La biométrie : De quoi s’agit il ?

La biométrie s’appuie sur ce qui nous rend uniques : nos caractéristiques physiques et comportementales. Empreintes digitales, traits du visage, iris, ADN, voix ou même façon de marcher – autant d’éléments distinctifs qui peuvent être captés par des technologies spécialisées pour confirmer notre identité. Ces marqueurs peuvent être utilisés seuls ou combinés pour une identification encore plus précise.

Cette technologie s’utilise de deux manières principales. La première, l’authentification, fonctionne comme une simple vérification : elle compare vos données biométriques à celles que vous avez déjà enregistrées. C’est le principe utilisé, par exemple, lorsque vous passez le contrôle des passeports à l’aéroport.

La seconde approche, l’identification, est plus complexe. Elle cherche à reconnaître une personne en comparant ses caractéristiques biométriques à une large base de données. C’est notamment ce qui permet à la reconnaissance faciale de repérer des individus spécifiques dans une foule.

La biométrie : une technologie au cœur de notre quotidien

La biométrie révolutionne notre façon de nous identifier et d’accéder aux services. Du simple déverrouillage de nos smartphones à la sécurisation des transactions bancaires, en passant par l’accès à des zones sécurisées, cette technologie s’impose comme un outil efficace contre la fraude et l’usurpation d’identité grâce à sa fiabilité et sa rapidité.

Cette évolution s’inscrit dans une dynamique internationale, notamment portée par l’Objectif 16.9 des Objectifs de Développement Durable (ODD) des Nations Unies, qui vise à garantir à chaque individu une identité légale unique et sécurisée. Ces technologies sont considérées comme des outils stratégiques pour promouvoir la « bonne gouvernance ». Elles permettent non seulement de moderniser les administrations publiques, mais aussi de renforcer l’inclusion sociale.

L’Inde illustre parfaitement ce potentiel avec son programme Aadhaar. En combinant reconnaissance faciale, empreintes digitales et scan de l’iris, le pays a créé un système d’identification unique qui simplifie considérablement l’accès des citoyens aux services sociaux et médicaux. Cette approche inspire désormais de nombreux pays qui développent leurs propres cartes d’identité biométriques.

La gestion des frontières représente un autre domaine d’application majeur. Les aéroports se dotent massivement de scanners d’empreintes digitales et de caméras de reconnaissance faciale, tandis que les passeports biométriques deviennent la norme. Si ces dispositifs promettent de fluidifier les contrôles, ils s’inscrivent également dans une stratégie plus large de surveillance des frontières, particulièrement dans un contexte de lutte contre le terrorisme et de politiques migratoires restrictives.

Les zones d’ombre de la biométrie : entre vulnérabilités et dérives

La biométrie, malgré ses promesses, présente des risques uniques et préoccupants. Contrairement à un mot de passe compromis que l’on peut simplement changer, nos caractéristiques biologiques sont permanentes : impossible de modifier ses empreintes digitales ou son visage en cas de vol de données. Cette vulnérabilité est d’autant plus inquiétante que ces informations, une fois dérobées, peuvent être exploitées indéfiniment et détournées de leur usage initial.

Si la technologie s’améliore constamment, elle n’est pas infaillible. Les systèmes biométriques peuvent se tromper [2], soit en accordant l’accès à des personnes non autorisées (faux positifs), soit en rejetant des utilisateurs légitimes (faux négatifs). Plus problématique encore, certains dispositifs de reconnaissance faciale montrent des biais discriminatoires, notamment envers les personnes de couleur [3], pouvant mener à des erreurs judiciaires graves.

L’utilisation croissante de la biométrie dans les programmes nationaux d’identification suscite de sérieuses préoccupations [4][5]. Sous couvert de modernisation et de sécurité, ces technologies deviennent de puissants outils de surveillance [6] de masse.

Dans des contextes où les garde-fous juridiques et techniques sont insuffisants, ces technologies peuvent rapidement se transformer en instruments de contrôle social, créant un climat de peur et d’autocensure. Par exemple, la reconnaissance faciale dans les espaces publics peut être utilisée pour indentifier les participants pendant des manifestations, donnant lieu à des arrestations arbitraires et des poursuites injustifiées. Une telle surveillance ciblée menace directement les libertés fondamentales, notamment la liberté d’expression et le droit de manifester pacifiquement. En Russie [7], des rapports indiquent que des technologies de reconnaissance faciale ont été utilisées pour identifier et intercepter des individus participant à des manifestations anti-guerre, en s’appuyant sur des listes de personnes « recherchées ».

