Après une délibération autorisant le recours à un dispositif biométrique multimodal pour l'accès aux lieux de travail, la Cnil a autorisé le 23 juin pour la première fois un dispositif biométrique fondé sur la reconnaissance de la frappe au clavier.

Ce dispositif s'appuie sur la variation de la durée séparant la frappe de deux touches de clavier d'un ordinateur, le contrôle s'effectuant par comparaison entre le gabarit de la frappe au clavier lors de la tentative d'accès au dispositif par la personne et le gabarit de sa frappe au clavier préalablement enregistré. Utilisé en complément d'un traditionnel identifiant/ mot de passe pour authentifier une personne et lui donner accès à des applications ou à un système d'information (par exemple, l'intranet de l'entreprise), il permet de renforcer la sécurité de l'accès.

La Cnil a autorisé ce dispositif,mais sous des conditions très strictes. Elle explique dans un communiqué que « dans la mesure où ce type de biométrie peut présenter des risques (par exemple, l'enregistrement puis la simulation des caractéristiques de la frappe clavier d'une personne, à son insu notamment par le biais de mouchards pour clavier), la Cnil examinera attentivement les prochaines demandes d'autorisation qui lui seront soumises ».

Lors de l'examen de la demande d'autorisation, elle s'est donc assuré que plusieurs mesures de sécurité seront déployées pour assurer la confidentialité des données :

les gabarits biométriques des personnes enrôlées seront chiffrés par l'intermédiaire d'un algorithme public réputé fort ;

la clef de chiffrement utilisée sera spécifique à la société ;

la base de données qui contient les gabarits biométriques chiffrés sera hébergée par la société et non par un prestataire ;

enfin, la société s'assurera qu'aucun logiciel ou dispositif matériel permettant d'enregistrer, puis de simuler les caractéristiques de la frappe clavier d'une personne, à son insu notamment, ne pourra être installé sur le poste informatique.

Dernière condition retenue par la Commission pour autoriser le dispositif : l'absence de conservation des données recueillies.

En effet, l'ensemble des données personnelles des personnes volontaires seront conservées par la société uniquement le temps de la démonstration. Quant aux données personnelles sur les salariés chargés de la démonstration de ce dispositif biométrique, elles seront supprimées lorsqu'ils cesseront d'effectuer ces démonstrations.

Le progrès doit nécessairement s'accompagner de "garde-fous" pour éviter toutes dérives.

(CNIL, délibération n ° 2011-183 du 23 juin 2011)

Source: WK-RH