Chaque matin, des millions de Français posent le doigt ou le regard sur leur téléphone. Ce geste anodin traite une donnée sensible. Pourtant, personne ne remplit de registre. Pourquoi ?
Qu’est-ce qu’une donnée biométrique au sens du RGPD ?
La biométrie mesure une caractéristique physique unique : empreinte, visage, iris, voix. Le RGPD la protège quand elle sert à identifier formellement une personne.
Ces données appartiennent aux catégories particulières de l’article 9. Leur traitement est interdit par principe, sauf exception précise. Pour comprendre ce régime, l’article 9 du RGPD détaille les catégories protégées.
La CNIL les range parmi les données sensibles, au même rang que les données de santé. Plus la donnée est intime, plus le cadre se resserre. Un gabarit d’empreinte pèse ainsi bien plus lourd, en droit, qu’une adresse e-mail.
Attention toutefois. Une simple photo de vous n’est pas une donnée biométrique. Elle le devient uniquement quand un traitement technique en extrait un gabarit destiné à vous reconnaître de façon unique.
Déverrouiller son téléphone : qui traite vraiment vos données ?
Voici la surprise. Quand vous déverrouillez votre smartphone, le gabarit de votre empreinte reste dans une puce sécurisée du téléphone.
Le fabricant n’y accède pas. La donnée ne part sur aucun serveur. Vous seul en gardez le contrôle.
Ce type d’usage relève de l’activité personnelle. Le RGPD ne désigne alors aucun responsable de traitement externe : c’est vous, pour votre propre usage.
La nuance tient à un mot : le contrôle. Tant que le gabarit ne quitte pas votre appareil, vous en restez maître. Certaines applications, elles, envoient votre visage vers un serveur distant. Ce transfert fait basculer la responsabilité vers l’éditeur, qui doit alors tout justifier.
Tout change dès qu’un tiers collecte la donnée. Une entreprise qui installe un lecteur d’empreinte à l’entrée devient, elle, responsable de traitement. Elle devient alors comptable de chaque garantie.
Quelles garanties le RGPD impose-t-il pour la biométrie ?
Dès qu’une organisation traite de la biométrie, les obligations s’empilent. Voici les garanties attendues.
| Situation | Responsable de traitement | Obligation clé |
|---|---|---|
| Déverrouillage de son propre smartphone | L’utilisateur (usage personnel) | Aucune formalité RGPD externe |
| Badge biométrique en entreprise | L’employeur | AIPD et règlement type CNIL |
| Authentification bancaire par visage | La banque | Consentement explicite et minimisation |
| Reconnaissance faciale d’une appli grand public | L’éditeur de l’appli | Base légale de l’article 9 et information claire |
Concrètement, l’organisation responsable doit réunir plusieurs garanties.
- Une base légale solide, souvent le consentement explicite de la personne.
- Une analyse d’impact (AIPD) avant tout déploiement à grande échelle.
- Le stockage du gabarit sous forme chiffrée, idéalement sur un support détenu par la personne.
- Une alternative non biométrique, par exemple un badge ou un code.
- Une durée de conservation courte et une suppression documentée.
Une donnée biométrique volée ne se change pas. Contrairement à un mot de passe, vous ne remplacez pas votre empreinte. C’est pourquoi une fuite de gabarits impose une réaction immédiate et une notification à la CNIL dans les 72 heures suivant la découverte.
Une entreprise peut-elle imposer la biométrie à ses salariés ?
Rarement. La CNIL encadre strictement la biométrie sur le lieu de travail par un règlement type.
L’employeur doit prouver que le badge ou le mot de passe ne suffisent pas. La biométrie reste un dernier recours, jamais un confort.
Le salarié conserve ses droits : information, accès, opposition. Ces garanties figurent parmi vos droits fondamentaux face au traitement.
Le raisonnement vaut aussi pour vos clients. Proposer un paiement par reconnaissance faciale suppose leur consentement libre, une information limpide et une solution de repli classique.
Déployer un dispositif biométrique sans se tromper de responsable demande un oeil exercé. Un DPO externe cadre votre projet biométrique de l’AIPD à l’information des personnes, et sécurise chaque garantie.
FAQ
Le déverrouillage par empreinte est-il soumis au RGPD ?
Quand vous déverrouillez votre propre téléphone, le gabarit reste dans une puce locale, sous votre contrôle exclusif. Cet usage strictement personnel échappe aux obligations du responsable de traitement. Le RGPD s’applique en revanche dès qu’une organisation extérieure collecte ou stocke votre biométrie.
La biométrie est-elle une donnée sensible ?
Oui, lorsqu’elle sert à identifier formellement une personne. Empreinte, visage ou iris relèvent alors des catégories particulières de l’article 9 du RGPD. Leur traitement est interdit par principe. Une organisation ne peut les exploiter qu’en s’appuyant sur une exception précise, comme le consentement explicite.
Un employeur peut-il exiger la biométrie ?
Seulement en dernier recours. La CNIL impose un règlement type et une justification sérieuse : le badge ou le code doivent s’avérer insuffisants. L’employeur mène une analyse d’impact et propose toujours une alternative. Le salarié conserve son droit d’information et d’opposition sur ce traitement.
Faut-il une AIPD pour un projet biométrique ?
Presque toujours. Le traitement de biométrie à grande échelle figure parmi les cas où l’analyse d’impact devient obligatoire. Réalisée avant le déploiement, elle recense les risques, les mesures de chiffrement et les alternatives. Sans elle, le projet expose l’organisation à une sanction de la CNIL.
