Je crée une application de reconnaissance faciale
Mon application traite-t-elle des données biométriques pour reconnaître les personnes ?
Ce qu’il faut retenir
L’article 7 soumet à autorisation préalable, avant toute mise en œuvre, les traitements comportant des données biométriques.
Pour votre application, identifiez les caractéristiques réellement extraites et utilisées ; une photographie ne doit pas être assimilée automatiquement à un dispositif biométrique.
Pourquoi cette situation mérite votre attention
La reconnaissance peut comparer des caractéristiques du visage pour retrouver ou vérifier une personne. La description technique permet de comprendre les données effectivement traitées.
L’autorisation préalable ne signifie pas que toute reconnaissance faciale sera acceptée. La finalité, les données et les garanties du projet restent à examiner.
Ce qui peut changer l’analyse
- L’application extrait-elle des caractéristiques du visage pour identifier ou authentifier une personne ?
- Compare-t-elle une personne à un seul modèle ou à une base de plusieurs personnes ?
- Quelles images, gabarits et résultats sont conservés, et par qui ?
Ces questions aident à comprendre votre situation ; leurs réponses ne valent pas décision.
Que pouvez-vous faire ?
- Demandez une description des caractéristiques extraites, des comparaisons et des données conservées.
- Comparez le dispositif à des moyens moins intrusifs pour apprécier les données nécessaires au besoin.
- Si le traitement comporte des données biométriques, obtenez l’autorisation préalable avant sa mise en œuvre et faites préciser les exigences du projet.
Ce que prévoit la loi
« Sont soumis à autorisation préalable de l’Autorité de protection avant toute mise en œuvre : - le traitement des données à caractère personnel comportant des données biométriques ; »
Ce que ce texte établit. Le quatrième tiret de l’article 7 vise les traitements comportant des données biométriques. Son chapeau les soumet à autorisation préalable avant toute mise en œuvre.
Pourquoi il concerne votre situation. Si l’application extrait et utilise des caractéristiques biométriques pour reconnaître une personne, elle relève de la catégorie expressément visée ; cette qualification repose sur son fonctionnement réel.
Ce qui reste à apprécier
- La nature biométrique des données effectivement traitées et les modalités de comparaison.
- La pertinence des données, leur conservation et les garanties propres au projet ; aucune acceptation automatique n’est présumée.
Autres articles à consulter (2)
- Loi n° 2013-450 — article 7, chapeauLire le quatrième tiret avec le chapeau qui énonce l’autorisation préalable avant mise en œuvre.
- Loi n° 2013-450 — article 16Finalités, données non excessives et conservation nécessaire.