Les experts de la CNIL organisent un workshop dédié aux dispositifs biométriques à French Tech Central pour vous permettre de mieux comprendre le traitement de ces données parfois sensibles. En effet, la biométrie regroupe l’ensemble des techniques informatiques permettant d’identifier un individu à partir de caractéristiques physiques, biologiques et comportementales (empreintes digitales, iris, voix, visage ou même la démarche). Comment procéder si vous comptez avoir recours aux mécanismes d’authentification biométriques proposés par les smartphones ? -> La CNIL a clarifié les conditions dans lesquelles ces traitements de données biométriques sont soumis ou non aux obligations de protection des données. Elle rappelle que, dans tous les cas, le particulier doit garder la maîtrise de sa donnée biométrique. Quelles sont les démarches à suivre pour les employeurs souhaitant recourir aux dispositifs biométriques pour contrôler les accès aux espaces, aux applications et aux outils de travail ? - Un règlement type « biométrie sur les lieux de travail » précise désormais les obligations des employeurs.

2. Atelier CNIL - Biométrie
Eric Delisle – Responsable du service SQSRH
Régis Chatellier – Innovation & Prospective

3. 3
- Informer & conseiller
- Guides pratiques, tutoriels, vidéo
- Ateliers pour les DPO
- Labels, recommandation
- Contrôler & sanctionner
- Déclarations & autorisations
- Contrôles sur place et à distance
- Sanctions

4. La CNIL à Station F par French Tech Central
4
Offre de services organisée autour d’ateliers:
• Ateliers de sensibilisation: approfondissement RGPD (PIA,
DPO, … )
• Ateliers thématiques: Healthtech, Fintech, IoT, …
• Travaux pratiques: tag management, onboarding apps,…

6. 6
Explorer
LINC explore le futur de
la société numérique,
pour mieux anticiper
l’impact de l’usage des
innovations
technologiques sur la
vie privée et les libertés.
Expérimenter
LINC pilote des projets
d’expérimentation, pour
mieux cerner les usages
numériques émergents.
Échanger
LINC créé du lien entre
les acteurs de la société
numérique (entreprises,
institutions, assos,
société civile…), pour
mieux les informer face
aux nouveaux enjeux
reliant éthique, libertés,
et vie privée.

7. 7
Explorer

8. Introduction au RGPD

9. 9

10. 10
+
Les grands principes I&L demeurent
Licéité, loyauté,
transparence
Limitation
des finalités
Minimisation
des données
Exactitude
Limitation de la
conservation
Intégrité et
confidentialité
Respect des droits
des personnes:
• Information,
• consentement
• rectification,
opposition
• accès,
suppression
+

11. 11
Et quelques nouveautés…

12. 12
Critère de ciblage
Sanctions augmentées
Principe de responsabilité
« accountability »
Portabilité
Partage des responsabilités
Le Délégué à la Protection des
Données (DPO)

13. Qu’appelle-t-on
biométrie ?

14. 14
Qu’appelle t-on biométrie ?
Données biométriques :
•Juridique : « données (…) résultant d'un traitement technique
spécifique, relatives aux caractéristiques physiques, physiologiques ou
comportementales d'une personne physique, qui permettent ou
confirment son identification unique, telles que des images faciales ou
des données dactyloscopiques » (art. 4 RGPD)
•Technique : Caractéristique biologique (anatomique ou physiologique) ou
comportementale mesurable pouvant être utilisée pour la reconnaissance
automatique
Traitement biométrique :
• Juridique : Traitement « des données biométriques aux fins d'identifier
une personne physique de manière unique » (art. 9 RGPD)
• Technique : Méthode de reconnaissance d’un individu basée sur des
caractéristiques biométriques

15. 15
Trois grandes catégories de procédés biométriques
Physiologique
Odeur, sang, salive, urine,
ADN, etc.
Anatomique
Empreintes digitales, forme
de la main, voix, traits du
visage, dessin du réseau
veineux de l'œil, etc.
Comportemental
Dynamique de la signature
(vitesse de déplacement du
stylo, accélérations, pression
exercée, inclinaison), façon
d'utiliser un clavier
d'ordinateur (pression
exercée, vitesse de frappe),
manière de marcher
(démarche), etc.

16. 16
Attributs des données biométriques
Universelles
Existent chez tous les
individus
Mesurables/modélisables
Permettent des
comparaisons statistiques
Uniques/discriminantes
Différenciation d’un individu
par rapport à un autre
Permanentes
Stables dans le temps
Infalsifiables
Enregistrables
Les caractéristiques d'un
individu peuvent être
collectées

17. Rappel : qu’est-ce qu’un gabarit ?
17
La CNIL impose que seul le gabarit et non une image de la caractéristique biométrique soit conservé
Image de l’empreinte
Détection des minuties
= données biométriques
Modélisation par algorithme

18. Réglages des dispositifs
TFR et TFA étant liés, suivant l’application on va privilégier l’un ou l’autre
18
Système très restrictif Système très permissif

