Algorithme de reconnaissance faciale validé par les juges suprêmes

La reconnaissance faciale en tant que moyen d’authentification (« Alicem ») a été validée par le Conseil d’Etat. Alicem est une application pour smartphone développée par le ministère de l’Intérieur et l’Agence nationale des titres sécurisés (ANTS) qui permet à tout particulier, qui décide de l'utiliser, de prouver son identité sur Internet de manière sécurisée, à l’aide de son smartphone et de son passeport ou de son titre de séjour.

Fonctions d’Alicem   

L'ouverture d'un compte " Alicem " permet aux titulaires d'un passeport ou d'une carte de séjour biométrique de s'identifier en ligne auprès d'organismes publics ou privés partenaires et d'accéder à leurs téléservices.

Niveau de garantie élevé

Ce service, qui prend la forme d'une application disponible sur le système d'exploitation Android, vise à offrir aux usagers un niveau de garantie élevé au sens du règlement (UE) n° 910/2014 du 23 juillet 2014  et de proposer ainsi une protection renforcée contre l'utilisation abusive ou l'usurpation de leur identité dans le cadre de leurs démarches en ligne.

Aux termes du 2.1.2. du règlement d'exécution de la Commission du 8 septembre 2015, ce niveau de garantie peut être atteint s'il est vérifié que la personne physique : " est en possession d'un élément d'identification biométrique ou photographique reconnu par l'État membre dans lequel est déposée la demande relative au moyen d'identité électronique et que cet élément correspond à l'identité alléguée, l'élément fait l'objet d'une vérification visant à déterminer sa validité selon une source faisant autorité / et / le demandeur est identifié comme ayant l'identité alléguée par comparaison d'une ou de plusieurs caractéristiques physiques de la personne auprès d'une source faisant autorité ".

Pour créer un compte " Alicem ", l'usager doit, entre autres démarches, consentir à un traitement de données biométriques collectées à travers un système de reconnaissance faciale. S'il y consent, il est invité à enregistrer une courte vidéo à partir de laquelle un algorithme de reconnaissance faciale vérifie qu'il est le titulaire légitime du titre biométrique sur lequel l'identité numérique est fondée, tandis qu'un algorithme de reconnaissance du vivant analyse les actions effectuées sur la vidéo pour détecter toute tentative d'attaque informatique ou de tromperie.

Une fois son identité authentifiée, l'usager peut finaliser son inscription. Des identifiants électroniques sont alors associés à son compte. Ils lui permettent de se connecter sur l'application et d'effectuer des démarches sur les téléservices partenaires. Les données biométriques collectées à l'occasion de la création du compte sont quant à elles détruites. Si un usager ne consent pas au traitement par reconnaissance faciale, il ne peut pas créer de compte Alicem ni, par suite, accéder à l'application.

Validation du décret du 13 mai 2019

Le décret du 13 mai 2019 qui autorise la mise en oeuvre par le ministre de l'intérieur du  traitement automatisé de données à caractère personnel dénommé " authentification en ligne certifiée sur mobile " (Alicem) a été validé.

Il ne ressort pas des pièces du dossier que, pour la création d'identifiants électroniques, il existait à la date du décret attaqué d'autres moyens d'authentifier l'identité de l'usager de manière entièrement dématérialisée en présentant le même niveau de garantie que le système de reconnaissance faciale. Le recours au traitement de données biométriques autorisé par le décret attaqué a été regardé comme exigé par la finalité de ce traitement.

Les téléservices accessibles via l'application " Alicem " l'étaient également, à la date du décret attaqué, à travers le dispositif FranceConnect, dont l'utilisation ne présuppose pas le consentement à un traitement de reconnaissance faciale. Dès lors que les usagers qui ne consentiraient pas au traitement prévu dans le cadre de la création d'un compte Alicem peuvent accéder en ligne, grâce à un identifiant unique, à l'ensemble des téléservices proposés, ils ne sauraient être regardés comme subissant un préjudice au sens du règlement général sur la protection des données précité. Télécharger la décision