Biométrie: la CNIL s'inquiète, Auchan fonce !

Tandis que la CNIL annonce, sans fanfares, qu'elle retirait son autorisation unique portant sur l'usage de la biométrie afin de pointer au boulot (AU n°007), le groupe Auchan (Auchan, Leroy-Merlin, banque Accord, etc.) lance avec fierté le paiement biométrique "au doigt", c'est-à-dire la carte VISA biométrique. 

Si l'usage de la biométrie à des fins de contrôle des horaires est désormais jugée "non proportionnel", la CNIL effectuant ainsi un revirement de jurisprudence, celle-ci continue à considérer que la "biométrie de confort", ou plutôt, la biométrie de management, c'est-à-dire à des fins de gestion des flux, que ce soit dans les cantines ou les supermarchés, est légitime. La biométrie dévoile ainsi son véritable visage, servant davantage à faciliter la gestion qu'à assurer la sécurité. Mise en perspective.

Le revirement de la CNIL suite à la contestation sociale

La CNIL motive son retrait de l'autorisation unique de la pointeuse biométrique en constatant une généralisation des "techniques de contrôle des salariés" depuis 2006, l'ayant incité à "recueillir l'avis d'organisations syndicales et patronales, de la Direction Générale du travail ainsi que de certains professionnels du secteur" (délib. n°2012-322 du 20 septembre 2012, portant sur l'AU n°7 du 27 avril 2006: "autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance du contour de la main et ayant pour finalités le contrôle d'accès ainsi que la gestion des horaires et de la restauration sur les lieux de travail").

Au cours de ces consultations, "un consensus s'est clairement exprimé considérant l'utilisation de la biométrie aux fins de contrôle des horaires comme un moyen disproportionné d'atteindre cette finalité", notamment en raison du "risque accru de détérioration du climat social, allant à l'encontre de la relation de confiance employeur-salarié", la pointeuse à badge apparaissant suffisante.

Il faut dire que la pointeuse biométrique devenait l'enjeu de conflits sociaux inquiétants pour les promoteurs de ces technologies (cf. La gauche et l'avenir de la reconnaissance faciale (1), Vos Papiers!, 18/05/12). Nous avions alors cité le reportage de France-3 (17/05/12) sur l'opposition des employés de la mairie de Garges-lès-Gonnesses :

Dans la suite de cette délibération, la CNIL effectue un véritable revirement de jurisprudence, déclarant:

Dès lors, même si le contour de la main est une biométrie dite « sans trace », son recours implique d'utiliser une partie de son corps, ce qui en soi est disproportionné au regard de la finalité de gestion des horaires.

Félicitons-ici la CNIL d'avoir compris, sous la pression du mouvement social et après six ans de promotion de la biométrie en tant qu'outil de flicage des salariés, qu'elle s'était trompée en considérant que la gestion biométrique des horaires était conforme au principe de proportionnalité de la loi Informatique et libertés de 1978.

Le contrôle dans les cantines, scolaires et professionnelles, demeure légal
 

En revanche, la CNIL nage dans l'incohérence la plus totale, en n'effectuant qu'un retrait partiel de l'AU-007, puisque les autres formes de contrôle biométrique dans l'entreprise, et notamment ceux effectués à la cantine, sont considérées comme "proportionnelles":

La Commission estime qu'il n'en est pas de même en ce qui concerne les contrôles d'accès aux locaux ainsi qu'au restaurant d'entreprise ou administratif reposant sur un dispositif de reconnaissance du contour de la main, notamment pour des raisons de sécurité et au regard des risques plus limités pour la vie privée des personnes.

On ne voit pas bien pourquoi la pointeuse biométrique à la cantine porterait un "risque plus limité" à l'égard de la vie privée, puisqu'il s'agit de la même technique. Par ailleurs, invoquer la sécurité alors qu'il s'agit de gestion des flux est parfaitement hypocrite. Dès 2000, la CNIL savait de quoi il en retournait : en rejetant la demande du lycée Jean Rostand de Nice, elle indiquait ainsi (délib. n°00-015, 21-03-00):

le traitement ainsi mis en œuvre ayant pour finalité de faciliter l'accès à la cantine scolaire et la gestion des comptes et de la facturation ; qu'il permettrait, en outre, aux dires de l'établissement, d'éviter toute manipulation d'espèces et les difficultés généralement liées à la perte ou à l'oubli des cartes de cantine...

Cette finalité a été un temps oubliée: en autorisant le premier contrôle biométrique, par contour de la main, dans les cantines, au collège Joliot-Curie de Carqueiranne (Var) en 2002 - initiative coûteuse financée par le conseil général - elle prétendait qu'il ne s'agissait que de s'assurer que "seules les personnes habilitées peuvent accéder au service" (délib. 02-70). Le collège présentait pourtant le système comme visant à "mieux gérer les absences", c'est-à-dire à mieux fliquer les élèves: une sorte de pointage horaire à l'école (Libération, 28-10-02).