Par ailleurs, ces technologies peuvent être détournées pour cibler des individus en fonction de leurs convictions politiques, religieuses ou de leur appartenance ethnique. En Inde [8], par exemple, la reconnaissance faciale aurait été utilisée pour persécuter des musulmans et d’autres communautés marginalisées.

Ces dérives soulignent des enjeux majeurs pour la protection des droits humains et mettent en lumière les risques d’injustice et de discrimination au sein de nos sociétés contemporaines. Elles appellent à une réflexion urgente sur l’équilibre entre sécurité, libertés individuelles et équité.

Vers une gestion responsable des données biométriques : protections techniques et juridiques

Dès lors qu’une décision est prise d’utiliser les données biométriques, il est impératif d’établir des garanties [9] robustes à chaque étape du processus, de la collecte à la conservation. Cela implique de placer le droit à la vie privée des individus au centre des préoccupations et de mettre en œuvre des mesures spécifiques pour assurer une protection adéquate. 

Tout d’abord, il est crucial de limiter strictement les données collectées au minimum nécessaire afin de réduire les risques d’exposition. Cette approche doit s’accompagner de contrôles d’accès rigoureux, intégrant une authentification renforcée et une séparation stricte des tâches pour prévenir toute utilisation non autorisée des données. Le cryptage joue également un rôle fondamental en transformant les données biométriques en codes numériques complexes. Par exemple, au lieu de conserver des images brutes d’empreintes digitales, seuls des modèles numériques dérivés sont stockés. 

De plus, le choix du mode de stockage des données est crucial dans le contexte de la biométrie. Si l’on opte pour des systèmes centralisés de gestion de données massives, il est impératif que ceux-ci soient strictement encadrés par des lois afin de prévenir tout détournement à des fins inappropriées, que ce soit par des acteurs publics ou privés.

Face aux risques associés à la conservation massive de données, les critiques [10] des bases de données biométriques soutiennent qu’il n’est pas nécessaire d’utiliser de telles infrastructures pour répondre aux besoins d’identification. Ils plaident plutôt en faveur d’un stockage décentralisé, comme celui proposé sur des cartes à puce détenues par les utilisateurs. Cette approche permet à chacun d’exercer un meilleur contrôle sur ses informations personnelles.

Cette option s’accompagne souvent de systèmes de reconnaissance biométrique basés sur une méthode de comparaison un-à-un. En confrontant directement l’identité d’une personne à une image de référence, ces systèmes améliorent la précision tout en réduisant les risques d’erreurs d’identification et de faux positifs. Ainsi, le stockage décentralisé ne se contente pas d’offrir des avantages significatifs en matière de sécurité ; il est également perçu comme une solution respectueuse de la vie privée.

Sur le plan juridique [11], les données biométriques sont généralement soumises à des exigences supplémentaires. Parmi les réglementations les plus avancées en matière de protection des données biométriques, le Règlement général sur la protection des données (RGPD) de l’Union européenne se distingue. Selon ce règlement, les données biométriques sont classées comme une « catégorie spéciale », ce qui impose des garanties renforcées : consentement explicite obligatoire, évaluation préalable des risques et mesures de sécurité strictes. La future législation européenne sur l’intelligence artificielle viendra compléter ce dispositif en encadrant strictement l’utilisation de la biométrie pour l’identification en temps réel.

La Tunisie à l’heure de l’identité biométrique : entre modernisation et défis

À l’instar de nombreux pays africains qui modernisent leurs systèmes d’identification, la Tunisie s’engage dans l’ère biométrique. Après plusieurs années de débats et de révisions, l’Assemblée des Représentants du Peuple a finalement adopté en mars 2024 les projets de carte d’identité [12] et de passeport biométriques [13]. Ces nouveaux documents, dont l’usage deviendra progressivement obligatoire, visent à renforcer la sécurité de l’identification et à lutter contre la fraude documentaire.

