Les dispositifs biométriques sont strictement encadrés par la loi Informatique et Liberté et par le règlement européen sur la protection des données.

La biométrie regroupe l’ensemble des techniques informatiques permettant d’identifier un individu à partir de ses caractéristiques physiques, biologiques, voire comportementales (empreintes digitales, iris, voix, visage ou même la démarche).

La biométrie est aujourd’hui très présente dans l’environnement profession notamment pour les systèmes de contrôle d’accès à des bâtiments. Souvent présentée comme plus ergonomique et plus fiable que les badges, elle offre une alternative efficace de plus en plus recherché par les Directeurs Sécurité.  Mais à la différence d’un badge ou d’un mot de passe, il n’est pas possible de se défaire d’une caractéristique biométrique ou de la modifier. Un mauvais usage ou un détournement peut avoir des conséquences graves sur les droits et libertés des personnes.

L’entrée en vigueur du RGPD le 25 mai 2018 a profondément affecté le cadre juridique en vigueur jusqu’alors.

Comment procéder pour se mettre en conformité ?

Justifier le besoin d’un dispositif biométrique

Il est indispensable de vérifier que le traitement de données biométrique est nécessaire. Par exemple, si un système de badge est considéré comme suffisant, la réponse est non. Autre exemple, si les locaux ou appareils à protéger ne sont pas particulièrement sensibles. La réponse est aussi négative.

Garantir la maîtrise du gabarit

Le responsable du dispositif biométrique doit privilégier le stockage de gabarits sous maîtrise exclusive de la personne concernée.

Justifier et documenter les choix effectués

Quel que soit le type de stockage choisi, l’employeur doit effectuer une analyse d’impact relative à la protection des données en précisant et en justifier le choix. L’employeur est strictement tenu de respecter l’ensemble du règlement type définit par la CNIL (https://www.cnil.fr/sites/default/files/atoms/files/deliberation-2019-001-10-01-2019-reglement-type-controle-dacces-biometrique.pdf) et doit informer les instances représentatives du personnel de sa démarche.