Blog de la biométrie - Legislation

Communiqué : La CNIL encadre et limite l’usage de l’empreinte digitale

BiometrieOnline — Fri, 28 Dec 2007 22:40:00 +0100

Aux termes de la loi informatique et libertés de 2004, la CNIL dispose d’un pouvoir d’autorisation expresse des dispositifs biométriques. Elle a souhaité préciser, dans un guide rendu public les principaux critères sur lesquels elle se fonde pour autoriser ou refuser le recours à des dispositifs reposant sur la reconnaissance des empreintes digitales avec un stockage sur un terminal de lecture-comparaison ou sur un serveur.

Il s’agit :

de rappeler les risques liés à cette technologie dont l’utilisation doit rester exceptionnelle ;
de mieux informer les salariés sur leurs droits et de permettre aux entreprises et administrations, toujours plus nombreuses à vouloir utiliser la biométrie, de se poser « les bonnes questions informatique et libertés ».

C’est en 1997 que la CNIL a examiné son premier dispositif biométrique avec enregistrement des empreintes digitales dans une base de données. Depuis, le nombre de demandes d’autorisation pour de tels systèmes ne cesse de croître. Sur 602 traitements biométriques examinés par la Commission en 2007, 53 reposaient sur la reconnaissance des empreintes digitales avec enregistrement de celles-ci dans une base de données : 21 ont été refusés, 32 autorisés (les 549 autres traitements concernaient essentiellement des systèmes de reconnaissance du contour de la main). Plus d’une centaine de dossiers sont toujours en cours d’instruction.

L’analyse de la Commission repose sur le constat que :

l’empreinte digitale est une biométrie à « trace ». Chacun laisse des traces de ses empreintes digitales, plus ou moins facilement exploitables, dans beaucoup de circonstances de la vie courante (sur un verre ou une poignée de porte etc.) ;
ces « traces » peuvent être capturées à l’insu des personnes et être utilisées notamment pour usurper leur identité.

La Commission tient à clarifier et à préciser sa position : ces dispositifs ne sont justifiés que s’ils sont fondés sur un fort impératif de sécurité et satisfont aux quatre exigences suivantes :

la finalité du dispositif : elle doit être limitée au contrôle de l’accès d’un nombre limité de personnes à une zone bien déterminée, représentant ou contenant un enjeu majeur dépassant l’intérêt strict de l’organisme tel que la protection de l’intégrité physique des personnes, de celle des biens et des installations ou encore de celles de certaines informations (ex : accès à une centrale nucléaire, à une cellule de production de vaccins ou à un site Seveso II) ;
la proportionnalité : le système proposé est-il bien adapté à la finalité préalablement définie eu égard aux risques qu’il comporte en matière de protection des données à caractère personnel ?
la sécurité : le dispositif doit permettre à la fois une authentification et/ou une identification fiable des personnes et comporter toutes garanties de sécurité pour éviter la divulgation des données ;
l’information des personnes concernées : elle doit être réalisée dans le respect de la loi « informatique et libertés » et, le cas échéant, du Code du travail.

A télécharger
Communication de la CNIL relative à la mise en oeuvre de dispositifs de reconnaissance par empreinte digitale avec stockage dans une base de données