Depuis, la CNIL reprend inlassablement la même rengaine : elle autorise les fichiers et la biométrie à des fins de "contrôle de l'accès au restaurant d'entreprise ou administratif et [de] gestion de la restauration ainsi que la mise en place d'un système de paiement associé" (délib. n°02-001 du 08 janvier 2002, sur les fichiers "mis en œuvre sur les lieux de travail pour la gestion des contrôles d'accès aux locaux, des horaires et de la restauration"; délib. n°2006-101 du 27 avril 2006 sur l'AU-007 ; délib. n°2012-322 précitée, abrogeant la précédente).

Affirmer que des cantines requièrent d'être "sécurisées" en faisant usage de la biométrie est tout autant ridicule qu'hypocrite. Et prétendre que le principe de proportionnalité est respecté devient d'autant plus difficile dès lors que la CNIL s'est déjugée en ce qui concerne le contrôle des horaires. Reste donc à la CNIL de prendre acte des nombreuses protestations contre la biométrie à l'école et le flicage des enfants ! 

L'expérience Accord-Auchan sur le paiement biométrique, une collaboration Etat-industrie-grande distribution

Il s'agit-là, en fait, de la mise en place de "l'expérimentation" - peut-être faudrait-il dire de l'acculturation des consommateurs - autorisée par la CNIL dans sa délibération de décembre 2009 que nous avions largement commenté dans La carte VISA biométrique débarque en France (02/04/10). 

La CNIL, dont l'un de ses membres, Dominique Castera, a travaillé chez Sagem de 1973 à 2010, étant même DRH, de 2005 à 2010, de ce groupe à la pointe du lobbying pro-biométrique, la CNIL donc, dans sa grande indépendance, remarquait alors que c'était "la première fois qu’elle [était] appelée à se prononcer sur le recours à une technologie biométrique dans le cadre d’une application potentiellement de masse".

L'expérimentation actuelle, qui commence à l'Auchan de Villeneuve-d'Ascq, est ainsi le fruit d'une véritable collaboration entre la CNIL, plusieurs banques, la grande distribution, une start-up, Natural Security (sic), financée par ces derniers, et enfin Ingenico, leader mondial des terminaux de paiement - dans lequel l'Etat détient une minorité de blocage à travers Safran, et qu'il avait d'ailleurs utilisé en 2010 au nom du "patriotisme économique", empêchant son rachat par les Américains (cf. Vos Papiers!, 02/02/11). La Tribune (23/10/12) précise ainsi :

Les sept actionnaires de Natural Security que sont Auchan, Leroy Merlin, BNP Paribas, Crédit Agricole, Crédit Mutuel Arkéa ainsi que le leader mondial des terminaux de paiement Ingenico financent à hauteur de plusieurs dizaines de millions d'euros les travaux de cette start-up depuis sa création en 2006. Début 2011 sortait le premier prototype en partenariat avec MasterCard.

Comme le souligne bien 01Net (23/10/12), il s'agit d'une "double identification : biométrique et sans contact", puisqu'il faut poser ses doigts sur un terminal biométrique qui reconnaît le réseau veineux, et permet ensuite la transmission des données du terminal à la carte VISA, gardée dans le portefeuille, via une puce RFID (pour les détails techniques du procédé, cf. Vos Papiers!, 02/04/10). 

Si l'Auchan de Villeneuve-d'Ascq se limite au réseau veineux, l'expérimentation s'étendra à celui d'Angoulême, où l'empreinte digitale sera utilisée. Or, il s'agit d'une technologie "à trace" selon la CNIL, qui pose davantage de problèmes relatifs à la protection contre l'usurpation d'identité... biométrique (sur les faux chiffres qui circulent concernant l'usurpation d'identité civile, cf. Le Canard Enchaîné du 24/10/12, ci-contre). La CNIL a autorisé cette "légère" modification par sa délibération n°2011-200 du 30 juin 2011 :

Par une délibération n°2009-700 du 17 décembre 2009, la Commission a autorisé la mise en place de cette expérimentation, en 2011-2012, pendant une durée de six mois chez les commerçants participants avec, pour biométrie utilisée, le réseau veineux du doigt. Banque Accord sollicite une modification de cette autorisation afin de recourir à deux nouvelles biométries : le réseau veineux de la paume de la main et l'empreinte digitale exclusivement stockée sur support individuel.

Comme en 2009, elle prend acte que cette technique consiste principalement à faciliter la gestion des flux, affirmant qu'elle vise "à réduire le temps nécessaire à la réalisation d'un paiement et à répondre au mieux aux exigences de sécurité en vigueur" - cf. Vos Papiers!, 02/04/10, sur la priorité gestionnaire ("à l'automatisation des frontières répond l'automatisation des caisses", écrivions-nous alors), la sécurité pouvant être assurée par d'autres moyens, non biométriques: l'autorisation constitue donc une entorse, sinon une violation, du principe de proportionnalité.