19. 19
Termes
Vérification (ou authentification)
« Suis-je bien X ? »
Identification :
« Qui suis-je ? »
Reconnaissance
Terme générique qui recouvre à la fois la vérification et l’identification
Mode fermé Mode ouvert

20. La conservation des modèles/gabarits
- Les types de conservation
• Type 1 : support individuel
• Type 2 : base centrale chiffrée à la main de l’utilisateur
• Type 3 : base centrale
- Un choix en fonction du but l’ authentification/vérification ou de l’identification
- Les anciens critères : sans trace/avec trace
20

21. 21
Risques
Usurpation d’identité :
l’irrévocabilité de la
donnée
• Fiabilité vs irrévocabilité
• Caractère probabiliste
Données par nature pas
confidentielles, au contraire
d'un mot de passe.
Très difficile de réserver
l'usage d'une donnée
biométrique à un SI donné
Traçage des personnes
Sécurité vs protection des
données
Conclusion : la biométrie en tant que facteur d’authentification doit être :
justifiée par un contexte/besoin particulier
encadrée par des mesures strictes pour réduire les risques

22. Biométrie
sur le lieu de travail

23. RGPD et biométrie RH
1. Un patrimoine normatif important : les autorisations uniques
2. La reconnaissance de la donnée biométrique en tant que « donnée
sensible » (art. 9)
3. La particularité du secteur travail : l’absence de consentement libre
23

24. Le règlement type
1. Un nouveau pouvoir règlementaire à disposition de la CNIL en matière de « en vue
d'assurer la sécurité des systèmes de traitement de données à caractère personnel et de
régir les traitements de données biométriques, génétiques et de santé ».
2. Le règlement type contrôle d’accès sur lieux de travail
• La démonstration de la nécessité de recourir à un traitement de données biométriques
(justifier du type de biométrie choisie)
• Stockage sous le contrôle de la personne sauf démonstration de la nécessité de
recourir à un stockage en base
• Mesures de sécurité et AIPD
24

25. Contrôle d’accès
sur les lieux de loisirs

26. 26
Biométrie sur les lieux de loisirs
- Démonstration de la nécessité de
recourir à la biométrie
- Gabarit biométrique sous le
contrôle de la personne concernée
- Existence d’un consentement
« libre » et donc d’une alternative

27. Biométrie dans les
smartphones des
particuliers

28. 28
Deux types de dispositifs
• Dispositifs biométriques dont le gabarit est
stocké dans l’appareil, sous le seul contrôle du
particulier.
• Dispositifs biométriques fonctionnant depuis des
serveurs distants

29. 29
Gabarit stocké dans l’appareil
• Appareils mobiles dont les dispositifs biométriques
fonctionnent de manière autonome, dans un environnement
totalement cloisonné au sein de l’appareil.
• Dans ces cas, la CNIL considère que les traitements mis en
œuvre à l’initiative et sous le seul contrôle de la personne
concernée, peuvent être couverts par l’exemption
domestique inscrite à l’article 2-2-c du RGPD.

30. 30
Dispositifs biométriques fonctionnant depuis des
serveurs distants
• Effectuer une analyse d’impact relative à la protection des
données (AIPD) ou Privacy Impact Assessment.
• Cf. Risque élevé pour les droits et libertés des personnes
concernées compte tenu notamment de la sensibilité des
données traitées et du caractère innovant des
technologies employées.

31. 31
Exemples de dispositifs autorisés par la CNIL
(pré-RGPD)
• Banque Postale : traitement de reconnaissance vocale
permettant de déclencher le pré-remplissage de formulaire de
paiement en ligne
• Natural Security Alliance : service d’authentification
biométrique accessible depuis une application à télécharger
sur les smartphones

32. La biométrie dans les
environnements ouverts

33. Conditions de traitement
1. Conditions :
- Consentement préalable des personnes
- Parcours alternatifs pour assurer un consentement libre
- Mécanisme d’information renforcé
2. La directive Police
3. Une prise de conscience
« La propension de la technologie de reconnaissance faciale à mettre en danger les libertés civiles surpasse
substantiellement ses bénéfices supposés, indique le texte adopté mardi 14 mai. La technologie va exacerber les
injustices raciales et menacer notre capacité à vivre libres de la surveillance permanente du gouvernement ».

34. Cette présentation, comme toutes les productions LINC, est mise à disposition, sous réserve des droits de
propriété intellectuelle de tiers et sauf mention contraire, selon les termes de la licence Creative Commons CC-BY.
Aux conditions suivantes :
- Attribution : vous devez créditer la source des contenus, intégrer un lien vers la licence et préciser la date à
laquelle le contenu a été récupéré. Vous devez indiquer ces informations par tous les moyens raisonnables, sans
toutefois suggérer que la CNIL vous soutient ou soutient la façon dont vous avez utilisé ses contenus.
- Lorsque ces contenus intègrent des éléments produits par des tiers, le contenu en question contient les mentions
des droits de ces tiers (généralement en bas de page). Vous devez vous y conformer.

35. https://linc.cnil.fr/