Cette modernisation répond à un impératif international : aligner les documents d’identité tunisiens sur les standards mondiaux. Toutefois, le projet soulève des interrogations [14], particulièrement concernant la protection des données biométriques, dont les modalités de stockage restent floues dans la législation actuelle. Au cœur de ces préoccupations se trouve la création d’une base de données centralisée par le ministère de l’Intérieur [15], destiné à héberger les informations biométriques de plus de huit millions de Tunisiens. Si l’accès à ces données sensibles sera strictement réservé aux forces de l’ordre autorisées, les modalités précises de stockage et de protection restent à clarifier.

Face à ces enjeux, la loi de 2004 sur la protection des données personnelles [16] ne prévoit pas de dispositions spécifiques pour les données biométriques et ne répond plus aux exigences internationales, notamment celles de la Convention 108 ratifiée par la Tunisie en 2017. Une refonte législative apparaît donc indispensable pour assurer une protection adéquate de ces données sensibles.

Conclusion

La biométrie ouvre des perspectives prometteuses pour moderniser l’identification et renforcer la sécurité en Tunisie. Toutefois, ce virage technologique exige une approche équilibrée entre innovation et respect des droits fondamentaux de ses citoyens. La réussite de cette transition repose sur trois piliers essentiels : un cadre juridique robuste adapté aux spécificités des données biométriques, des mécanismes de contrôle indépendants et transparents, et un dialogue constructif avec la société civile.

—

References

[1] « Biometrics – Global Market Trajectory & Analytics 2020 » publié par le cabinet de recherche américain Global Industry Analysts https://aranasecurity.com/2022/08/16/why-biometrics-is-growing-in-developing-countries/
[2] “The Impact of Biometric Recognition Failures on Security | HackerNoon.” https://hackernoon.com/the-impact-of-biometric-recognition-failures-on-security
[3] Harwell, Drew. 2019. “Federal Study Confirms Racial Bias of Many Facial-Recognition Systems, Casts Doubt on Their Expanding Use.” https://www.washingtonpost.com/technology/2019/12/19/federal-study-confirms-racial-bias-many-facial-recognition-systems-casts-doubt-their-expanding-use/.
[4] Amnesty International. 2021. “Amnesty International et plus de 170 Organisations Demandent l’interdiction de La Surveillance Biométrique.” https://www.amnesty.org/fr/latest/press-release/2021/06/amnesty-international-and-more-than-170-organisations-call-for-a-ban-on-biometric-surveillance/.
[5] Electronic Frontier Foundation, EFF. “Mandatory National IDs and Biometric Databases.” https://www.eff.org/issues/national-ids.
[6] Robert Gellman. Privacy and Biometric ID Systems:An Approach Using Fair Information Practices for Developing Countries. https://www.cgdev.org/sites/default/files/privacy-and-biometric-ID-systems_0.pdf.
[7] “How Facial Recognition Is Helping Putin Curb Dissent.” 2024. Reuters. https://www.reuters.com/investigates/special-report/ukraine-crisis-russia-detentions/.
[8] Santoshini, Sarita. 2022. “Indian Police Use Facial Recognition to Persecute Muslims and Other Marginalized Communities.” Coda Story. https://www.codastory.com/authoritarian-tech/india-police-facial-recognition/
[9] Robert Gellman. Privacy and Biometric ID Systems:An Approach Using Fair Information Practices for Developing Countries. https://www.cgdev.org/sites/default/files/privacy-and-biometric-ID-systems_0.pdf.
[10] Amnesty International. 2021. “Amnesty International et plus de 170 Organisations Demandent l’interdiction de La Surveillance Biométrique.” https://www.amnesty.org/fr/latest/press-release/2021/06/amnesty-international-and-more-than-170-organisations-call-for-a-ban-on-biometric-surveillance/.
[11] Marc-Philippe DAUBRESSE, BELENET Arnaud, and Jérôme DURAIN. 2022. La Reconnaissance Biométrique Dans l’espace Public : 30 Propositions Pour Écarter Le Risque d’une Société de Surveillance. https://www.senat.fr/rap/r21-627/r21-6277.html.
[12] “Loi organique n° 2024-22 du 11 mars 2024, modifiant et complétant la loi n° 93-27 du 22 mars 1993 relative à la carte nationale d’identité.” Tunisie – Legal Databases. https://legislation-securite.tn/latest-laws/loi-organique-n-2024-22-du-11-mars-2024-modifiant-et-completant-la-loi-n-93-27-du-22-mars-1993-relative-a-la-carte-nationale-didentite/
[13] “Loi organique n° 2024-23 du 11 mars 2024, modifiant et complétant la loi n° 75-40 du 14 mai 1975, relative aux passeports et aux documents de voyage.” Tunisie – Legal Databases. https://legislation-securite.tn/latest-laws/loi-organique-n-2024-23-du-11-mars-2024-modifiant-et-completant-la-loi-n-7540-du-14-mai-1975-relative-aux-passeports-et-aux-documents-de-voyage/
[14] Kadhi, Kassem Mnejja, Marwa Fatafta, Chérif El. 2022. “Biometric ID in Tunisia: A Threat to Privacy and Data Protection.” Access Now. https://www.accessnow.org/biometric-id-tunisia/
[15] amutangana. 2024. “Tunisia Officially Adopts Biometric Passports and ID Cards.” Resilient Digital Africa. https://resilient.digital-africa.co/en/blog/2024/03/27/tunisia-officially-adopts-biometric-passports-and-id-cards/
[16] “Loi organique n° 2004-63 du 27 juillet 2004, portant sur la protection des données à caractère personnel.” Tunisie – Legal Databases. https://legislation-securite.tn/latest-laws/loi-organique-n-2004-63-du-27-juillet-2004-portant-sur-la-protection-des-donnees-a-caractere-personnel/