Mais la CNIL voit là un progrès considérable, annonçant même, dans sa délibération sus-citée de juin 2011, que "ce projet devrait à terme favoriser le développement de nouveaux services d'authentification, par exemple pour la banque en ligne ou la signature de documents". 

Outre la banque Accord, le Crédit Agricole Mutuel de Charente Périgord a bénéficié d'une autorisation d'expérimentation analogue (délib. n°2012-039 du 2 février 2012), ainsi que le Crédit Mutuel ARKEA (délib. n°2012-033, 2 fév. 2012). Parmi les actionnaires de la start-up Natural Security, ne reste plus que BNP-Paribas qui n'a pas encore fait sa demande.

La doctrine biométrique de la CNIL : le pointage, ça suffit ! la gestion des flux, oui !

 Le revirement de jurisprudence opéré par la CNIL quant à l'AU-007, qui se limite, sous la pression du mouvement social, à considéré comme non-proportionnel l'usage de la biométrie à des fins de contrôle des horaires, est un aveu de l'incohérence de sa doctrine. En effet, si l'usage à ces fins n'est pas proportionnelle, en quoi le contrôle biométrique à des fins de management, autorisé tant dans les cantines scolaires que la restauration d'entreprise, ou encore dans ces expériences-pilotes de "paiement biométrique", visant essentiellement à accélérer le passage en caisse, seraient-ils "proportionnels" ?

Alors que dans les années 1990, la biométrie était principalement présentée comme une technologie de paiement, l'enjeu sécuritaire post-11 septembre a durablement éclipsé cette fonction. Ceci a permis, en retour, la CNIL d'autoriser la généralisation de ces systèmes de reconnaissance dans l'ensemble de la société, au prétexte de la "sécurité" nécessaire dans le cadre de "contrôles d'accès". Et ceci, alors même qu'elle reconnaissait clairement la finalité avant tout gestionnaire et commerciale.

Avec l'expérimentation de paiement biométrique, qui prévoit la généralisation massive de la biométrie à des fins commerciales, et non plus seulement à des fins souveraines de contrôle d'identité et de circulation, le vrai visage, commercial, de la biométrie refait surface. Avec l'appui enthousiaste de l'Etat, qui participe pleinement à la commercialisation de cette technologie, au nom de la constitution de "champions nationaux".  Au détriment du respect de la vie privée et de nos libertés.

Pourtant, outre le célèbre livre bleu du GIXEL, le lobby de la biométrie, préconisant d' "habituer" les consommateurs dès leur plus jeune âge à ces techniques de contrôle (cf. ici L'identité électronique, pour l'Etat, les enfants ou le marché ?, 28 mai 2012), cette extension était prévue dès le départ, et la CNIL ne pouvait guère l'ignorer. Ainsi, le quotidien économique belge Trends-Tendance évoquait, en septembre 2002 ("Montre-moi ton œil, je te dirai qui tu es", 19-09-02), le modèle de diffusion économique formulé par le cabinet de consultant Arthur D. Little:  

La première étape, dite de haute sécurité, consiste en une phase d'expérimentation et d'application en conditions de contrôle et d'environnement de sécurité maximum, réservée à un petit nombre d'utilisateurs.

La deuxième étape, dite de contrôle d'accès, implique un plus grand nombre d'utilisateurs dans un nombre restreint de situations: la plupart des applications concernent ici  le contrôle physique et les accès à des réseaux.

La troisième étape, celle du contrôle de transactions, fournit des applications à grande échelle, principalement dans l'identification et les zones d'accès: e-commerce, infrastructures publiques et services financiers.

La quatrième étape, d'authentification et d'identification de masse, offre de très nombreuses applications: intégration complète avec les infrastructures publiques, premières solutions pour le marché consommateur.

Nul complot ici, mais une stratégie commerciale pleinement mûrie et réfléchie, à laquelle les Etats, et notamment Paris et Washington, ont apporté leur soutien le plus total.  Qu'importe si le modèle d'Arthur Little a été démenti par les faits ? Puisqu'en effet, l'identification de masse a joué dès le départ, via la mise en place du passeport et du visa biométrique, et que le contrôle des transactions demeure marginal. L'idée était bien de procéder à une généralisation progressive de cette technologie, à des fins purement commerciales.

La victoire remportée par les salariés luttant contre le pointage biométrique montre néanmoins que ce processus n'a rien d'irréversible, et que le mouvement social a un rôle à part entière dans l'élaboration du droit. Ne reste plus qu'aux lycéens à intensifier leur contestation, souvent relayée dans la presse régionale mais presque toujours ignorée de la presse nationale, et aux associations de consommateurs de se saisir de ce nouvel enjeu.

  Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

La carte VISA biométrique débarque en France, Vos Papiers!, 02/04/10

 L'identité électronique, pour l'Etat, les enfants ou le marché ?, Vos Papiers!, 28 mai 2012

 La gauche et l'avenir de la reconnaissance faciale (1), Vos Papiers!, 18/05/12

L'Autorisation unique n° AU-007 ne porte plus sur les contrôles d'horaires des salariés, CNIL, 23-10-12

Natural Security teste le paiement biométrique chez Auchan et Leroy Merlin, La Tribune, 23-10-12

Le paiement biométrique avec le doigt expérimenté chez Auchan, 01 Net-AFP, 23-10-12

Ceux qui montrent patte blanche mangeront, Libération, 28-10-02

L'affaire Daniel Pearl, résolue grâce à la biométrie?

