Un mot de passe compromis peut être remplacé ; un visage ou une empreinte ne se renouvelle pas de la même manière. La biométrie peut pourtant simplifier une authentification sur un appareil partagé, accélérer un contrôle local ou éviter la mémorisation d’un secret. Le défi consiste à obtenir ce bénéfice sans transformer le corps en identifiant universel. Cela demande de limiter la finalité, de privilégier la comparaison locale et de prévoir une véritable alternative pour les personnes qui ne peuvent ou ne souhaitent pas utiliser la biométrie.
Prouver la nécessité avant de choisir la technologie
La première décision est de savoir si la biométrie est réellement nécessaire. Un badge, un code à usage unique ou une clé physique peuvent parfois atteindre le même objectif avec moins de risques. La commodité seule ne justifie pas une collecte durable de caractéristiques corporelles.
La finalité doit être étroite : déverrouiller un appareil, autoriser une opération précise ou contrôler un accès déterminé. Réutiliser ensuite les mêmes gabarits pour mesurer la présence, profiler les comportements ou entraîner un modèle constitue un changement de finalité qui doit être évalué séparément.
Distinguer capture, gabarit et décision
Une image brute, un gabarit biométrique et le résultat de comparaison ne présentent pas le même risque. L’architecture doit éviter de conserver l’image lorsque seul un gabarit est nécessaire. Elle doit aussi séparer le service qui réalise la comparaison du système métier qui reçoit simplement une décision et un contexte minimal.
Lorsque l’appareil fournit une enclave sécurisée ou une API biométrique native, l’application peut demander une preuve d’authentification sans accéder elle-même à l’empreinte ou au visage. Cette approche réduit la surface d’exposition et simplifie le cycle de suppression.
- Éviter la conservation des captures brutes.
- Séparer identité métier et gabarit biométrique.
- Préférer une preuve locale à l’envoi d’une caractéristique centrale.
Concevoir le consentement et l’alternative
Une interface utile explique ce qui est capturé, pourquoi, où cela reste stocké, combien de temps et comment le supprimer. Le choix ne doit pas être noyé dans des conditions générales. Une personne doit pouvoir refuser sans perdre l’accès au service essentiel lorsqu’une autre méthode raisonnable existe.
L’alternative est aussi une exigence opérationnelle. Une blessure, un capteur défaillant, un changement d’appareil ou une mauvaise luminosité peuvent empêcher la reconnaissance. Un code, un badge ou une validation supervisée doit permettre de continuer sans créer un contournement permanent et moins sûr.
Mesurer les erreurs qui touchent les personnes
Le taux de faux rejet mesure les personnes légitimes refusées ; le taux de fausse acceptation mesure les correspondances incorrectes. Un seuil plus strict ne produit pas gratuitement plus de sécurité : il peut multiplier les refus, les files d’attente et les interventions manuelles.
Les tests doivent couvrir les capteurs réellement utilisés, les conditions de terrain et des groupes représentatifs. Une moyenne globale peut masquer un écart important pour certaines personnes. Les résultats orientent le seuil, la qualité minimale de capture et le moment où l’application propose une autre méthode.
Faire fonctionner le mode hors ligne sans créer une copie incontrôlée
Un appareil déconnecté peut vérifier localement un gabarit protégé et enregistrer un événement signé pour synchronisation ultérieure. Le journal contient l’identifiant nécessaire, l’heure, le résultat et l’appareil, pas une nouvelle copie de la donnée biométrique. Les clés sont liées à l’appareil et révocables.
À la reconnexion, le serveur vérifie l’intégrité, les doublons, l’ordre et les autorisations encore valides. Une suppression ou une révocation doit se propager vers les appareils. Le mode hors ligne ne peut pas devenir une zone où les politiques de conservation cessent de s’appliquer.
Réduire la valeur d’une fuite
Le chiffrement protège le stockage et les échanges, mais la séparation des données reste tout aussi importante. Un attaquant ne devrait pas pouvoir relier directement un gabarit, une identité complète, un historique et un emplacement à partir d’une seule base. Les accès administratifs sont limités, journalisés et revus.
Les sauvegardes, environnements de test, exports de support et traces applicatives suivent les mêmes règles. Une donnée supprimée de la base principale mais présente dans un journal ou une copie de démonstration reste exposée. L’analyse d’impact recense précisément ces chemins.
Gérer le cycle de vie et les incidents
L’enrôlement, la mise à jour, la révocation et la suppression sont conçus avant le lancement. Le système sait quels appareils possèdent un gabarit, quelle version du consentement a été acceptée et quand la donnée doit être effacée. Une revue régulière vérifie que la finalité reste valable.
Le plan d’incident prévoit le blocage d’un appareil, la rotation des clés, l’information des responsables et le passage temporaire à une autre méthode. La meilleure expérience n’est pas celle qui rend la biométrie invisible : c’est celle qui reste claire, rapide et utilisable même lorsque la reconnaissance ne fonctionne pas.
- Documenter nécessité et proportionnalité.
- Fournir une alternative réellement utilisable.
- Tester suppression et révocation de bout en bout.
- Ne jamais réutiliser les données sans nouvelle évaluation.
Mettre en pratique
Des réalisations à consulter
Ces études de cas illustrent certains principes présentés dans ce guide. Elles complètent l’apprentissage sans exposer les choix internes ou le code des produits privés.
Références & prolongements
CNIL — Questions-réponses sur le règlement type biométrie↗CNIL — Règlement type relatif à l’authentification biométrique au travail↗NIST SP 800-63B — Authentication and Lifecycle Management↗