Je crée un système d'identification biométrique
Que vérifier avant de créer un système biométrique ?
Ce qu’il faut retenir
Un traitement comportant des données biométriques nécessite l’autorisation préalable de l’Autorité avant toute mise en œuvre.
L’autorisation ne se déduit ni de l’achat d’un équipement ni de l’utilité annoncée du système.
Pourquoi cette situation mérite votre attention
Un système biométrique utilise des caractéristiques d’une personne pour la reconnaître. Il faut connaître les données réellement conservées, et pas seulement la fonction commerciale de l’équipement.
Une base commune, des supports individuels et un rapprochement avec d’autres fichiers présentent des configurations différentes. La quantité de données, leur conservation et les accès doivent être appréciés au regard de l’objectif.
Ce qui peut changer l’analyse
- Le système vérifie-t-il une identité déclarée ou recherche-t-il une personne dans une base ?
- Quelles caractéristiques ou représentations numériques sont conservées et sur quels supports ?
- Qui accède aux données et le système relève-t-il aussi d’une catégorie publique de l’article 13 ?
Ces questions aident à comprendre votre situation ; leurs réponses ne valent pas décision.
Que pouvez-vous faire ?
- Demandez une description technique des données collectées et conservées, puis comparez avec des moyens moins intrusifs adaptés au besoin ; cette comparaison est un conseil pratique.
- Obtenez l’autorisation préalable de l’Autorité avant la mise en œuvre du traitement biométrique.
- Définissez les accès et la période nécessaire de conservation, puis vérifiez l’éventuelle application complémentaire de l’article 13.
Ce que prévoit la loi
« Sont soumis à autorisation préalable de l’Autorité de protection avant toute mise en œuvre : - le traitement des données à caractère personnel comportant des données biométriques ; »
Ce que ce texte établit. Le chapeau de l’article 7 soumet les traitements de la catégorie biométrique à autorisation préalable avant toute mise en œuvre.
Pourquoi il concerne votre situation. Le système décrit relève de cette catégorie s’il comporte effectivement des données biométriques.
Ce qui reste à apprécier
- Les caractéristiques techniques et les usages soumis à l’appréciation de l’Autorité.
- L’articulation avec l’article 13 si la finalité entre dans l’une de ses catégories publiques.
Autres articles à consulter (2)
- Loi n° 2013-450 — article 13Régime complémentaire à examiner selon les catégories publiques énumérées.
- Loi n° 2013-450 — article 16, alinéas 2–3Pertinence, caractère non excessif et durée nécessaire de conservation.