Khalid Sheikh Mohamed, l'assassin de Daniel Pearl?

C'est l'histoire de la victoire de la preuve, nécessairement scientifique, contre la religion de l'aveu, extorqué qui plus est sous la torture. C'est aussi l'histoire d'une longue enquête, parsemée d'embuches, d'erreurs judiciaires, de romans-fictions et d'agitation dans le bocal médiatique parisien, mais qui mènerait surtout au patibulaire Khalid Sheikh Mohamed, cerveau avoué des attentats du 11 septembre, "détenu-fantôme" incarcéré en toute illégalité par l'administration Bush à Guantanamo, terroriste islamiste victime du supplice de la baignoire, euphémisé en waterboarding ou "simulation de noyade", comme dit Le Figaro, lequel lui a été infligé par la CIA à plus de 183 reprises. 

L'affaire Daniel Pearl a ainsi tout pour représenter la victoire de la Science, incarnée par les techniques modernes de la police scientifique, sur la barbarie, représentée tant par le terrorisme aveugle d'Al-Qaïda que la réponse barbare et moyen-âgeuse de la CIA et des services pakistanais, sous la houlette du sinistre "W". Un véritable roman, édifiant en ce qu'il montre comment la Science entretiendrait un lien intrinsèque avec la Démocratie et les Droits de l'Homme - les majuscules sont ici, impératives - dans leur lutte commune contre le terrorisme, qu'il soit étatique ou non. Un feuilleton procédant par mise en abîme, avec l'épisode lamentable de l'"enquête BHL", du nom du célèbre médiato-intellectuel qui, fatigué de sa posture de vieux "nouveau philosophe", s'était fait, pour l'occasion, "journaliste".

Le rapport du Pearl Project et la reconnaissance des veines de la main

Un rapport de l'Université Georgetown, publié par le Pearl Project, piloté par une collègue du journaliste assassiné du Wall Street Journal, prétend ainsi enfin connaître la vérité sur l'assassinat de Daniel Pearl, séquestré le 23 janvier 2002 au Pakistan alors qu'il enquêtait sur la tentative d'attentat de Richard Reid. Il aurait en effet été tué par Khalid Sheikh Mohamed (KSM), le "cerveau" présumé du 11 septembre. Celle-là aurait été obtenue, selon le Washington Post du 20 janvier, par l'analyse de la vidéo où l'on voit la main d'un homme tuant le journaliste. Selon le résumé du rapport:

les doutes concernant l'aveu de KSM [à propos de l'assassinat de Pearl] obtenus lors d'une séance de supplice de la baignoire ["waterboarding"] ont été allégés après que des agents du FBI et de la CIA aient utilisé une technique appelée "vein-matching" afin de comparer la main du tueur sur l'enregistrement vidéo avec une photo de la main de Mohamed.

Cette information capitale, signe de l'indubitable victoire de la preuve biométrique sur l'aveu extorqué, fut relayée, sans guère plus d'analyse, par la presse internationale, dont Le Figaro (20/01), ou The Guardian (20/01), qui évoque les condamnations d'innocents au Pakistan liées à cette affaire.

Une victoire de la Preuve sur l'Aveu?

Les autorités auraient ainsi utilisé la technique de reconnaissance des veines de la main  pour lever ces "doutes".  Information reprise sans plus de précautions par la presse.

Cependant, d'ordinaire, cette technologie fonctionne en comparant le réseau veineux de la main, réelle, au gabarit biométrique enregistré préalablement par le dispositif de reconnaissance biométrique. On peut s'interroger sur l'efficacité d'une technique ne comparant que le seul réseau veineux d'une photographie à celui tirée d'une image d'une séquence vidéo. Si la technique était réellement éprouvée... que dire, sinon qu'ils sont vraiment forts, ces Américains ?!

Il y a plus troublant: si on va plus loin que le résumé du rapport, lorsque celui-ci évoque les veines de la main, c'est simplement pour dire que les autorités ont demandé à KSM, alors détenu à Guantanamo en toute illégalité, de présenter sa main dans la même position que l'image de la vidéo, afin de la photographier. Cela fait, ils n'ont comparé les deux images que par une simple observation humaine (p.64 du rapport) ! Ceci est d'autant plus gênant que le rapport considère cette identification comme la preuve principale contre KSM (p.65). On y lit en effet:

"Et, en effet, les experts de la police scientifique [forensic experts] avaient découverts que les mains concordaient parfaitement, jusqu'à la forme de la veine qui traversait le dos de la main [down to the pattern of the vein that crossed the back of the hand]. "En regardant les deux photos, il n'y avait rien, pour moi, qui pouvait contredire cette conclusion", a dit ainsi au Pearl Project Davis, qui a depuis quitté l'armée pour devenir directeur du Crimes War Project, une organisation non-lucrative basée à Washington D.C. "Je n'ai aucune raison de douter que Khalid Sheikh Mohamed ait tué Daniel Pearl".

