Hier un psychodrame s’est noué entre des élus du Sud de la France – Christian Estrosi, Eric Ciotti et Renaud Muselier – et la CNIL. Le trio reproche à l’autorité d’avoir jugé illicite l’installation d’un portique biométrique à l’entrée de deux lycées. Next INpact diffuse la lettre adressée par la CNIL à la présidence de la région PACA.
La CNIL a considéré que les portiques biométriques, quand bien même ne seraient-ils qu’ expérimentés sur une année scolaire, ne peuvent passer le cap du règlement général sur la protection des données personnelles.
D’un, ces données biométriques sont par définition sensibles. De deux, le dispositif concerne des mineurs, population particulièrement protégée par le texte européen. Enfin, il existe plusieurs solutions alternatives qui permettent d’atteindre le même objectif, comme l’usage de badge d’accès.
Dans la missive, qui fut signalée hier par Mediapart et que nous diffusons intégralement ci-dessous, la CNIL a tenté de faire œuvre de pédagogie. Elle a rappelé le principe de proportionnalité pour souligner, à l’aide du considérant 39 que les données biométriques des élèves « ne devraient être traitées que si la finalité du traitement ne peut être raisonnablement atteinte par d'autres moyens ».
Marie-Laure Denis, présidente de l'autorité, explique au passage le particularisme de la biométrie : « à la différence d’un badge perdu ou détourné, la perte ou le détournement d’une donnée biométrique fait peser un risque majeur pour la personne concernée ».
Et pour cause, « la donnée biométrique compromise reste attachée à son identité, mais ne peut, contrairement à un badge ou un mot de passe, être révoquée ». Autre piqûre de rappel : les directeurs des lycées Les Eucalyptus à Nice et Ampère à Marseille seront bien co-responsables de ces expérimentations, si du moins ces projets venaient à ne pas être abandonnés…
Voilà donc « l’avis » que les trois élus ont considéré comme fruit d’une « idéologie poussiéreuse », « tout à fait regrettable », « basée sur des principes dépassés », « d’un autre temps »... On notera que le projet repose également sur un « suivi des personnes » au sein des établissements.
La CNIL n’a pas réceptionné d’analyse d’impact sur le sujet et s’est donc concentrée sur la reconnaissance faciale. Elle rappelle que dans la mesure où ce suivi électronique concerne des « personnes identifiables », il implique nécessairement un traitement de données à caractère personnel. Et donc l’application du RGPD.
