La Commission nationale de l’informatique et des libertés (Cnil) est assez sourcilleuse en ce qui concerne la biométrie. Elle n’est pas favorable aux systèmes d’identification par empreintes digitales, par exemple. En revanche, elle est pour l’utilisation du réseau veineux. C’est un système biométrique de ce genre qu’elle vient d’autoriser pour être utilisé par la Banque Accord.
Filiale du Groupe Auchan, l’établissement a présenté à la Cnil un dispositif de paiement dans lequel le client serait identifié par les veines d’un doigt, ce qui lui évite de saisir son code de carte bancaire. La banque a obtenu l’autorisation de tester le système pendant six mois, mais pour l’heure, elle ne souhaite pas en dire plus tant que rien n’est en place. C’est en tout cas la première fois qu’un système de paiement incluant de la biométrie reçoit le feu vert de la Cnil.
L’idée est de proposer aux clients d’enregistrer le gabarit du réseau veineux d’un de leurs doigts et de l’associer à leur carte bancaire. Mais une carte bancaire spéciale, car sans contact. Le gabarit est conservé par la banque. Au final, au moment du paiement, deux techniques entrent en jeu.
Lorsque l’acheteur arrive en caisse, il signale au vendeur qu’il veut payer par biométrie. Un terminal de paiement spécial se met alors à chercher les signaux radio de cartes bancaires sans contact situées dans un périmètre d’un mètre à un mètre cinquante. Le client, lui, n’a pas besoin de sortir la carte de sa poche. En revanche, il doit présenter son doigt sur un lecteur relié au terminal de paiement.
Biométrie sans trace
« Un canal de communication sécurisé est ouvert et le terminal va comparer le réseau veineux présenté au lecteur au gabarit associé à la carte, gardé par la banque, explique Sophie Nerbonne à la direction des affaires juridiques de la Cnil. Si tout correspond, un certificat d’authentification est émis par la carte en direction du terminal de paiement ». La transaction est alors validée.
Tout ce dispositif implique que le commerçant soit équipé d’un matériel spécial. La Banque Accord étant une filiale à 100 % d’Auchan, il ne sera pas trop difficile pour l’établissement de trouver un terrain d’expérimentation : le réseau de supermarchés du groupe.
Plusieurs garanties apportées par la banque ont convaincu la Cnil. D’abord, le réseau veineux est une biométrie dite « sans trace », contrairement aux empreintes digitales. C’est-à-dire que cette donnée ne peut pas être collectée à l’insu de la personne.
Ensuite, le gabarit conservé par la banque n’aboutira pas dans un fichier regroupant tous les gabarits, mais restera dans un espace sécurisé individuel. Autre élement, l’expérimentation envisagée est basée sur le volontariat des clients. « A tout moment, ajoute Sophie Nerbonne, la carte bancaire sans contact peut être désactivée par son porteur pour empêcher l’émission d’ondes radio. Et le porteur n’a aucun risque d’être géolocalisé. » Dernier élément, le réseau veineux transmis par le terminal lors de la présentation du doigt n’est pas conservé localement.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