C’est quoi les données personnelles ?

Les données à caractère personnel désignent toutes les informations permettant d’identifier un individu, que ce soit de manière directe ou indirecte. L’identification directe repose sur des éléments explicites et univoques : nom, prénom, numéro de sécurité sociale, photographie ou numéro de téléphone. Ces marqueurs constituent une empreinte immédiate et indiscutable de l’identité d’une personne.

L’identification indirecte procède différemment : elle s’appuie sur le recoupement d’informations qui, prises isolément, semblent anodines mais qui, une fois combinées, permettent de révéler l’identité d’un individu. Cette catégorie s’étend aux données sensibles telles que les informations médicales, les empreintes biométriques, les coordonnées bancaires, ainsi que les convictions politiques et religieuses.

À l’ère du numérique, la notion de donnée personnelle s’est considérablement élargie. Les techniques modernes de traitement de l’information – profilage, tracking, surveillance – permettent désormais d’identifier un individu sans recourir aux identifiants traditionnels comme le nom ou l’adresse. L’essor de l’intelligence artificielle et l’interconnexion croissante des bases de données ont créé de nouvelles possibilités d’identification, transformant des informations apparemment anonymes en véritables marqueurs d’identité.

Pourquoi la protection des données personnelles est nécessaire ?

La révolution numérique a transformé chacun de nos gestes quotidiens en source de données. Qu’il s’agisse d’un achat en ligne, d’une consultation médicale, de la signature d’un contrat ou d’une simple démarche administrative, nos informations personnelles sont constamment partagées. Plus encore, nos activités numériques – navigation web, géolocalisation, utilisation d’appareils connectés, interactions sur les réseaux sociaux – génèrent un flux continu de données, souvent à notre insu.

L’ampleur de cette collecte de données atteint des proportions vertigineuses. Les deux dernières années ont vu la création de 90 % des données mondiales existantes. En 2024, le volume global de données s’élève à environ 149 zettaoctets (soit 149 x 10²¹ octets), avec des projections atteignant 394 zettaoctets d’ici 2028 [1]. Cette explosion numérique érode progressivement notre capacité à contrôler la circulation et l’utilisation de nos informations personnelles.

Ces données, exploitées par les entreprises, les acteurs technologiques et les institutions gouvernementales poursuit des objectifs multiples : stimuler l’innovation, perfectionner les services, affiner le marketing et approfondir les études de marché. Cependant, les récents scandales révèlent les zones d’ombre de cette collecte massive.

Au-delà des risques immédiats de fraude et de vol d’identité, la marchandisation croissante des données personnelles transforme notre vie privée en simple commodité commerciale. Des informations profondément intimes – nos habitudes quotidiennes, nos données de santé, nos préférences les plus personnelles – deviennent des actifs commerciaux sans véritable contrôle de leurs propriétaires légitimes. Cette marchandisation érode progressivement notre capacité à maintenir des espaces privés.