(...) Au-delà de l'aveu de KSM, le gouvernement américain n'a jamais révélé aucune preuve corroborante. Après des dizaines d'entretiens, le Pearl Project a découvert que la meilleure preuve détenue par les autorités américaines était constituée par cette concordance de la veine [vein match - plutôt que "réseau veineux", puisque le rapport évoque seulement une veine dans l'extrait sus-cité].

De deux choses l'une. Soit les auteurs du rapport se sont mal exprimés, ce qui est étonnant non seulement au regard de la fiabilité accordée à leurs travaux, mais aussi au regard de l'importance de cette "preuve" qui corroborerait l'aveu de KSM, soumis à de multiples séances inhumaines de torture. Soit ce qui est écrit retrace fidèlement ce qui s'est passé. Mais alors, les auteurs du rapport ont fait passé, dans leur synthèse, un simple test d'observation humaine, visant à comparer deux images de main, en faisant attention, entre autres, au tracé des veines, et en particulier au tracé d'une seule veine, pour le fruit d'une "technologie biométrique". Et les journalistes ont suivi! Ainsi, Le Figaro évoque des "techniques de la CIA et du FBI" utilisés pour "comparer les veines des bras [sic - il s'agit du dos de la main] du bourreau". Le rapport ne fait pourtant allusion à aucune technique en particulier, si ce n'est celle de l'observation empirique.

Une veine pour confondre l'assassin ? 

Ainsi, la seule preuve contre Khalid Sheikh Mohamed, en-dehors d'aveux non seulement suspects, mais également inutilisables devant une juridiction civile en raison des multiples séances de torture, réside dans cette "veine traversant le dos de la main", formellement identifiée comme identique sur deux images, l'une tirée d'une photographie de la main du suspect, faite à la demande de la CIA à Guantanamo, l'autre extraite d'une séquence vidéo montrant la mort de Daniel Pearl.

Contrairement à ce que laisse entendre la synthèse du rapport, ainsi que la presse, nulle "technique" spécifique ici, nulle reconnaissance biométrique du réseau veineux de la main, fût-elle effectuée grâce à une technologie uniquement employée par la CIA. Non, le simple résultat d'une observation attentive, d'un œil exercé, bref, d'un savoir empirique appuyé sur la seule technique de la photographie et du cinéma... La victoire de la Preuve sur l'Aveu, l'épopée du triomphe de la Science et de la Démocratie contre l'Obscurantisme et la Barbarie, en prend un coup. Et après la triste enquête de Bernard-Henry Lévy, le monde médiatique perd encore en crédibilité en titrant sans plus de précaution sur l'assassinat soi-disant avéré de Daniel Pearl par KSM.

Reste à voir, si jamais un jour l'administration Obama réussissait à faire juger KSM devant une juridiction civile, au lieu des commissions militaires naguère envisagées par G. W. Bush, si les juges et le jury accepteraient de le condamner pour ce meurtre - lequel ne constitue qu'un des nombreux chefs d'inculpation pesant contre lui - sur cette seule "preuve", qui repose, en dernière instance, sur l'assurance d'un œil "expert".

Dommage ! Si une véritable analyse biométrique du réseau veineux de la main avait été menée, on aurait pu, peut-être, savoir si la justice américaine accepterait de considérer celle-ci comme preuve légitime. Ce qui aurait eu l'effet inquiétant de permettre de condamner quelqu'un sur la seule foi d'images photographiques, ou tirées de caméras de surveillance, de la scène du crime, sans même avoir besoin d'une empreinte, digitale ou génétique...  

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.

La carte VISA biométrique débarque en France

La CNIL (Commission nationale informatique et libertés) a annoncé hier ce qui ne relève en aucun cas d'un poisson d'avril: la mise en place d'un dispositif de paiement biométrique. En pratique, l'opération exigera seulement que le client pose son doigt sur le lecteur biométrique du magasin, et la transaction sera faite sans qu'il n'ait à sortir la carte de son portefeuille. 

La technique elle-même n'a rien d'inédit, mais la généralisation de l'usage de la biométrie, dans les actes les plus quotidiens (payer à la caisse), marque sans aucun doute la banalisation pour tous de l'identification biométrique, même pour ceux qui refusent de prendre l'avion. En analysant la délibération de la CNIL, nous montrons ici que cette innovation favorise en premier lieu les banques, les assureurs et les grands magasins, ne profitant qu'à la marge au consommateur lui-même. On souligne aussi à quel point ce dispositif, prétendu "infaillible", repose en grande partie sur l'imposition du passeport biométrique et, en général, des papiers d'identité.

