Informatique et libertés - Autorisation d'un dispositif biométrique de reconnaissance de frappe sur clavier
La Commission nationale de l'informatique et des libertés (Cnil) vient d'autoriser pour la première fois un dispositif de "biométrie comportementale", fondé sur la reconnaissance de la frappe sur un clavier d'ordinateur. Elle a autorisé la société d'édition de logiciels JVL à mettre en oeuvre cette technologie "à des fins de démonstration auprès de clients potentiels", indique-t-elle dans son communiqué du 28 juillet.
Ce dispositif s'appuie sur les variations de la durée séparant la frappe de deux touches du clavier d'un ordinateur lors de la saisie d'un identifiant et d'un mot de passe. Cette authentification s'ajoute donc à celle reposant sur le code secret de l'utilisateur. Le système ne nécessite pas de matériel particulier pour sa mise en oeuvre. Aucun lecteur biométrique n'est nécessaire. Il suffit de disposer d'un clavier, d'un ordinateur et du logiciel de reconnaissance biométrique installé sur un serveur (AuthenWare).
Lors de l'examen de la demande d'autorisation, le 23 juin, la Cnil s'est assurée que seules les données des volontaires seraient traitées, et que ces données seraient supprimées à l'issue de la démonstration. En outre, afin de garantir la confidentialité, le résultat de l'analyse des données de frappe sera chiffré. Chaque société utilisatrice aura sa propre "clef de chiffrement personnelle". La base de données du démonstrateur sera hébergée par lui-même et non par un prestataire. JVL devra aussi s’assurer qu'aucun logiciel ou dispositif matériel permettant d'enregistrer puis de simuler les caractéristiques de la frappe au clavier d'une personne, à son insu, ne sera installé sur le poste informatique utilisé.
La biométrie comportementale par frappe au clavier peut être utilisée, en complément des traditionnels identifiant et mot de passe, afin de renforcer l'authentification d'une personne et lui permettre d'accéder à des applications internet ou à un système d'information, par exemple l'intranet d'une entreprise ou d’une collectivité.
La biométrie comportementale permet d'identifier un individu en utilisant une ou plusieurs de ses caractéristiques non physiques (sa manière de frapper au clavier mais aussi le maniement de sa souris ou sa démarche). Sa mise en oeuvre doit être préalablement autorisée par la Cnil, selon l’article 25-I-8° de la loi informatique et libertés. La commission rappelle qu'elle est "particulièrement vigilante sur le risque de dispersion des données biométriques, que son origine en soit accidentelle ou malveillante".
