Comment les données biométriques se combinent-elles avec le RGPD ?

Un nouveau débat sur la biométrie s'est engagé

Biométrie et Vie privée sont un sujet de discussion depuis longtemps, avant même que les RGPD est entrée en vigueur.

En 1997, un professeur de droit américain du nom de John D. Woodward a écrit un document révolutionnaire, publié dans IEEE Proceedings, intitulé Biometrics, Freund der Vie privée ou ennemi de la Vie privée?

Woodward a fait valoir que la biométrie était l'amie de la Vie privée pourrait être parce qu'il offrait un moyen d'établir l'identité qui dépendait des caractéristiques uniques d'un vice unique d'un comparateur externe tel qu'un mot de passe. L'utilisateur ne peut pas oublier son visage, son empreinte digitale ou sa rétine et les laisser chez lui, mais il peut oublier un mot de passe ou laisser un badge d'accès sur une commode.

Un mot de passe peut être deviné ou obtenu par usurpation, un badge peut être volé, mais la duplication d'une empreinte digitale ou d'une rétine est un défi. L'argument est valable dans une certaine mesure aujourd'hui, bien que Woodward n'ait pas eu à se pencher sur les questions de sécurité qui se posent aujourd'hui en matière de protection des données biométriques et qu'il n'ait pas eu à se pencher sur l'intelligence artificielle, qui peut, dans certaines circonstances, procéder à des identifications précises sur la base de données incomplètes ou indicatives. En outre, les cas d'utilisation auxquels il a fait référence dans son argument étaient tous des cas d'utilisation d'authentification, et non d'identification. Nous allons examiner les différences. Enfin, il n'y avait pas de RGPDIl n'a donc pas été influencé par les questions liées à la biométrie et au RGPD.

Identification vs. authentification avec biométrie

Woodward a défini deux cas d'utilisation des données biométriques : l'identification et l'authentification. Pour l'identification, l'identité d'un sujet n'a pas été établie. Le système capture des données d'image et extrait des caractéristiques pertinentes pour la personne à évaluer. Le système compare ensuite les données sur les caractéristiques avec des informations connues et tente d'établir un lien avec un certain degré de certitude statistique.

Toute cette activité peut se faire en secret et sans le consentement de l'utilisateur. Étant donné que le visage humain est généralement exposé et que, dans son ensemble, il est unique, la reconnaissance faciale est l'approche d'identification la plus couramment utilisée. Avec l'authentification, l'utilisateur donne son consentement et fournit volontiers un échantillon de données biométriques, par exemple une image d'empreinte digitale, un scan rétinien ou autre, puis le système utilise ces informations pour vérifier l'identité d'un utilisateur avant d'autoriser l'utilisateur à accéder à un établissement ou à des informations potentiellement hautement sécurisées.

En substance, l'authentification répond à la question "êtes-vous qui vous dites être" ? L'identification répond à la question "Qui êtes-vous ?

Applications pour les données biométriques

Les applications de données biométriques pour l'authentification sont très répandues, en particulier dans les téléphones portables. Dans ces cas, l'utilisateur part du principe que les données sont stockées sur le téléphone mobile et ne sont pas dupliquées ailleurs sans son consentement. Dans ces circonstances, l'utilisateur contrôle les données. Dans les cas où un utilisateur a accès à un compte bancaire en ligne contenant des données biométriques, ces données sont stockées sur les serveurs de la banque et la banque contrôle les données. Un utilisateur de téléphone portable peut partager des données biométriques stockées avec un opérateur de téléphonie mobile afin de débloquer des services en ligne.

Authentification

Application : Qui es-tu ?
Approbation : Oui
Contrôle des données : utilisateur ou fournisseur, ou les deux
Technologie : Scanner d'empreintes digitales Scanner rétinien

Identification

Application : Es-tu qui tu dis que tu es ?
Approbation : Non
Contrôle des données : tiers
Technologie : Reconnaissance faciale

Les cas d'utilisation de l'identification sont l'affaire des gouvernements qui se préoccupent d'une plus grande sécurité. La capture d'images/reconnaissance faciale est utilisée dans les aéroports internationaux du monde entier pour aider à identifier les criminels connus ou les activistes étrangers.

La prémisse est que les traits du visage des citoyens ordinaires sont scannés, par rapport aux données connues, puis laissés tomber s'il n'y a pas de correspondance. Des problèmes peuvent survenir lorsque les données pour les citoyens ne sont pas abandonnées, souvent pour les meilleures intentions, comme cette personne pourrait être identifiée plus tard comme un criminel, sachant où cette personne avait été, serait très précieuse.

Il s'agit d'une pente glissante, le stockage de données est bon marché, modeste prix caméras vidéo numériques offrent d'excellentes performances, et peut être installé sans fil presque partout. La tentation pour les professionnels de la sécurité de tout enregistrer à partir d'autant de caméras qu'ils peuvent se le permettre est très forte.