"Payer avec son doigt", "paiement d'un geste", ou le marketing biométrique

Sous le titre euphorique "Payer avec son doigt, c'est possible!", la CNIL publicise son accord donné, le 17 décembre 2009, à une "expérimentation" de la Banque Accord,  filiale d'Auchan, qui fait passer la carte VISA à une nouvelle étape: désormais, celle-ci sera associée avec le réseau veineux de deux doigts et à une puce RFID. Le dispositif en question a été nommé Paiement d'un geste (P1G), ce qui devrait tous nous ravir, en particulier les magasins qui pourront accélérer le passage aux caisses.

La technologie biométrique elle-même n'est pas nouvelle, la reconnaissance du réseau veineux des doigts étant autorisée dans le cadre du contrôle d'accès; elle est même préférée à la reconnaissance des empreintes digitales, dans la mesure où celles-ci sont qualifiées de "technologie à trace" contrairement à celles-là. En d'autres termes, rien de plus facile que de recueillir l'empreinte digitale de untel en posant un scotch sur le verre qu'il a bu; c'est plus difficile pour le réseau veineux - la CNIL considère, qu'en l'état des connaissances actuelles, c'est impossible.

En revanche, dans sa délibération du 17 décembre, la CNIL

souligne que c’est la première fois qu’elle est appelée à se prononcer sur le recours à une technologie biométrique dans le cadre d’une application potentiellement de masse. 

Le dispositif biométrique a, en effet, vocation à être utilisé dans le cadre de ce traitement:

- non pas par une population restreinte, à l’intérieur de locaux placés sous la responsabilité du seul responsable du traitement, mais par le grand public, dans de multiples lieux, pour partie placés sous la responsabilité de tiers ;

- pour la réalisation d’opérations très courantes : effectuer des paiements chez des commerçants, à l’exclusion, à ce stade expérimental, de tout autre type d’opérations.

Une opération simple pour l'utilisateur, très complexe dans sa réalité 

L'opération est, en fait, beaucoup plus complexe que ce qu'elle semble être pour l'utilisateur. Non seulement en raison de la technologie utilisée, mais aussi et surtout en raison des précautions techniques et juridiques instaurées par la CNIL afin d'éviter, à tous les stades du processus, l'usurpation d'identité, l'enregistrement à l'insu de la personne du réseau veineux des doigts lors de la communication à distance, la surveillance massive de la population qui aurait pu être instaurée à partir de ce dispositif, etc. Le caractère rassurant du communiqué de la CNIL tranche ainsi avec les détails techniques de l'opération, décrite dans sa délibération.

Techniquement, l'opération se poursuivra ainsi:

1. Le titulaire de la carte VISA se rend dans son agence bancaire ACCORD, où on enregistre le gabarit du réseau veineux de deux de ses doigts dans sa carte, "après vérification de son identité". Les données biométriques ne sont conservées que sur celle-ci. Cette opération se fait sous "haute sécurité": les agents de la banque seront "authentifiés" (seront-ils aussi soumis à un dispositif biométrique?) et un dispositif de traçabilité des enregistrements sera mis en place. En cas de problème, on aura donc tous les enregistrements de cette première phase, primordiale dans la mesure où si l'identité est usurpée à ce stade, l'usurpateur obtient par la suite une "vraie-fausse carte VISA biométrique". Par ailleurs, le client devra faire la preuve de son identité civile, c'est-à-dire en présentant une carte d'identité (pas encore biométrisée) ou son passeport biométrique.
2. Arrivé à la caisse d'un magasin participant à l'"expérimentation", le client pose son doigt sur le terminal de paiement électronique (TPE) du magasin.
3. Le TPE recherche automatiquement, dans un rayon d'un à un mètre cinquante si des cartes P1G (Paiement d'un geste) sont présentes.
4. Phase de la "reconnaissance mutuelle": le TPE s'assure de l'intégrité de la puce des cartes P1G à proximité, tandis que chaque puce identifie le TPE. Ceci vise à empêcher un hacker d'essayer de recueillir le gabarit biométrique d'une personne à son insu en s'installant, innocemment, à côté de la caisse, avec un dispositif électronique de son cru. La CNIL note qu'à cette phase, la transmission de "l’identifiant propre à chaque support P1G au TPE" se fait de façon non chiffrée. Pour cette raison, un identifiant dynamique (qui change à chaque transaction) est utilisé, "pour éviter que le porteur puisse être tracé à son insu sur la base de l’identifiant de sa carte".
5. Le TPE ouvre un canal de communication sécurisée avec chaque puce P1G, répondant aux normes bancaires de sécurité EMV/PCI, et leur transmet sous forme chiffrée le gabarit biométrique (dans un dispositif classique de lecteur de carte VISA sans fil, c'est le code qui est transmis).
6. La carte reconnaissant le gabarit envoie un certificat au TPE: c'est payé. En revanche, les cartes d'autres porteurs, n'ayant pas reconnu le gabarit, ne conservent pas "la moindre trace des demandes de comparaison infructueuses et des gabarits reçus par erreur. De même, le TPE ne conserve aucune trace des gabarits biométriques qu’il a lus. Enfin, le certificat du TPE est automatiquement effacé en cas d’ouverture intempestive du terminal de paiement, afin d’empêcher toute nouvelle transaction."

