CHAPITRE
II
EXPÉRIMENTATION DE DISPOSITIFS D'AUTHENTIFICATION
BIOMÉTRIQUE SANS CONSENTEMENT POUR L'ACCÈS À
CERTAINS
GRANDS ÉVÈNEMENTS
(Division nouvelle)
Afin d'assurer la clarté du texte, la commission a créé une nouvelle division relative à l'expérimentation de dispositifs d'authentification biométrique sans consentement pour l'accès à certains grands évènements, en adoptant l'amendement COM-8 du rapporteur.
Article 2
Authentification biométrique sans consentement
pour
l'accès à certains grands événements
L'article 1er tend à autoriser à titre expérimental les organisateurs de certains grands événements à mettre en place un système d'authentification biométrique obligatoire pour l'accès de certaines personnes à tout ou partie des zones accueillant le grand événement.
La commission a adopté cet article avec modifications, afin d'exclure les riverains du dispositif et d'en réserver la mise en oeuvre à l'État.
1. L'authentification biométrique est aujourd'hui autorisée de manière encadrée
À l'heure actuelle, les systèmes d'authentification biométrique ne sont autorisés que dans deux hypothèses très encadrées.
D'une part, l'authentification biométrique est autorisée lorsque le consentement de la personne a été recueilli. Le consentement de la personne doit cependant être donné de manière libre et éclairée, ce qui implique l'existence d'une alternative ainsi que l'absence de subordination28(*). Cette hypothèse correspond par exemple au système « Parafe » utilisé dans certains aéroports, qui permet aux voyageurs de franchir rapidement la frontière sans contrôle manuel, en passant par un sas automatisé où le gabarit du passeport est comparé au gabarit de la personne filmée dans le sas, ou encore aux systèmes d'authentification permettant aux usagers de déverrouiller leur téléphone grâce à leur visage.
D'autre part, des dispositifs d'authentification biométrique sans alternative peuvent être mis en place sur les lieux de travail, de manière très encadrée.
Le 4° de l'article 44 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés prévoit ainsi que les employeurs et administrations peuvent mettre en place un système d'authentification biométrique pour l'accès des salariés, agents, stagiaires et prestataires aux lieux de travail ainsi qu'aux appareils et applications utilisés dans le cadre de leurs missions.
Les dispositifs d'authentification biométrique mis en place dans ce cadre doivent cependant répondre à plusieurs exigences spécifiques fixées par un règlement type de la Commission nationale de l'informatique et des libertés29(*). Celui-ci précise par exemple que l'employeur doit expliquer pourquoi les systèmes classiques tels que le contrôle par badge sont insuffisants et réaliser une analyse d'impact préalable.
2. Le dispositif proposé : la mise en place d'un système d'authentification biométrique obligatoire pour l'accès à certains grands événements
Reprenant une recommandation de la mission d'information sur la reconnaissance biométrique dans l'espace public conduite par les sénateurs Marc-Philippe Daubresse, Arnaud de Belenet et Jérôme Durain, l'article 2 de la proposition de loi insèrerait un 4° bis à l'article 44 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et tend à permettre aux organisateurs de certains grands événements au sens de l'article L. 211-11-1 du code de la sécurité intérieure, à titre expérimental, de mettre en place un système d'authentification biométrique obligatoire.
Les grands événements
Les grands événements sont régis par l'article L. 211-11-1 du code de la sécurité intérieure. Il s'agit d'événements exposés à un risque d'actes de terrorisme en raison de leur nature et de l'ampleur de leur fréquentation. Ces grands événements sont désignés par décret.
La qualification de grand événement permet de soumettre l'accès de toute personne, à un autre titre que celui de spectateur ou de participant, à tout ou partie des établissements et installations désignés par le décret précité, à une autorisation de l'organisateur. L'organisateur recueille au préalable l'avis de l'autorité administrative, lequel est rendu à la suite d'une enquête administrative.
Ont notamment été qualifiés de grand événement les Jeux Olympiques et Paralympiques de 2024 organisés à Paris, le salon international de l'aéronautique et de l'espace du Bourget ou encore la fête du citron de Menton.
Plusieurs garanties entoureraient cette expérimentation. En premier lieu, seuls certains grands événements, ceux particulièrement exposés à des risques d'actes de terrorisme ou à des risques d'atteinte grave à la sécurité des personnes, seraient concernés par cette possibilité. L'objectif est de cibler les grands événements les plus sensibles, tels que les sommets de chefs d'État et de gouvernement.
En deuxième lieu, s'agissant des personnes concernées, seules celles participant à un autre titre que celui de spectateur ou de participant seraient soumises à ce dispositif d'authentification biométrique obligatoire. Aux termes de l'article R. 211-33 du code de la sécurité intérieure, cette obligation s'appliquerait notamment aux personnes contribuant au soutien technique et logistique de l'événement, à celles assurant la surveillance des installations et espaces concernés par le dispositif ou encore à celles exerçant une activité professionnelle ou bénévole au sein des zones concernées. Les résidents dans la zone concernée seraient aussi soumis à cette obligation.
En troisième lieu, conformément au droit commun, la mise en place de ce dispositif s'effectuerait sous le contrôle plein et entier de la CNIL et le traitement de données biométriques devrait répondre aux exigences fixées par un règlement type établi par la CNIL, comme c'est déjà le cas pour le contrôle de l'accès aux lieux de travail évoqué supra.
3. La position de la commission : une expérimentation justifiée dont l'encadrement doit être renforcé
La commission est favorable à la mise en place de cette expérimentation, justifiée par le fait que les grands événements sont exposés à davantage de menaces.
Par l'adoption d'un amendement COM-9 de son rapporteur, la commission a cependant souhaité mieux encadrer ce dispositif.
À cet effet, la commission a d'abord souhaité restreindre le champ de l'expérimentation. Pour cela, elle a d'une part prévu que les traitements de données biométriques utilisés à des fins d'authentification biométrique lors des grands événements ne pourront être mis en oeuvre que par l'État, et pas directement par l'organisateur du grand événement. Ce dernier peut en effet être une personne privée. À titre d'exemple, le salon international de l'aéronautique et de l'espace, qui est un grand événement, est organisé par une filiale du Groupement des industries françaises aéronautiques et spatiales (GIFAS).
D'autre part, la commission a précisé que les dispositifs d'authentification biométrique obligatoire ne pourront concerner les habitants des zones concernées par la mise en place de ce système. Ceux-ci devront disposer d'un moyen alternatif pour rejoindre leur domicile.
Par ailleurs, la commission a souhaité ajouter de nouvelles garanties. Elle a ainsi précisé que les personnes concernées par le système d'authentification biométrique obligatoire, tels que les employés ou les bénévoles, devront avoir été informés au préalable de la mise en place de ce système.
Elle a en outre prévu que pour mettre en place un tel système, l'organisateur d'un grand événement devra démontrer qu'un haut niveau de fiabilité de l'identification des personnes est requis pour accéder aux établissements et installations faisant l'objet d'une restriction de circulation et d'accès, et pas seulement pour accéder au grand événement.
La commission a adopté l'article 2 ainsi modifié.
* 28 Tribunal administratif de Marseille, 27 février 2020, n° 1901249.
* 29 Délibération de la CNIL n° 2019-001 du 10 janvier 2019 portant règlement type relatif à la mise en oeuvre de dispositifs ayant pour finalité le contrôle d'accès par authentification biométrique aux locaux, aux appareils et aux applications informatiques sur les lieux de travail.