FNAEG - Fichier national des empreintes génétiques

BiometrieOnline — Tue, 25 Sep 2007 21:06:00 +0200

Chiffres clés	En 2007 le FNAEG recense environ 400 000 empreintes génétiques.
À quoi sert ce fichier ?	Le FNAEG sert à faciliter l’identification et la recherche : des auteurs d’infractions à l’aide de leur profil génétique de personnes disparues à l’aide du profil génétique de leurs descendants ou de leurs ascendants.
Qui est responsable de ce fichier ?	La direction centrale de la police judiciaire au ministère de l’Intérieur, sous le contrôle d’un magistrat. Celui-ci dispose d'un accès per manent au fichier, du droit de se déplacer sur le site où seront stockées les informations et du droit d'ordonner l'effacement des empreintes dont la conservation serait illicite.
Que contient ce fichier ?	Le FNAEG centralise les empreintes génétiques de : personnes non identifiées (empreintes issues de prélèvements sur les lieux d’une infraction) personnes identifiées (personnes condamnées ou mises en cause). Les empreintes sont complétées des informations suivantes : Les nom, prénoms, date et lieu de naissance, filiation et sexe ; le service ayant procédé à la signalisation ; la date et le lieu d'établissement de la fiche signalétique ; la nature de l'affaire et la référence de la procédure.
Critères d’inscription dans ce fichier	L'enregistrement des empreintes ou traces est réalisé dans le cadre d'une enquête pour crime ou délit, d'une enquête préliminaire, d'une commission rogatoire ou de l'exécution d'un ordre de recherche délivré par une autorité judiciaire
Combien de temps sont conservées les informations ?	40 ans pour les personnes définitivement condamnées 25 ans pour les personnes mises en cause, sauf irresponsabilité pénale
Qui peut consulter ce fichier ?	Les personnels habilités de la sous-direction de la police technique et scientifique de la Direction centrale de la police judiciaire, de la police nationale et ceux de la Gendarmerie nationale. Les personnes affectées au service central de préservation des prélèvements biologiques.
Comment obtenir communication et/ou rectification des données ?	En s’adressant au directeur central de la police judiciaire au ministère de l'intérieur. En cas de refus d’effacement, il existe une possibilité de recours devant le juge des libertés et de la détention, puis devant le Président de la chambre de l’instruction en cas de nouveau refus.
Textes encadrant ce fichier	Loi du 17 juin 1998 relative à la prévention et à la répression des in fractions sexuelles ainsi qu'à la protection des mineurs, l oi du 15 novembre 2001sur la sécurité quotidienne, loi n° 2003-239 du 18 mars 2003 pour la sécurité intérieure Délibération n° 99-052 du 28 octobre 1999 Décret n° 2000-413 du 18 mai 2000 Décret n° 2002-697 du 30 avril 2002 Décret 2004-470 du 25 mai 2004
Bon à savoir	L'ADN a été découvert en 1944 comme constituant un élément essentiel du matériel héréditaire. L'ADN détermine toutes nos caractéristiques organiques, morphologiques et parfois patho logiques. L’ADN détermine notre identité et per met de différencier un individu d'un autre. En 1953, MM. Watson et Crick ont établi le schéma de la structure en double hélice de l'ADN. En 1984, le professeur Alec Jeffreys découvre ce que l'on appelle communément «l'empreinte génétique» qui allait être largement utilisée dans le domaine des recherches judiciaires.
À noter	Le refus de personnes concernées de se soumettre à un prélèvement destiné à obtenir une empreinte génétique constitue une infraction. La CNIL est destinataire d’un rapport annuel d'activité mentionnant notamment les résultats des opérations de mise à jour et d'apurement du fichier.

La CNIL autorise deux programmes de recherche dans le domaine de la biométrie

BiometrieOnline — Sat, 10 Feb 2007 22:57:00 +0100

Le 18 janvier 2007, pour la première fois, la CNIL a autorisé la mise en œuvre de deux programmes de recherche dans le domaine de la biométrie. Ces deux projets, l’un public et l’autre privé, portent sur l’évaluation et l’amélioration des dispositifs de reconnaissance des visages. Ils seront l’occasion pour la CNIL d’obtenir des informations sur des technologies en devenir.

C’est dans le contexte d’une utilisation croissante de dispositifs biométriques, pour des finalités et sous des formes toujours plus variées, que la CNIL s’est prononcée sur deux programmes de recherche en matière de biométrieLe projet

Techno Vision

Piloté par l’université d’Evry Val d’Essonne, ce projet dénommé "Technologie de la vision – Techno Vision", est soutenu conjointement par les ministères de la recherche et de la défense.

L’université d’Evry Val d’Essonne et ses partenaires poursuivent deux objectifs :

constituer une base de données « multimodales » composée d’images de visages en deux dimensions (2D) et trois dimensions (3D), de l’iris ainsi que d’enregistrements de visages parlant ;
procéder à l’évaluation des systèmes de reconnaissance mis au point par d’autres laboratoires de recherche publics ou privés.

Ce programme de recherche revêt une importance particulière dans la mesure où il mené par un organisme public indépendant sur des dispositifs de reconnaissance du visage ouvrant des perspectives dans le domaine de la vidéosurveillance et pour lesquels il est nécessaire de disposer d’évaluations fiables.

Le projet Sagem Défense

Ce projet privé de recherche, coordonné par la société Sagem Défense Sécurité, s’inscrit dans le cadre du programme IST (Technologies pour la société de l'information) de la Commission européenne.

