La Cnil ouvre timidement les portes à la biométrie vocale fidèle à ses habitudes de vouloir tout contrôler dans les moindres détails. Elle autorise l’expérimentation de dispositifs biométriques de reconnaissance vocale par des établissements bancaires.
9 établissements bancaires
Ce sont neuf établissements bancaires qui pourront mettre en œuvre, à titre expérimental et à leur demande, un dispositif d’authentification de clients par reconnaissance vocale notamment pour évaluer l’intérêt du public pour ces services. La reconnaissance vocale bénéficie d’une autorisation de test durant un an et auprès d’une population désignée.
L’objectif est de sécuriser les opérations à distance de gestion de comptes faites par les clients tout en leur offrant une solution d’authentification plus confortable que la saisie d’un mot de passe ou la réponse à des questions dites « de sécurité ».
Leurs clients pourront s’authentifier par leur voix, en prononçant une phrase de passe, pour accéder à leur compte bancaire, en ligne ou par téléphone. Les expérimentation visent à tester l’appétence des clients pour ce type de mécanisme, ainsi que la fiabilité de celui-ci. Du point de vue de la protection des données, la Cnil considère que ces expérimentations constituent des opportunités de tester le niveau global de risques en matière de sécurité et de confidentialité des données.
Stockage protégé de l’empreinte vocale
Ces projets satisfont les exigences de la CNIL en matière d’expérimentation, à savoir : la soumission au consentement préalable de la personne concernée ; une durée limitée ; un périmètre restreint ; des garanties en matière de confidentialité des données ; l’engagement de présenter un bilan à son issue.
La Cnil veut prévenir toutefois que les conditions dans lesquelles les expérimentations sont autorisées ne présage nullement de celles qui devraient être mises en œuvre en cas de pérennisation d’un tel dispositif.
Point clé pour la Cnil : elle préconise que le client conserve la maîtrise de son empreinte vocale. Cela suppose de stocker cette empreinte soit sur un support détenu par la seule personne concernée, soit dans une base de données sous une forme inexploitable par la banque ou un hacker car illisible sans la clé de déchiffrement détenue par la seule personne concernée.
Autre obstacle avant de passer à la généralisation, la Cnil rappelle que tout projet de cette nature devra préalablement faire l’objet d’une analyse d’impact relative à la protection des données, pour être en conformité avec le Règlement général relatif à la protection des données qui entre en vigueur en mai 2018.
