Le  30 juin 2016, la CNIL a adopté deux nouvelles autorisations uniques (AU-052 et AU-053) qui remplacent le cadre existant et encadrent l’ensemble des dispositifs biométriques, quel que soit le type de biométrie utilisé.

Ce cadre distingue

• les dispositifs biométriques permettant aux personnes de garder la maîtrise de leur gabarit biométrique (AU-052)
• les dispositifs biométriques ne garantissant pas cette maîtrise (AU-053). 

Ces autorisations uniques intègrent les principes issus du Règlement européen sur la protection des données personnelles.

1.       Le recours à un traitement biométrique doit être justifié

Le contrôle d’accès biométrique ne doit pas devenir courant et se substituer à d’autres dispositifs standards moins intrusifs pour les personnes (badge, clé, gardiennage, etc.), sans véritable justification. Les responsables du traitement voulant se conformer à ces autorisations devront démontrer au moyen d’une documentation étayée, que le contexte de mise en œuvre du contrôle d’accès justifie le recours à un traitement biométrique.

2.       Les dispositifs garantissant la maîtrise des personnes sur leur gabarit doivent être privilégiés

L’autorisation unique AU-052 vise deux possibilités pratiques permettant de respecter ce principe.

• La personne concernée peut se voir confier un support de stockage de son gabarit de référence, afin de réduire les risques de détournement et l’impact d’une usurpation, si le support est subtilisé. En cas de perte ou de vol du support individuel, seule la donnée concernée est compromise et non tous les gabarits des salariés soumis au contrôle d’accès.
• Si la détention d’un support dédié au seul stockage du gabarit n’est pas adaptée à l’architecture et au contexte d’exploitation du dispositif, le gabarit peut être conservé dans les serveurs de la société sous une forme le rendant inexploitable, en l’absence d’intervention de la personne concernée. En pratique cela signifie que le gabarit est protégé par un secret ou un élément que la personne concernée est seule à détenir et qu’elle peut utiliser lors de son authentification.

3.       La conservation des gabarits en base doit être justifiée et assortie de garanties fortes

Lorsqu'il n'est pas possible de garantir la maîtrise du gabarit biométrique par la personne concernée, l'organisme souhaitant centraliser l'ensemble des gabarits biométriques dans une base de données devra démontrer par écrit et de manière etayée qu'il ne peut pas faire autrement.