Sur les finalités: entre confidentialité des échanges commerciaux et automatisation des caisses

Quel est le lien entre la carte VISA biométrique, le passeport biométrique, le scanner corporel, et le mur de Berlin? Ce sont tous des "check-points", selon L'histoire politique du barbelé d'Olivier Razac (Flammarion, 2009). En effet, il s'agit à chaque fois de "fluidifier" le passage tout en sélectionnant les individus autorisés à passer, sélection qui passe notamment par leur identification. Et la carte VISA biométrique relève bien, rappelle la CNIL, du « contrôle de l’identité des personnes » (art. 25 loi du 6 janvier 1978).

Ainsi, parmi les finalités décrites par la CNIL de ce nouveau dispositif, figurent bien entendu la "sécurité". Le remplacement du code par l'identifiant biométrique "devrait se traduire par une réduction substantielle de la fraude". Sans doute. Une dose de scepticisme s'impose toutefois: la fraude à la carte bancaire prend plusieurs formes.

Cas n°1: votre enfant, ou un individu hirsute et malintentionné, ne pourra prendre connaissance de votre code en regardant au-dessus de votre épaule quand vous le tapez. Mais pour cela, nul besoin de technologie biométrique: il suffit, comme le font certains magasins, d'améliorer les terminaux de paiements, en isolant la main qui tape le code du regard des autres. Une simple barrière physique suffit.

Cas n°2: un affreux blouson noir vous met un poignard sous le visage en criant "le code ou la vie!". N'ayant guère l'âme d'un héros, vous lui donnez votre code ce qui lui permet de vider votre compte bancaire. Cependant, le droit en vigueur limite à un plafond de 150 euros le montant qui peut vous être imputé sur le total des sommes prélevées avant opposition. Ce plafond ne peut être dépassé que si la banque prouve que vous avez commis une faute lourde (la Cour de cassation a rejeté en 2007 un pourvoi de la Banque postale, qui se refusait à rembourser plus de 2 000 euros prélevés avant la mise en opposition, prétendant que le fait d'avoir "divulgué son code" constituait une négligence). En d'autres termes, l'usage de la biométrie avantage ici les banques et les assurances, qui n'auront pas à rembourser le client des sommes actuellement prélevées en cas de vol de la carte. Pour le client, à 150 euros près, cela ne change rien.

En d'autres termes, la finalité de sécurité ici invoquée concerne avant tout les banques et les assureurs, et ne justifie la mise en place d'un dispositif biométrique que pour contrer le vol des cartes, certainement pas pour empêcher les indiscrétions à la caisse (ce que la CNIL appelle se faire "capturer son code secret"), qui pourraient être bloquées par de simples parois physiques mettant la main qui tape le code à l'abri des regards.

Les banques ont donc tout à y gagner. Les magasins aussi, sous couvert de "simplification des conditions d’utilisation des cartes bancaires": l'avantage essentiel, en effet, ne tient pas tant dans le dispositif de reconnaissance du réseau veineux que dans la puce RFID, qui permet de payer sans sortir la carte de sa poche, ce qui implique un "gain de temps pour chaque transaction". La CNIL critiquait naguère une telle "biométrie de confort": l'usage du réseau veineux, plutôt que de l'empreinte digitale, et le stockage des données biométriques sur la carte, plutôt que sur une base centralisée, lui permet de passer outre toute réticence.

En d'autres termes, à l'automatisation des frontières répond l'automatisation des caisses, afin d'accélérer les flux et réduire la part des salaires, en réduisant le nombre de caissiers. Il ne s'agit pas tant, ici, de sécurité, que de gestion des flux. A terme, on peut facilement imaginer un magasin où l'on paierait sans même passer par une caisse: un dispositif de reconnaissance faciale (pour l'instant peu fiables) permettrait immédiatement de vous faire payer par le simple fait de sortir du magasin ("Paiement zéro geste?").

Par ailleurs, on peut s'interroger sur "l’impossibilité d’usurper le gabarit biométrique d’un réseau veineux" mis en avant par la CNIL. Cette dénégation n'est en effet valide qu'à deux conditions: d'abord, le respect de toutes les garanties, techniques et juridiques, décrites dans le processus complexe, et en plusieurs phases, de ce dispositif. Ensuite - et surtout - ce risque, qui est en fait l'équivalent biométrique de la "capture du code secret" n'existe que dans la mesure où aucun hacker n'aura démontré le contraire. L'épisode récent de l'assassinat d'un membre du Hamas à Dubaï montre que même les passeports européens sont falsifiables, pour qui en a les moyens (cf. ici et là). Il s'agit là d'une constante du discours, non seulement des fabricants, mais de la CNIL, lorsqu'il s'agit de biométrie: il s'agirait, nous dit-on, d'un dispositif "infalsifiable", rendant "impossible" toute usurpation, etc. Bref, après quelques milliers d'année de tâtonnement, l'humanité serait arrivée au stade de l'identification scientifique, sûre et certaine à 100%. Il y a pourtant un gouffre entre affirmer la "difficulté d'usurper le gabarit biométrique" et son "impossibilité", franchi sans souci par la très rassurante CNIL. 