Le profilage numérique illustre parfaitement cette dérive inquiétante. Les organisations, tant publiques que privées, constituent des bases de données toujours plus sophistiquées, dressant un portrait minutieux de chaque individu : de ses caractéristiques physiques à ses états émotionnels, en passant par ses comportements quotidiens. Cette cartographie détaillée de nos existences, souvent réalisée dans l’ombre, soulève des questions éthiques fondamentales.

Les algorithmes d’analyse introduisent des biais systémiques dans le traitement de ces données. Des caractéristiques personnelles peuvent ainsi se transformer en critères de discrimination automatisée, légitimant une surveillance renforcée ou un traitement discriminatoire. Ces mécanismes, loin de l’objectivité promise, amplifient les préjugés existants et creusent les inégalités sociales, engendrant de nouvelles formes d’exclusion numérique.

L’évolution la plus préoccupante se manifeste dans l’émergence des systèmes de notation sociale sophistiqués, déjà actifs dans certains pays. Ces dispositifs établissent une hiérarchie sociale basée sur l’analyse algorithmique des comportements, des relations sociales et des opinions. Plus grave encore, ces scores numériques peuvent déterminer l’accès aux services essentiels comme l’emploi, l’éducation ou la santé. Cette forme de contrôle algorithmique représente une menace directe pour nos libertés fondamentales, instaurant une société de surveillance qui ébranle les fondements mêmes de nos démocraties.

La protection des données personnelles apparaît donc comme un enjeu crucial pour préserver non seulement notre vie privée et notre sécurité dans l’espace numérique, mais aussi nos libertés individuelles et collectives. Elle constitue un rempart essentiel contre l’émergence d’une société de surveillance généralisée où la transparence imposée aux citoyens contrasterait dangereusement avec l’opacité des systèmes qui les surveillent.

Vers une gestion éthique des données personnelles

La protection des données englobe l’ensemble des mesures et garanties légales et réglementaires conçues pour encadrer l’utilisation des informations personnelles. Son objectif est de réduire les pratiques préjudiciables et de prévenir les abus potentiels.

Si aucune norme universelle n’existe à ce jour, plusieurs cadres de référence internationaux font autorité. La Convention 108 du Conseil de l’Europe et les Lignes directrices de l’OCDE établissent ainsi des principes fondamentaux pour concilier le traitement automatisé des données avec le respect des droits et libertés individuels.

Le Règlement Général sur la Protection des Données (RGPD), adopté par l’Union européenne en 2018, incarne l’une des approches les plus ambitieuses en la matière. Ce texte impose des obligations rigoureuses pour la collecte, le traitement et la conservation des données personnelles des résidents européens, avec une portée extraterritoriale qui en fait une référence mondiale.

Cette protection garantit plusieurs principes fondamentaux.

L’efficacité de ces dispositifs repose sur leur application effective. Toute organisation, publique ou privée, manipulant des données personnelles doit se conformer scrupuleusement au cadre légal en vigueur. Cette conformité s’appuie sur l’existence d’une autorité de contrôle indépendante [2], dotée de prérogatives étendues. Affranchie de toute tutelle exécutive, cette instance doit disposer des moyens nécessaires pour mener des investigations approfondies, prendre des décisions contraignantes et imposer des sanctions dissuasives, incluant des pénalités financières significatives.

L’indépendance de l’autorité de contrôle, conjuguée à des ressources suffisantes et des mécanismes d’application robustes, constitue la clé de voûte d’une protection efficace des données personnelles. Sans ces garanties essentielles, le cadre juridique risque de demeurer lettre morte, exposant les citoyens à des atteintes à leur vie privée et érodant la confiance du public dans le système de protection des données personnelles.

La protection des données personnelles en Tunisie : Entre avancées symboliques et défis structurels

La Tunisie a fait figure de pionnière en matière de protection des données personnelles dans les régions arabe et africaine avec sa loi organique de 2004 [3]. Toutefois, ce texte, adopté sous l’ancien régime, avait pour objectif principal de séduire la communauté internationale, notamment à l’approche du Sommet Mondial sur la Société de l’Information de 2005, plutôt que de garantir une véritable protection aux citoyens.