Dénommé « 3Dface », ce projet réunit douze autres partenaires situés au sein de l’Union européenne et a pour finalités :

l’amélioration du niveau de performance des dispositifs de reconnaissance du visage en trois dimensions ;
la sécurisation des données biométriques.

Ce dernier point doit être souligné dans la mesure où les recherches menées visent non-seulement à renforcer la sécurité générale des systèmes (résistance aux attaques et aux fraudes) mais également à prévenir les risques de captation et de modification des données biométriques ce qui est essentiel en matière de protection de la vie privée.

Compte tenu des garanties entourant les modalités pratiques de leur mise en œuvre et dans la mesure où seules les données biométriques des personnes volontaires seront traitées aux seules fins de procéder aux recherches précitées, la CNIL a considéré que le recours à la constitution de bases de données biométriques ne comportaient pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.

Comment déclarer une application biométrique à la CNIL ?

BiometrieOnline — Fri, 02 Feb 2007 22:54:00 +0100

Les traitements informatiques utilisant de la biométrie sont soumis à l'autorisation préalable de la CNIL.

Certains dispositifis bénéficient d'un allègement.

Quelle procédure s'applique à ma situation ?

L'aurorisation de la CNIL est obligatoire !

BiometrieOnline — Fri, 05 Jan 2007 21:26:00 +0100

Biométrie : l’autorisation de la CNIL est obligatoire !

Tous les traitements comportant des données biométriques doivent faire l’objet d’une autorisation préalable de la CNIL. Aucun dispositif biométrique n’a fait l’objet d’un « label CNIL » ou d’un agrément a priori.

Certaines entreprises commercialisant des dispositifs de reconnaissance des empreintes digitales affirment avoir reçu un «label» ou un « agrément » de la CNIL. Alertée par ces pratiques, la CNIL rappelle aux responsables de traitement de données biométriques et aux éditeurs de solutions de reconnaissance biométrique qu’elle n’a à ce jour agréé ou labellisé aucun dispositif biométrique.

L’utilisation d’un dispositif biométrique est soumis à autorisation préalable

Tout organisme qui souhaite installer un dispositif biometrique doit adresser par courrier à la CNIL une demande d’autorisation (remplir le formulaire de déclaration accompagné des annexes nécessaires et de tout élément justifiant la mise en place d’un dispositif biometrique).

D’une manière générale, la CNIL n’autorise que les dispositifs où l’empreinte digitale est enregistrée exclusivement sur un support individuel (carte à puce, clé USB), et non dans une base centralisée.

Certains dispositifs bénéficient de formalités allégées (autorisations uniques)

Il s’agit :

Des dispositifs de reconnaissance du contour de la main et ayant pour finalité l’accès au restaurant scolaire
Des dispositifs reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un support individuel détenu par la personne concernée et ayant pour finalité le contrôle de l’accès aux locaux sur les lieux de travail.
Des dispositifs reposant sur la reconnaissance du contour de la main et ayant pour finalités le contrôle d’accès ainsi que la gestion des horaires et de la restauration sur les lieux de travail.

Si le traitement est conforme à l’une des décisions cadres (autorisations uniques), établies par la CNIL une simple déclaration de conformité suffit. Cette démarche peut être réalisée en ligne sur le site de la CNIL.

Les personnes doivent toujours être individuellement informées des modalités de mis en œuvre de ces dispositifs

Le responsable de traitement de données biométriques doit permettre aux personnes concernées par des informations qu’il détient d'exercer pleinement leurs droits. Cette information se fait lors de la mise en place du dispositif.

Ça peut faire mal !

Le non-accomplissement des formalités auprès de la CNIL est passible de 5 ans d'emprisonnement et 300 000 € d'amende.

La CNIL a récemment mis en demeure une société ayant mis en œuvre un dispositif de contrôle d’accès basé sur l’empreinte digitale sans son autorisation préalable.

Blog de la biométrie - Legislation

Communiqué : La CNIL encadre et limite l’usage de l’empreinte digitale

FNAEG - Fichier national des empreintes génétiques

Chiffres clés

En 2007 le FNAEG recense environ 400 000 empreintes génétiques.

À quoi sert ce fichier ?

Qui est responsable de ce fichier ?

Que contient ce fichier ?

Critères d’inscription dans ce fichier

Combien de temps sont conservées les informations ?

Qui peut consulter ce fichier ?

Comment obtenir communication et/ou rectification des données ?

Textes encadrant ce fichier

Bon à savoir

À noter