La biométrie en banque sur smartphone est devenue un geste courant pour déverrouiller une application ou valider une opération. Ce confort soulève deux questions : où est conservée l’information qui permet de vous reconnaître, et qui est responsable de son traitement ? Cet article s’appuie sur les textes européens et sur la doctrine de la CNIL pour y répondre, sans décrire l’application d’un établissement en particulier, dont la notice de confidentialité reste la référence.
Pourquoi une banque utilise-t-elle la biométrie ?
La directive européenne sur les services de paiement (DSP2) a introduit l’authentification forte du client. Celle-ci combine au moins deux éléments appartenant à des catégories différentes : ce que l’on sait (code secret, mot de passe), ce que l’on possède (smartphone, carte) et ce que l’on est (empreinte, visage). Ce dernier élément est appelé facteur d’inhérence. Le règlement délégué (UE) 2018/389, applicable depuis le 14 septembre 2019, encadre ces exigences et impose notamment, pour les éléments d’inhérence, une faible probabilité d’authentification non autorisée.
La biométrie n’est donc qu’un des moyens de satisfaire cette règle, avec des alternatives comme un code secret combiné à la possession du téléphone. L’article consacré à l’authentification forte détaille ce mécanisme.
Qui traite votre empreinte ou votre visage ?
Le RGPD définit une donnée biométrique comme une donnée résultant d’un traitement technique spécifique, relative aux caractéristiques physiques, physiologiques ou comportementales d’une personne, et permettant ou confirmant son identification unique. Son article 9 interdit en principe le traitement de ces données, sauf exceptions comme le consentement explicite. La CNIL distingue plusieurs situations pour les smartphones des particuliers.
| Situation | Ce qui se passe | Cadre selon la CNIL |
|---|---|---|
| Biométrie native du téléphone | Le gabarit est stocké chiffré dans l’appareil, sans en sortir ; l’application reçoit seulement un résultat de réussite ou d’échec | Exemption domestique (article 2, paragraphe 2, c du RGPD) possible si l’usage est volontaire et le stockage chiffré |
| Gabarit envoyé à un serveur | Le gabarit biométrique est transmis à des serveurs contrôlés par un tiers (la banque ou un prestataire) | Le RGPD s’applique ; une analyse d’impact (AIPD) est attendue |
| Code secret ou mot de passe | Aucune donnée biométrique n’intervient | Droit commun des données personnelles |
La CNIL ajoute que les organismes qui décident de recourir à l’authentification biométrique, et en maîtrisent les moyens techniques, doivent respecter le RGPD, car le détournement de ces données a des conséquences irréversibles pour les personnes : un visage ou une empreinte ne se change pas comme un mot de passe. Elle demande aussi que les fournisseurs d’applications prévoient une méthode d’authentification de remplacement sans contrainte supplémentaire.
Quels sont les principes à retenir pour l’utilisateur ?
Pour les systèmes biométriques accessibles aux particuliers, la CNIL énonce trois principes : un besoin réel (par exemple authentifier l’accès à une application), un choix libre et informé avec la possibilité d’utiliser une autre méthode, et des données qui restent sous le contrôle de la personne, par exemple stockées sur un support dont elle a la maîtrise.
- Vérifier le mode de stockage : la notice de confidentialité de l’application indique si la biométrie est celle du téléphone ou un dispositif propre à la banque.
- Repérer l’alternative : code secret ou autre méthode d’authentification disponible dans les paramètres.
- Distinguer les usages : déverrouiller l’application, valider un paiement et ouvrir un compte à distance ne mobilisent pas les mêmes règles. Pour ce dernier cas, voir l’article sur la reconnaissance faciale en banque.
- Garder le téléphone protégé : la biométrie complète la protection du téléphone sans la remplacer ; les réflexes sont listés dans les réflexes de sécurité mobile.
Quelles sont les limites de la biométrie ?
Comme tout système de comparaison, un capteur peut refuser à tort la bonne personne (doigt abîmé ou humide, éclairage défavorable) ou en accepter une autre ; un code de remplacement répond à ce cas. Surtout, la biométrie protège l’accès à l’appareil et à l’application ; elle ne protège pas contre une manipulation par téléphone ou message. La Banque de France et Cybermalveillance.gouv.fr rappellent que les usurpations d’identité d’établissements financiers sont fréquentes et que les organismes légitimes ne demandent pas de mots de passe ou de données bancaires par message électronique.
La voix est un autre élément biométrique possible ; son usage est détaillé dans l’article sur l’authentification vocale. Le fonctionnement général d’un compte accessible sur mobile est décrit dans le guide sur le fonctionnement d’une banque en ligne.
À lire aussi
Questions fréquentes
La banque conserve-t-elle mon empreinte digitale ?
Cela dépend du dispositif. Pour la biométrie native du smartphone, la CNIL décrit un gabarit chiffré qui reste dans l’appareil, l’application recevant seulement une confirmation. Si un gabarit est envoyé à un serveur tiers, le RGPD s’applique ; la notice de confidentialité de la banque précise le dispositif retenu.
Puis-je refuser la biométrie dans l’application bancaire ?
La CNIL demande que l’utilisateur puisse choisir une autre méthode d’authentification sans contrainte supplémentaire et que le choix soit libre et informé. Les alternatives disponibles figurent dans les paramètres de l’application et dans la documentation de la banque.
La biométrie est-elle obligatoire pour l’authentification forte ?
Non. L’authentification forte exige au moins deux éléments de catégories différentes parmi connaissance, possession et inhérence. La biométrie correspond à l’inhérence, mais d’autres combinaisons existent, par exemple un code secret et un appareil enregistré.
Que dit le RGPD sur les données biométriques ?
Elles font partie des catégories particulières de données de l’article 9 : leur traitement est interdit par principe, sauf exceptions comme le consentement explicite. La définition figure à l’article 4 du règlement.
La biométrie protège-t-elle d’une escroquerie par téléphone ?
Non, elle protège l’accès à l’appareil et à l’application. Un faux conseiller qui obtient une validation ou un code peut quand même provoquer une opération. Les consignes officielles sont de ne communiquer aucun code et de recontacter la banque par un canal connu.
Sources
- CNIL — pages sur la biométrie dans les smartphones des particuliers et sur les principes applicables aux particuliers ; texte du RGPD (articles 4 et 9)
- Commission européenne (EUR-Lex) — règlement délégué (UE) 2018/389 sur l’authentification forte et les éléments d’inhérence
- Wikipédia — définition de l’authentification forte et de ses trois facteurs, contexte DSP2
- Banque de France et Cybermalveillance.gouv.fr — consignes face aux usurpations d’identité et à l’hameçonnage
- CNIL : mots de passe, recommandations pour maîtriser sa sécurité — recommandations sur les mots de passe et l’authentification
Article informatif ne constituant pas un conseil financier, juridique ou fiscal personnalisé. Les offres, frais et conditions évoluent : vérifiez les informations officielles et à jour de chaque établissement avant toute décision.