Bien que cette législation intègre des principes fondamentaux de protection des données, son cadre juridique demeure incomplet et n’a subi aucune révision depuis son adoption. Elle présente plusieurs lacunes majeures. D’une part, les employeurs (article 16) et les organismes publics (articles 53 et 54) bénéficient d’exemptions considérables: ils peuvent collecter et traiter des données, y compris des informations sensibles telles que celles liées à la santé ou aux infractions pénales, sans nécessiter d’autorisation ni de déclaration préalable. D’autre part, le droit des citoyens d’accéder à leurs propres données (article 56) est restreint face aux autorités publiques. 

Malgré ces lacunes, des évolutions positives sont à souligner. En 2017, la Tunisie a adhéré à la Convention n° 108 [4] du Conseil de l’Europe sur la protection des données personnelles et son Protocole additionnel n° 181, par le biais de la loi organique n° 2017-42 du 30 mai 2017. Deux ans plus tard, en 2019, le pays a également signé le protocole modernisant cette convention. Toutefois, la ratification de ce dernier texte reste conditionnée à une réforme en profondeur ou au remplacement de la loi de 2004.

Dans cette optique, un projet de loi organique actualisé [5], intégrant les avancées technologiques et les normes internationales, a été soumis au Parlement en mars 2018. En attendant cette réforme, la législation s’est progressivement renforcée grâce à son intégration dans plus de 17 lois organiques et ordinaires, ainsi que dans 16 décrets et arrêtés couvrant divers secteurs [6]. Cinq délibérations réglementaires ont également été adoptées sur des sujets tels que la vidéoprotection, les données de santé et les transferts internationaux.

L’Instance Nationale de Protection des Données Personnelles (INPDP) [7], créée en 2008, est la première autorité de contrôle dédiée à la protection des données personnelles dans le monde arabe et en Afrique. Elle veille au respect de la législation à travers plusieurs missions : autorisation des traitements de données, enquêtes, examen des plaintes et pouvoir de sanction pouvant aller jusqu’à l’interdiction d’un traitement. Depuis 2015, son activité s’est intensifiée, marquée notamment par le lancement de contrôles de conformité en 2019.

Cependant, l’INPD face à des défis structurels [8] majeurs qui limitent son efficacité. Bien que son indépendance soit affirmée en théorie, la nomination de ses membres par décret et son rattachement au ministère de la Justice soulèvent des interrogations quant à son autonomie réelle face aux pouvoirs publics. À cette dépendance institutionnelle s’ajoute un manque criant de ressources humaines qui restreint sa capacité à remplir pleinement ses missions.

Ainsi, malgré des progrès symboliques et des engagements internationaux, la Tunisie peine encore à établir un cadre juridique robuste et pleinement opérationnel pour protéger les données personnelles de ses citoyens.

—

References

[1] “Data Growth Worldwide 2010-2028.” Statista.https://www.statista.com/statistics/871513/worldwide-data-created/
[2] Privacy International. 2018. The Keys to Data Protection. Privacy International. Guide. https://privacyinternational.org/sites/default/files/2018-09/Data%20Protection%20COMPLETE.pdf.
[3] “Loi organique n° 2004-63 du 27 juillet 2004, portant sur la protection des données à caractère personnel.” Tunisie – Legal Databases. https://legislation-securite.tn/latest-laws/loi-organique-n-2004-63-du-27-juillet-2004-portant-sur-la-protection-des-donnees-a-caractere-personnel/
[4] “Liste complète – Bureau des Traités – www.coe.int.” Bureau des Traités. https://www.coe.int/fr/web/conventions/full-list
[5] “Projet de loi organique n° 25/2018 relatif à la protection des données à caractère personnel.” Tunisie – Legal Databases. https://legislation-securite.tn/latest-laws/projet-de-loi-organique-n-25-2018-relatif-a-la-protection-des-donnees-a-caractere-personnel/ (December 15, 2024).
[6] INPDP. “Recueil de La Protection Des Données Personnelles.” https://inpdp.tn/Receuil_INPDP.pdf.
[7] https://www.ncbi.nlm.nih.gov/books/NBK551878/
[8] INPDP. 2021. Livre Balanc Sur La Protection Des Données Personnelles. INPDP. https://www.inpdp.tn/livre_blanc.pdf.