur la biométrie
Le débat sur l'utilisation des données biométriques à des fins d'identification ou d'authentification dans un monde axé sur la protection des données est en cours et se déroule depuis plus de 20 ans. Le fait de constater que le débat comporte en fait deux cas d'utilisation différents permettra probablement de parvenir à un certain accord et à une certaine compréhension. Le cas de l'identification garantit presque que les informations sont collectées sans le consentement explicite de l'individu. D'un autre côté, il existe de nombreux cas d'utilisation de l'authentification qui demandent le consentement et la participation active de l'individu, et l'individu bénéficie souvent d'un accès plus fiable et d'une meilleure sécurité. Bien que l'on considère que l'application de la loi au niveau de l'État-nation a un besoin urgent d'identification biométrique, son utilisation par d'autres peut être inutile si d'autres approches moins invasives peuvent être acceptables.
ressources :
- Biometrics, privacy’s friend or privacy’s foe: semanticscholar.org/paper/Biometrics%3A-privacy’s-foe-or-privacy’s-friend-Woodward/45db09c52035fcee984525397b56d8b5c9b80b57
- Position paper : cnil.fr/en/facial-recognition-debate-living-challenges
- Lignes directrices 2014 : garanteprivacy.it/documents/10160/0/GUIDELINES+ON+BIOMETRIC+ RECOGNITION.pdf/3ac0d4ff-7575-4f5e-a3fa-b894ab7cf517?version=1.1