Les autres traits de ce dispositifs sont tous temporaires et appelés à disparaître: il s'agit de la possibilité, quand bien même on aura accepté cette carte (laquelle repose évidemment, pour l'instant, sur le principe du volontariat), d'effacer ses identifiants biométriques et de revenir à "l'archaïsme" du code secret - mais alors, pourquoi utiliser une telle carte?

Ou encore, comme à chaque fois lorsqu'il s'agit d'introduire une innovation, la CNIL se contente d'autoriser "une expérimentation" d'une durée de six mois, qui sera mise en œuvre en 2011-2012. Cette expérimentation est censée permettre à la CNIL d'examiner la validité et l'efficacité du dispositif; tout comme le dispositif PEGASE d'automatisation des frontières, devenu PARAFES, on peut parier sur le fait qu'elle passera rapidement au stade de la généralisation à tous, volontaire ou non (les phobiques de la biométrie et autres paranos devront aller chercher du cash à la banque pour s'y soustraire, du moins jusqu'à ce que les banques n'imposent pas la vérification d'un papier d'identité biométrique avant de transférer des fonds).

Signalons enfin que:

"la Commission, après avoir rappelé qu’il ne saurait être question pour elle de valider un nouveau mode de transaction bancaire, estime que le contrat signé avec les clients participant à l’expérimentation devra prévoir que le recours au dispositif d’authentification biométrique du payeur n’entraîne aucune modification des règles de preuve en vigueur."

Dans les faits, la CNIL valide évidemment un "nouveau mode de transaction bancaire", puisque ce n'est pas la même chose de payer ses achats en tapant un code ou en mettant son doigt sur un lecteur biométrique. En revanche, il est évident que la CNIL, pas plus que les banques, n'a en aucun cas le pouvoir de modifier les "règles de preuve en vigueur", privilège réservé au législateur. Celui-ci devra pourtant s'adapter à l'évolution technologique.

Du passeport biométrique à la carte VISA biométrique

L'autorisation donnée à ce nouvel usage, massif, de la biométrie, marque sans aucun doute un seuil nouveau dans l'usage de ces technologies. En vigueur au Japon depuis 2005, mais aussi à Singapour, où, en l'absence d'une CNIL "efficace", c'est l'empreinte digitale qui est utilisée, la France s'y met donc, après l'Allemagne dont les magasins, depuis 2007, proposent ce service. De la tentative avortée de la carte d'identité INES (Identité nationale électronique sécurisée), très critiquée par certains, au passeport biométrique, imposé par les Etats-Unis au reste du monde suite aux attentats du 11 septembre, on arrive enfin à l'usage quotidien du paiement biométrique.

Utilisations marchandes et étatiques, privées et publiques, ne se distinguent que par leur différence de traitement juridique. Dans les faits, et la Commission européenne l'avoue volontiers, l'imposition du passeport biométrique booste les firmes du secteur et permet d'habituer la population à ce dispositif. Elle est alors fine prête pour accepter, sans broncher, de voir le réseau veineux de sa main remplacer le code numérique qu'on tape sur la machine. Et comme le dit la CNIL, "ce projet devrait à terme favoriser le développement de nouveaux services d’authentification, par exemple pour la banque en ligne ou la signature de documents." De plus, l'identité du client doit bien être vérifiée au moment de l'enrôlement de ses caractéristiques biométriques à la banque: cette première phase, qui est la plus exposée à l'usurpation d'identité, repose sur la fiabilité des documents d'identité étatiques et sur le soin apporté par les services de la banque dans le contrôle de ceux-ci. En ce sens, passeport biométrique et carte de paiement biométrique appartiennent à la même "chaîne de l'identité".  

Or, sous couvert d'appellations iréniques ("payer avec un doigt" ou "en un seul geste") qui font miroiter aux consommateurs la "simplification" apportée par une carte VISA biométrique, il est évident que les grands bénéficiaires de celle-ci, outre les constructeurs eux-mêmes, sont les banques, les assurances, et les grands magasins qui pourront accélérer le passage aux caisses. Les petites épiceries de quartier n'auront que faire de cette technologie. Enfin, s'il est évident que cette carte rend certaines techniques de vol ou d'usurpation d'identité désuètes, prétendre qu'elle les rend impossible relève d'une affirmation idéologique: de même qu'en matière de fausse monnaie, la contrefaçon devient de plus en plus sophistiquée, le vol d'une carte bancaire, fût-elle biométrique, sera contraint de devenir, lui aussi, une science.

Merci d’éviter de reproduire cet article dans son intégralité sur d’autres sites Internet et de privilégier une redirection de vos lecteurs vers notre site et ce, afin de garantir la fiabilité des éléments de webliographie.