Si les données biométriques sont soumises RGPD tomber ?

RGPD et les données biométriques sont traitées par le règlement et avec des règles définies auprès de chaque autorité de protection des données (DPA). Le site RGPD empêche explicitement l'utilisation de données biométriques à des fins d'authentification ou d'identification, mais il existe plusieurs exceptions, mentionnées à l'article 9, paragraphe 2. Pour l'authentification, l'application doit exiger une fiabilité élevée qui ne peut être obtenue par d'autres technologies. Les données biométriques concernant des personnes sont considérées comme sensibles données à caractère personnel et exigent donc un niveau de protection plus élevé.

Plusieurs pays ont adopté des positions spécifiques sur l'identification biométrique, par exemple la CNIL française a récemment publié un document de position reconnaissant la nécessité d'un gouvernement pour sécuriser les frontières, mais refusant de fixer des règles strictes, préférant vérifier au cas par cas.

• Conformément à ces règles, la nécessité de tels dispositifs doit être déterminée au cas par cas : La reconnaissance faciale ne peut pas être utilisée sans une exigence particulière afin de garantir une grande fiabilité dans la vérification de l'identité des personnes. Ces textes imposent également de garantir à la fois la proportionnalité des moyens utilisés et la protection particulière des enfants. Ils exigent que les personnes soient au cœur des systèmes, par exemple en obtenant leur consentement ou en s'assurant qu'elles ont le contrôle de leurs données. L'application de ces principes, récemment réaffirmés au niveau européen, a déjà permis à la CNIL d'autoriser le principe de certaines utilisations tout en les encadrant concrètement (contrôle aux frontières dans les aéroports) et d'en refuser d'autres (contrôle de l'accès des élèves dans les établissements scolaires).

La CNIL a également mis en garde les entreprises contre la promotion d'applications expérimentales ou expérimentales dans le seul but de socialiser le public à ces technologies et d'obtenir son consentement tacite, celles-ci ne seront pas autorisées par la CNIL.

La DPA italienne (The Garante) a publié dans ses Lignes directrices a adopté une approche différente pour 2014, en se concentrant sur la méthode de collecte plutôt que sur l'utilisation et en choisissant de définir des systèmes de collecte biométrique passifs et interactifs :

• Les systèmes biométriques sont dits interactifs ou participatifs lorsqu'ils envisagent la participation de la personne concernée et l'obligent à collaborer à la phase de collecte des données biométriques - par exemple lors du scannage rétinien ou de la mise en place de la signature manuscrite. Inversement, les systèmes passifs collectent des données biométriques sans que la concernés personne les perçoit ou les connaît - par exemple dans le cas de l'enregistrement d'images faciales ou d'enregistrements vocaux qui sont saisis sans que la personne concernée y ait recours.

Cette situation est restée essentiellement inchangée depuis 2014, bien qu'un décret-loi (en italien uniquement) ait exigé l'introduction de nouvelles dispositions tous les deux ans (à partir de 2018) qui Lignes directrices en fonction de l'utilisation des nouvelles technologies.
L'Allemagne n'a pas d'autorité centrale de protection des données. La responsabilité incombe aux organisations gouvernementales, qui sont au nombre de 16.

Résoudre le débat sur la biométrie

Le débat sur l'utilisation des données biométriques à des fins d'identification ou d'authentification dans un monde axé sur la protection des données est en cours et se déroule depuis plus de 20 ans. Le fait de constater que le débat comporte en fait deux cas d'utilisation différents permettra probablement de parvenir à un certain accord et à une certaine compréhension. Le cas de l'identification garantit presque que les informations sont collectées sans le consentement explicite de l'individu. D'un autre côté, il existe de nombreux cas d'utilisation de l'authentification qui demandent le consentement et la participation active de l'individu, et l'individu bénéficie souvent d'un accès plus fiable et d'une meilleure sécurité. Bien que l'on considère que l'application de la loi au niveau de l'État-nation a un besoin urgent d'identification biométrique, son utilisation par d'autres peut être inutile si d'autres approches moins invasives peuvent être acceptables.

ressources :

• Biometrics, privacy’s friend or privacy’s foe: semanticscholar.org/paper/Biometrics%3A-privacy’s-foe-or-privacy’s-friend-Woodward/45db09c52035fcee984525397b56d8b5c9b80b57
• Position paper : cnil.fr/en/facial-recognition-debate-living-challenges
• Lignes directrices 2014 : garanteprivacy.it/documents/10160/0/GUIDELINES+ON+BIOMETRIC+ RECOGNITION.pdf/3ac0d4ff-7575-4f5e-a3fa-b894ab7cf517?version=1.1