Un salarié badge chaque matin à l’entrée d’un entrepôt logistique. L’entreprise décide de remplacer les badges par des lecteurs d’empreintes digitales. Le déploiement prend quelques semaines, le confort d’usage progresse. Mais six mois plus tard, la question remonte : où sont stockées ces empreintes, qui y a accès, et que se passe-t-il si le prestataire technique change ? La biométrie résout un problème d’authentification, mais elle en crée d’autres, moins visibles et plus durables.
Cycle de vie d’une donnée biométrique collectée légalement
Quand on parle de biométrie, on pense souvent au capteur, au lecteur d’empreinte ou à la caméra de reconnaissance faciale. Le vrai sujet, c’est ce qui se passe après la collecte.
A voir aussi : À quelle distance s'asseoir d'un écran ultra-large ?
Une empreinte digitale ou un gabarit facial, une fois enregistré dans un système, n’a pas de date d’expiration naturelle. Une donnée biométrique ne se réinitialise pas comme un mot de passe. Si elle fuit, on ne peut pas en générer une nouvelle. C’est la différence fondamentale avec n’importe quel autre identifiant numérique.
Dans la pratique, le gabarit biométrique est souvent stocké sur un serveur centralisé, parfois chez un sous-traitant. En cas de changement de prestataire, de rachat ou de liquidation, le transfert de ces données pose un problème concret de responsabilité. La CNIL rappelle que les données biométriques sont des données sensibles au sens du RGPD, et que leur traitement est interdit par défaut, sauf exceptions limitées et motivées.
A voir aussi : Comment marché le mobile ?
La question n’est donc pas seulement « est-ce que le système fonctionne bien aujourd’hui », mais « qui sera responsable de ces données dans trois ans, cinq ans, dix ans ». Sur le terrain, les retours varient sur ce point : certaines organisations gèrent le stockage en local, d’autres délèguent sans visibilité réelle sur la chaîne de sous-traitance.
Reconnaissance biométrique et AI Act : ce qui est interdit depuis 2025
Depuis le 2 février 2025, l’AI Act européen interdit plusieurs pratiques biométriques. On ne parle pas de recommandations, mais d’interdictions franches.
Trois cas concrets sont désormais prohibés :
- La catégorisation biométrique visant à déduire des caractéristiques sensibles (origine ethnique, opinions politiques, orientation sexuelle) à partir de données physiques ou comportementales.
- La constitution de bases de reconnaissance faciale par moissonnage non ciblé d’images, c’est-à-dire la collecte massive de photos sur internet ou via la vidéosurveillance sans consentement spécifique.
- L’identification biométrique à distance en temps réel dans l’espace public à des fins répressives, sauf exceptions strictement encadrées.
La reconnaissance des émotions sur le lieu de travail ou dans les établissements scolaires est également interdite, sauf motifs médicaux ou de sécurité. Ce point est rarement mentionné dans les discussions courantes sur la biométrie, alors qu’il concerne directement les entreprises qui envisagent des dispositifs de contrôle avancés.
Par ailleurs, les systèmes biométriques classés à haut risque seront soumis à des obligations renforcées de conformité. Le déploiement d’un lecteur d’empreintes en entreprise ne relève pas du même cadre réglementaire qu’un simple badge RFID.
Sécurité biométrique : les failles que le confort d’usage masque
L’argument principal en faveur de la biométrie, c’est le confort. On ne perd pas son doigt, on n’oublie pas son visage. C’est vrai. Mais ce confort crée un angle mort sur la sécurité réelle du dispositif.
Un gabarit biométrique volé compromet l’identité de la personne de façon permanente. Avec un mot de passe compromis, on le change. Avec une empreinte digitale compromise, on n’a pas cette option. Les techniques d’usurpation existent : reconstruction d’empreintes à partir de bases de données volées, utilisation de deepfakes pour tromper la reconnaissance faciale.
Le risque ne se limite pas au piratage direct du capteur. Il inclut la réutilisation incontrôlée d’images publiques. L’interdiction du moissonnage non ciblé par l’AI Act cible précisément ce scénario : des entreprises qui constituaient des bases de reconnaissance faciale à partir de photos publiées sur les réseaux sociaux, sans aucun lien avec un consentement de l’utilisateur.
On déplace alors le débat de la seule fiabilité du capteur vers la provenance des données et le risque de surveillance durable. Un système biométrique peut fonctionner parfaitement d’un point de vue technique tout en posant un problème structurel de traçabilité et de contrôle.
Alternatives à la biométrie et cas où elle se justifie
Refuser la biométrie ne signifie pas renoncer à la sécurité. Pour la plupart des usages courants (contrôle d’accès en entreprise, authentification sur un poste de travail), des alternatives existent et suffisent.
- L’authentification multifacteur (MFA) combinant un mot de passe et un appareil physique (clé USB de sécurité, application sur smartphone) offre un niveau de vérification élevé sans collecter de données sensibles.
- Les badges NFC ou RFID, couplés à un code PIN, restent efficaces pour le contrôle d’accès physique sans créer de base de données biométriques.
- Les passkeys et clés FIDO2, qui stockent la preuve d’identité sur l’appareil de l’utilisateur sans transmettre de secret au serveur, réduisent la surface d’attaque.
La biométrie se justifie dans des contextes où le niveau de risque exige une vérification d’identité impossible à déléguer : sites sensibles, accès à des infrastructures critiques, contrôle aux frontières. Dans ces cas, le traitement est encadré par des obligations spécifiques, et la proportionnalité entre le risque et l’atteinte à la vie privée peut être démontrée.
Pour un bureau classique ou une salle de sport, le rapport bénéfice-risque penche rarement en faveur de la biométrie. Le confort gagné ne compense pas la responsabilité créée par la collecte de données qui, par nature, ne peuvent pas être révoquées. Avant de déployer un système biométrique, la première question n’est pas « est-ce que ça marche », mais « est-ce que c’est proportionné ».
