Biométrie et CNIL : utilisation des dispositifs de reconnaissance d'empreintes digitales.

[Admin]

Le 30 mai 2006, la CNIL a refusé d'autoriser cinq traitements biométriques de contrôle d'accès reposant sur la reconnaissance des empreintes digitales. Un des dispositifs avait notamment pour finalité de contrôler l'accès aux chambres d'un hôtel de luxe parisien.

Comme elle l'a déjà rappelé à l'occasion des quatre refus d'autorisation délivrés le 12 janvier 2006, la CNIL considère que le traitement, sous une forme automatisée et centralisée, des empreintes digitales ne peut être admis que dans la mesure où des exigences impérieuses en matière de sécurité ou d'ordre public le justifient.

Cette position s'explique à la fois par les caractéristiques de l'élément d'identification physique retenu, les usages possibles de ces traitements et les risques d'atteintes graves à la vie privée et aux libertés individuelles en résultant, C'est pour cette raison que la Commission n'a pas autorisé, au cours de sa séance du 30 mai 2006, quatre banques et un hôtel à mettre en œuvre des dispositifs de contrôle d'accès reposant sur le traitement, dans une base de données, des empreintes digitales.

Les dispositifs présentés par les banques avaient pour objet de contrôler l'accès aux salles dans lesquelles sont situés les équipements informatiques et téléphoniques. Lors de l'examen en séance, la CNIL a considéré que l'objectif invoqué, s'il est légitime, pouvait tout aussi bien être atteint au moyen d'un dispositif de reconnaissance des empreintes digitales avec enregistrement sur un support individuel, qui ne présente pas les même risques en termes de protection des données qu'une base de données d'empreintes digitales.
Le dispositif présenté par l'hôtel avait pour objet de contrôler l'accès aux chambres. Les clients de cet hôtel de luxe parisien devaient faire enregistrer leurs empreintes digitales pour pouvoir ensuite accéder à leur chambre. Là encore, la Commission a considéré que la conservation dans une base de données des empreintes digitales des employés et des clients habilités à accéder aux chambres n'était justifiée par aucun impératif de sécurité.

Depuis, la CNIL a montré qu'elle restait défavorable à la création de bases de données d'empreintes digitales en l'absence d'un impératif de sécurité incontestable.

La Commission considère que les empreintes digitales, à la différence d'autres données biométriques, laissent des traces qui peuvent être exploitées pour l'identification des personnes et que dès lors toute base de données d'empreintes digitales est susceptible d'être utilisée à des fins étrangères à sa finalité première. Seul un impératif de sécurité incontestable peut justifier la constitution de telles bases.

A l'inverse, elle estime que si le gabarit de l'empreinte digitale est uniquement stocké dans un support personnel (carte à puce…), le dispositif ne pose pas de difficultés au regard de la loi « informatique et libertés ». Il en est de même pour les dispositifs recourant aux biométries qui ne laissent pas de traces telles que la reconnaissance du contour de la main, du système veineux des doigts, ou de l'iris.

Elle a ainsi rendu un avis favorable à la mise en oeuvre d'un contrôle d'accès aux zones réservées de sûreté des aéroports d'Orly et de Roissy reposant sur un système de reconnaissance de l'empreinte digitale. Elle s'est félicitée, à cette occasion, de voir sa proposition de conservation du gabarit biométrique sur une carte d'accès individuelle (et non dans une base de données centralisée ou sur un lecteur biométrique) suivie par Aéroports de Paris.

Elle a en revanche délivré un avis défavorable à la mise en place, par un centre hospitalier, d'un dispositif de reconnaissance de l'empreinte digitale utilisé pour le contrôle des temps de travail dans la mesure où les données biométriques étaient stockées non pas sur un support individuel mais dans un lecteur biométrique sur lequel l'employé n'a aucune maîtrise.