II. LA PROPOSITION DE LOI : UN OBJECTIF AFFICHÉ AMBITIEUX, UNE MISE EN oeUVRE PLUS MODESTE
La proposition de loi présentée par notre collègue Gaëtan Gorce s'inscrit en réaction à l'inflexion de la doctrine de la CNIL à l'oeuvre depuis plusieurs années. Son auteur estime en effet que certains usages, pourtant autorisés par la CNIL, ne devraient pas être encouragés, à l'instar de l'autorisation unique relative à la biométrie dans les cantines scolaires. Face à la biométrie « de confort », séduisante par son ergonomie, l'auteur doute de la valeur du consentement de l'usager confronté au choix entre deux modes alternatifs. Il propose donc au législateur de mettre un frein à une banalisation excessive de l'usage des données biométriques.
A. UN ENCADREMENT PAR LE LÉGISLATEUR DES FINALITÉS LÉGITIMES DE LA BIOMÉTRIE
1. L'exposé des motifs : l'esquisse d'un statut spécifique de la donnée biométrique
Dans l'exposé des motifs de sa proposition de loi, l'auteur justifie l'encadrement par le législateur de l'usage des techniques biométriques par la nature spécifique des données biométriques, « produites » par le corps humain. Il observe ainsi que si ces données ne peuvent bénéficier de la même protection que celle que le code civil accorde au corps humain dans la mesure où elles ne se confondent pas avec celui-ci, elles devraient toutefois, en tant que « prolongement direct » du corps humain, bénéficier d'une protection plus rigoureuse que toute autre donnée personnelle et faire l'objet de « règles « inspirées » de celles protégeant le corps humain ».
Introduit par la loi n° 94-653 du 29 juillet 1994 relative au respect du corps humain, l'article 16-1 du code civil affirme en effet le droit de chacun au respect de son corps, avant de poser les principes de l'inviolabilité et de l'indisponibilité du corps humain. Ce second principe est étendu par le même article du code civil aux « éléments » et « produits » du corps humain. 20 ( * ) Ainsi que l'expliquait M. Bernard Bioulec, rapporteur de la commission spéciale de l'Assemblée nationale, « l'indisponibilité du corps humain fait obstacle à ce que le corps et ses éléments soient traités comme des marchandises et deviennent objets de commerce . » 21 ( * ) Ce principe est ensuite explicité par les articles 16-5 affirmant la nullité de toute convention à titre onéreux portant sur le corps et ses éléments, 16-6 interdisant la rémunération de ceux qui se prêtent à une expérimentation, à la collecte de sang ou au prélèvement d'éléments ou de produits du corps, et enfin 16-7 affirmant la nullité des conventions de mère porteuse.
En se référant au chapitre II du titre I er du livre I er du code civil, l'auteur de la proposition de loi semble ainsi inviter le législateur à envisager un statut de la donnée biométrique s'inspirant de ces dispositions.
2. Le dispositif : l'encadrement du pouvoir d'autorisation de la CNIL
Pourtant, et contrairement à ce que pourrait laisser croire de prime abord l'exposé des motifs, l'article unique de la proposition de loi ne modifie pas le code civil mais vient compléter l'article 25 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, par l'insertion d'un nouveau paragraphe II bis précisant les conditions d'application du 8° du I du même article relatif aux « traitements automatisés comportant des données biométriques nécessaires au contrôle de l'identité des personnes ». Ceux-ci ne seraient autorisés qu'à condition d'être justifiés par une « stricte nécessité de sécurité ».
En premier lieu, votre rapporteur rappelle que cet article 25 soumet à autorisation préalable directe de la CNIL les traitements de données qui ne sont pas mis en oeuvre pour le compte de l'État. Ces derniers sont en effet soumis à un régime distinct d'autorisation : les articles 26 et 27 de la même loi prévoient que cette autorisation est délivrée par un acte réglementaire pris après avis motivé et publié de la CNIL ; le 2° du I de l'article 27 renvoie au décret en Conseil d'État dans le cas de traitements de données biométriques.
Cela emporte deux conséquences :
- est exclu du champ de la proposition de loi tout traitement de données biométriques mis en oeuvre pour le compte de l'État ;
- la proposition de loi encadre le seul pouvoir d'autorisation de la CNIL, non celui du pouvoir réglementaire .
En second lieu, votre rapporteur attire l'attention sur le fait que la proposition de loi ne vient que préciser les conditions de finalité dans lesquelles peuvent être autorisés les traitements prévus au 8° du I, sans amender la rédaction de celui-ci. Ainsi la proposition de loi n'a pas pour conséquence de modifier la mission de la CNIL ou d'élargir le champ de son contrôle à des traitements de données biométriques qui ne seraient pas « nécessaires au contrôle de l'identité des personnes », autrement dit à des dispositifs qui poursuivraient d'autres objectifs que l'authentification ou l'identification des individus. Cela est cohérent avec l'objet même de la loi n° 78-17 du 6 janvier 1978 précitée qui consiste en la protection des personnes à l'égard des traitements de données à caractère personnel, une donnée personnelle étant définie par son article 2 comme « toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres ».
La proposition de loi ne définit donc pas un statut de la donnée biométrique . Elle se contente de conditionner l'autorisation de la mise en oeuvre d'un traitement de données biométriques à une « stricte nécessité de sécurité » .
* 20 « Art. 16-1. - Chacun a droit au respect de son corps.
« Le corps humain est inviolable.
« Le corps humain, ses éléments et ses produits ne peuvent faire l'objet d'un droit patrimonial. »
* 21 Cf. JO Débat AN, 1 ère séance du 19 novembre 1992, p. 5718.