B. LA NÉCESSITÉ DE CONCILIER LA PROTECTION DE LA LIBERTÉ INDIVIDUELLE ET LES EXIGENCES DE LA SÉCURITÉ PUBLIQUE
1. Les données biométriques : des données personnelles sensibles
La CNIL considère que « les données biométriques ne sont pas des données à caractère personnel comme les autres ». Elles présentent en effet, comme le rappelait notre collègue Jean-René Lecerf dans le rapport de la mission d'information sur la nouvelle génération de documents d'identité et la fraude documentaire « la particularité de permettre à tout moment l'identification de la personne concernée sur la base d'une réalité biologique qui lui est propre, permanente dans le temps et dont elle ne peut s'affranchir » 28 ( * ) .
Pour la CNIL, « à la différence de toute autre donnée d'identité, et à plus forte raison de toute autre donnée à caractère personnel, la donnée biométrique n'est pas attribuée par un tiers ou choisie par la personne : elle est produite par le corps lui-même et le désigne ou le représente, lui et nul autre, de façon immuable. Elle appartient donc à la personne qui l'a générée. On comprend dès lors que toute possibilité de détournement ou de mauvais usage de cette donnée fait peser un risque majeur sur son identité. Confier ses données biométriques à un tiers, lui permettre de les enregistrer et de les conserver n'est donc jamais un acte anodin : cela doit répondre à une nécessité a priori exceptionnelle, justifiée, et être entouré de garanties sérieuses » 29 ( * ) .
Il est possible à cet égard de distinguer les données biométriques traçantes comme les empreintes digitales, qui permettent de suivre un individu à la trace et celles qui ne laissent pas de traces , en l'état actuel des technologies, comme l'iris ou le réseau vasculaire de la main. Les premières peuvent être utilisées soit pour réunir des informations sur l'intéressé en reconstituant l'itinéraire qu'il a suivi et les actions qu'il accomplit à cette occasion, soit pour identifier les personnes qui ont été présentes à un moment, en un lieu, ce qui correspond à l'usage le plus courant dans le cadre de recherches judiciaires.
La sensibilité particulière des données biométriques se manifeste notamment dans le pouvoir de contrôle renforcé que le législateur a reconnu à la CNIL, puisque les traitements biométriques, autres que ceux mis en oeuvre par l'État, sont désormais soumis, lorsqu'ils sont susceptibles de présenter des risques particuliers au regard de la vie privée et des libertés individuelles, à un régime d'autorisation par la CNIL en application de l'article 25 de la loi « information et libertés ».
2. La position de la CNIL sur l'usage des technologies biométriques : le nécessaire respect d'une exigence de proportionnalité
D'une manière générale, la CNIL considère comme légitime le recours, pour s'assurer de l'identité d'une personne, à des dispositifs de reconnaissance biométrique dès lors que les données biométriques sont conservées sur un support dont la personne à l'usage exclusif 30 ( * ) .
En revanche, elle est plus réservée sur la constitution de bases de données centralisées de données biométriques , dont elle estime qu'elle doit être justifiée par des forts impératifs de sécurité.
Dans la mesure où les traitements concernés utilisent une biométrie dite « à trace », en l'occurrence les empreintes digitales, qui ont la particularité de pouvoir être capturées et utilisées à l'insu des personnes concernées, ils appellent une vigilance toute particulière, tant de la part des personnes concernées que de celle des autorités de protection des données. En effet, ces traces peuvent être exploitées pour l'identification des personnes et tout traitement de données est donc susceptible d'être utilisé à des fins étrangères à sa finalité première, notamment à des fins d'usurpation d'identité dans un but frauduleux.
À cet égard, ces traitements qui repose sur l'enregistrement de ces données biométriques dans une base centrale posent question du point de vue de la protection des données. En effet, étant susceptibles d'être utilisés à d'autres fins que celles prévues initialement, il est possible que la personne perde la maîtrise de sa donnée biométrique, qui est ainsi détenue par un tiers. Dès lors, en cas d'intrusion dans le fichier, on peut accéder à l'ensemble des empreintes ou gabarits qui y sont stockés et qui sont généralement associés aux identités des personnes. Enfin, la création de telles bases de données implique des sécurités techniques complexes et supplémentaires, dans la mesure où un fichier est d'autant plus vulnérable, « convoité » et susceptible d'utilisations multiples qu'il est de grande dimension, qu'il est relié à des milliers de points d'accès et de consultation, et qu'il contient des informations très sensibles comme des données biométriques.
Un principe guide l'analyse de la CNIL : celui du respect de la proportionnalité entre les objectifs poursuivis et les moyens déployés et les atteintes éventuellement portées aux libertés individuelles.
Lors de son audition, M. Sébastien Huyghe, commissaire de la CNIL a à cet égard considéré que la lutte contre la fraude et la constitution d'un nouvel outil de police judiciaire constituaient des finalités distinctes, qui n'appelaient pas les mêmes garanties de mise en oeuvre. Il revient au législateur de préciser la ou les finalités poursuivies, afin d'interdire toute utilisation détournée du fichier ainsi créé.
C'est en fonction des finalités déterminées que la proportionnalité du dispositif projeté doit alors être appréciée : existe-t-il des procédés de lutte contre la fraude plus respectueux de la vie privée ? Quelles garanties mettre en oeuvre s'il s'agit d'un outil de police ?
La CNIL, dans son avis rendu sur le décret mettant en place le passeport biométrique, a considéré que, si légitimes soient-elles, les finalités gestionnaires définies dans le décret (faciliter les procédures d'établissement, de délivrance, de renouvellement, de remplacement et de retrait des passeports ainsi que prévenir, détecter et réprimer leur falsification et leur contrefaçon), « ne justifiaient pas la conservation, au plan national, de données biométriques telles que les empreintes digitales et que les traitements ainsi mis en oeuvre seraient de nature à porter une atteinte excessive à la liberté individuelle » 31 ( * ) .
M. Sébastien Huyghe a estimé que, quelle que soit l'option retenue, la proposition de loi devra comporter les garanties indispensables pour assurer la protection des données à caractère personnel, par exemple la limitation des destinataires des données et la traçabilité de leurs actions, la fixation d'une durée de conservation et de mécanismes rigoureux de mise à jour des informations, ou la possibilité pour la CNIL de contrôler la mise en oeuvre du système.
S'agissant des fonctionnalités supplémentaires ajoutées à la carte nationale d'identité, et notamment celles permettant de s'authentifier sur des réseaux de communication en ligne, il a indiqué que la CNIL s'était toujours montrée favorable au développement des e-services, publics ou privés. La mise en oeuvre de ces outils doit cependant être accompagnée de garanties afin que seules les données personnelles nécessaires aux transactions soient communiquées (principe de la divulgation partielle), et qu'aucune exploitation par l'État d'informations sur ces transactions privées ne soit autorisée.
* 28 Rapport de la mission d'information sur la nouvelle génération de documents d'identité et la fraude documentaire, op. cit. , p. 98.
* 29 Communication de la CNIL relative à la mise en oeuvre de dispositifs de reconnaissance par empreinte digitale avec stockage dans une base de données
( http://www.cnil.fr/fileadmin/documents/approfondir/dossier/CNI-biometrie/Communication-biometrie.pdf ).
* 30 CNIL, délibération n° 2007-368 du 11 décembre 2007 portant avis sur un projet de décret en Conseil d'État modifiant le décret n° 2005-1726 du 30 décembre 2005 relatif aux passeports électroniques.
* 31 Loc. cit .