Rapport - Technologies biométriques : l'impératif respect des droits fondamentaux

Allant du simple déverrouillage d’un téléphone portable, à l’identification d’un suspect dans une foule ou à la supposée analyse des émotions d’un candidat à l’embauche, les technologies biométriques ont toutes pour point commun de traiter des données biométriques telles que les traits du visage, la voix ou les caractéristiques comportementales des individus, dans le but d’authentifier, d’identifier ou d’évaluer ces derniers. En dépit de leur caractère parfois extrêmement intrusif les technologies biométriques voient leurs usages se multiplier, souvent à l’insu des personnes, tant dans le secteur public que privé.

Ces technologies sont désormais mobilisées dans des domaines aussi variés que le recrutement et la gestion de ressources humaines, l’accès aux biens et services, la sécurité, ou encore l’éducation. Les puissances de calcul actuelles permettent une exploitation massive de grands ensembles de données, promettant optimisation et gains de productivité. Il est donc aujourd’hui possible de réaliser une transaction avec la paume de sa main comme d’identifier automatiquement un suspect dans une foule, ou encore de proposer de la publicité ciblée à un individu en fonction de son apparence physique.

Au-delà du risque inhérent d’atteinte au droit au respect de la vie privée et à la protection des données, la Défenseure des droits alerte sur le risque de violation du principe de non-discrimination et, plus généralement, des droits fondamentaux que ces technologies représentent pour les personnes qui y sont exposées. Par nature probabiliste, leur utilisation peut entraîner des erreurs aux conséquences multiples, mais potentiellement graves (refus d’accès à un lieu, à un emploi, arrestation erronée…). L’utilisation même d’outils biométriques d’identification et d’évaluation peut générer et amplifier des discriminations.

Les avancées que permettent les technologies biométriques ne sauraient s’effectuer ni au détriment d’une partie de la population, ni au prix d’une surveillance généralisée. Le droit de la non-discrimination doit être respecté en toutes circonstances et l’accès aux droits doit rester garanti pour toutes et tous.

Alors que des réflexions sont initiées aux niveaux européens et français, la Défenseure des droits appelle à la responsabilisation des acteurs et souhaite adresser aux pouvoir publics une liste de recommandations qui lui paraissent indispensables pour garantir la protection des droits fondamentaux à l’ère des technologies biométriques :

• Ecarter les méthodologies d’évaluation non pertinentes : le développement important d’outils biométriques d’évaluation aux méthodologies scientifiques non éprouvées appelle à la responsabilisation des acteurs compte tenu du risque discriminatoire qu’ils présentent ;
• Mettre en place des garanties fortes et effectives pour s’assurer du respect des droits des individus :
  • Dans le cadre d’un usage à des fins policières : étendre l’interdiction explicite de recours à l’utilisation de logiciels de reconnaissance faciale appliquée aux images captées par drones aux autres dispositifs de surveillance existants (caméras piétons, vidéosurveillance, etc.)
  • Pour tous les usages : s’interroger systématiquement sur l’opportunité d’utiliser une technologie moins intrusive, contrôler systématiquement les biais discriminatoires et faciliter le droit au recours
• Repenser les contrôles existants, notamment  
  • Intégrer les enjeux de risques discriminatoires aux analyses d’impact relatives à la protection des données imposées par l’article 35 du RGPD
  • Réviser le seuil d’évaluation des marchés publics informatiques et ajouter de nouveaux paramètres de contrôle intégrant une appréciation des risques d’atteintes aux libertés et droits fondamentaux
  • Intégrer une appréciation des risques de discrimination et en instaurant une obligation de recourir à un audit régulier, externe et indépendant des dispositifs biométriques d’identification et d’évaluation.

Pour aller plus loin : les catégories d’usage des techniques biométriques

Authentification : L’authentification consiste à vérifier l’identité de quelqu’un en comparant ses données biométriques à un instant T à celles de l’identité qu’elle revendique (ex : déverrouillage d’un téléphone par reconnaissance faciale).

Identification : L’identification vise à retrouver une personne au sein d’un groupe d’individus, dans un lieu, sur une image, ou dans une base de données à partir des traits de son visage (reconnaissance faciale), de sa voix (reconnaissance vocale), de sa gestuelle (reconnaissance de la démarche) ou de tout autre type de donnée biométrique en comparant les données prélevées à un instant T aux gabarits figurant sur une liste de personnes recherchées. Cette comparaison peut avoir lieu dans des délais extrêmement brefs (cas de la reconnaissance faciale dite « en temps réel »).

Evaluation : Partant des données biométriques d’un individu, les technologies d’évaluation visent à :

• Identifier ou déduire des émotions, des traits de personnalité ou des intentions (ex : dans le cadre d’un recrutement).
• Catégoriser les personnes en fonction de caractéristiques spécifiques (de sexe, d’âge, d’origine ethnique, d’orientation sexuelle ou politique) en vue de prendre des mesures spécifiques (ex : ciblage publicitaire).