La Cnil autorise des dispositifs biométriques

Pour la première fois, la Cnil (Commission nationale de l’informatique et des libertés) a autorisé la mise en œuvre de dispositifs biométriques reposant sur la reconnaissance du réseau veineux du doigt et de la voix. Ces dispositifs ont fait l’objet d’expertises techniques approfondies de la part de Cnil, qui s’est assurée qu’ils ne présentaient pas de risques particuliers au regard de la protection des données.
Rappelons que conformément à l’article 25-8° de la loi informatique et libertés, les traitements automatisés des données biométriques nécessaires au contrôle de l’identité des personnes sont mis en œuvre après autorisation de la Cnil. En pratique, le responsable du traitement doit déposer un dossier complet de déclaration normale. Une fois envoyé, ce dossier est examiné en séance plénière par la Cnil qui conduit une analyse au cas par cas. Ce n’est qu’une fois l’autorisation acquise que les entreprises peuvent mettre en œuvre leur dispositif.

Reconnaissance du réseau veineux du doigt de la main

La Cnil a autorisé la mise en œuvre de cinq dispositifs reposant sur la reconnaissance du réseau veineux du doigt de la main, dans le but de contrôler l’accès aux locaux ou à des systèmes d’information. Cette nouvelle technologie repose sur la reconnaissance de l’entrelacement des vaisseaux sanguins, lequel présente l’avantage d’être « caché » sous la peau, si bien qu’il n’est pas possible, avec les moyens actuels, de capturer et copier cette biométrie à l’insu de la personne.
Selon la Cnil, le réseau veineux, en l’état actuel, est une « biométrie sans trace », dont l’enregistrement dans une base de données comporte moins de risques particuliers pour les libertés et les droits fondamentaux des personnes que l’empreinte digitale. Cette technologie, même si elle est peu répandue, se présente donc comme un concurrent sérieux des autres technologies plus classiques (empreintes digitales, iris, contour de la main, etc.), en conclut la commission.

Reconnaissance vocale

La Cnil a également autorisé un système de reconnaissance vocale ayant pour objet de sécuriser et de faciliter la gestion et la réinitialisation des mots de passe utilisés pour accéder au système d’information de la société Michelin.
La Cnil s’est notamment assurée :
– de la bonne information des employés. Ceux-ci seront informés par la remise d’une note et par affichage. Une plaquette ainsi qu’un manuel d’utilisation seront également distribués afin de sensibiliser les personnes concernées aux problématiques de sécurité ainsi qu’à la nécessité de garder secret les couples de prénoms ayant servi l’enrôlement ;
– que toutes les mesures étaient prises pour garantir la sécurité des données et prévenir tout risque d’usurpation d’identité ou d’utilisation des données pour d’autres finalités.
La commission a estimé que la constitution d’une base de données de gabarit d’empreintes vocales aux fins de gérer les mots de passe informatique est donc adaptée et proportionnée à la finalité assignée au dispositif au regard de la protection des données personnes. Enfin, le gabarit de l’empreinte vocale de la personne ne constitue pas une donnée biométrique qui « laisse des traces » pouvant être utilisées des fins d’identification des personnes.

CNIL, délibérations n° 2007-248 du 13 septembre 2007 et n° 2007-335 à 2007-339 du 8 novembre 2007