Version classiqueVersion mobile
OpenEdition Books

L’identification biométrique

 | 
Ayse Ceyhan
, 
Pierre Piazza

II. Économie, normalisation et évaluation des dispositifs biométriques

Chapitre 6

Les normes biométriques : réflexions sur le processus d’élaboration d’un corpus technique de portée internationale

Nicolas Delvaux

Texte intégral

  • 1 Portable Document Format.
  • 2 Norme ISO 32000-1: 2008.
  • 3 Cf. notamment le texte de Sylvia Preuss-Laussinotte dans cet ouvrage.
  • 4 Global System of Mobile communications.

1À partir d’un certain stade de développement, n’importe quelle activité humaine revêt une organisation minimum qui suppose une codification plus ou moins contraignante. Cette codification peut être volontairement déterminée et partagée par les acteurs impliqués dans une activité particulière, fixée et imposée par une autorité extérieure à ces acteurs ou encore faire l’objet d’une acceptation unanime ou du plus grand nombre. De nos jours, le vocable de « standard » est généralement employé pour caractériser une technique qui, de facto, voit son utilisation se généraliser. Ainsi, progressivement plébiscité dans la pratique, le format PDF1 est devenu un standard avant d’être érigé au rang de « norme » en 20082. En effet, le format PDF a été divulgué par la société de logiciel Adobe. Le format est devenu un standard compte tenu de son utilisation. Ensuite, par une démarche volontaire, la société Adobe a transformé ce standard en norme. Quant au terme de « norme », il est actuellement le plus souvent utilisé pour caractériser l’élaboration, par la communauté des utilisateurs, d’un corpus technique cohérent et consensuel3. La norme est établie de jure par un consensus technique des acteurs (ISO/IEC 2004). À titre d’illustration, on peut évoquer le GSM4 en matière de téléphonie mobile. Ayant fait l’objet en 1982 d’une première démarche de normalisation (alors sous l’appellation « Groupe Spécial Mobile ») par la Conférence des administrations européennes des postes et télécommunications, il est devenu norme internationale neuf ans plus tard.

2Dans nos sociétés, l’autorité publique dispose de la capacité d’imposer des solutions techniques. Toutefois, afin de rendre l’innovation toujours possible, les États évitent généralement de prescrire des solutions techniques qui seraient trop contraignantes pour l’avenir, sauf lorsque certaines circonstances particulières l’exigent. Dans ce cas, l’instrument de la norme est le plus souvent privilégié. La nécessité d’améliorer les procédures d’identification des voyageurs a constitué un des principaux impératifs récemment mis en avant par les États en vue d’imposer des normes biométriques qui, à défaut d’exister, devaient être adoptées au plus vite de manière consensuelle. Au cœur de cette aventure, on retrouve tous les ingrédients d’un véritable jeu de pouvoir.

Brève genèse de l’essor mondial des normes biométriques en matière d’empreintes digitales

3La biométrie en tant que science et technique d’identification des personnes a commencé à se développer à la fin du xixe siècle pour répondre à des exigences policières : les forces de l’ordre étaient désireuses de recourir plus systématiquement aux diverses traces disponibles (en particulier dactyloscopiques) sur les scènes de crime pour améliorer l’efficacité de leurs enquêtes.

  • 5 Federal Bureau of Investigation.

4La révolution numérique a ensuite rapidement permis de traiter automatiquement, dans des laps de temps courts, des volumes considérables de fiches d’identification autrefois exploitées manuellement ou au moyen de systèmes mécaniques (Didier 2004 ; Ceyhan 2005). Les États-Unis ont été les premiers confrontés à un besoin d’organisation et d’harmonisation de la biométrie qui s’est traduit par la création de normes. En effet, les services policiers américains localisés dans les comtés se devaient d’échanger (avec la police fédérale, le FBI5) en matière de recherche d’identification des individus. Ces échanges concernaient surtout les empreintes digitales. À savoir, soit des images d’empreintes révélées sur des scènes de crime ou de délit qui ne correspondaient localement à aucun individu, soit des empreintes d’un individu interpellé par le shérif ou ses services directement transmises au FBI.

  • 6 Image Quality Specifications : certification des scanners à plat d’empreintes digitales.
  • 7 MITRE, laboratoire américain de recherche technologique, cf. http://www.mitre.org (consulté le 7 av (...)
  • 8 National Institute for Standards and Technology.
  • 9 American National Standardisation Institute. L’ANSI est aux États-Unis ce que l’Afnor (Agence franç (...)

5Dans la première moitié des années 1990, le FBI a déterminé et imposé les caractéristiques de capture des empreintes digitales qu’il pouvait incorporer et traiter dans la base dactyloscopique nationale dont il assure la gestion (Didier 2004). Il l’a fait en établissant la norme IQS6. Définie sous la responsabilité du Department of Justice (ministère fédéral de la Justice), cette norme est actuellement en vigueur aux États-Unis pour ce qui concerne le relevé et la capture des empreintes digitales. L’obtention de la certification de conformité à cette norme est délivrée par le FBI selon les procédures définies par le laboratoire américain MITRE7. Quant à la norme de description et d’échanges des empreintes digitales entre les polices locales et la police fédérale, elle a été confiée au NIST8. C’est cet organisme, rattaché au Department of Trade (ministère du Commerce), qui a mis sur pied un groupe de travail en vue d’établir une telle norme, laquelle a été publiée en collaboration avec l’ANSI9 Cette norme ANSI/NIST ITL fait périodiquement l’objet de révisions organisées par divers groupes de travail au sein du NIST auxquels participent différents acteurs en provenance des États-Unis, d’Europe et du Japon. À cette fin, le NIST organise différents workshops [ateliers] durant lesquels sont discutées les évolutions des normes. La participation est libre.

  • 10 Common Biometric Exchange Formats Framework.
  • 11 International Biometric Industry Association.
  • 12 Biometric Application Programming Interface.

6Toujours aux États-Unis, les industries travaillant dans le domaine de la biométrie ont constitué des associations professionnelles vers la fin des années 1990. Les deux principales ont chacune défini des spécifications techniques qui, à défaut de constituer des normes, ont pour vocation d’être des standards. Le premier standard est le CBEFF10, promu par l’association IBIA11, association des industriels de la biométrie établie aux États-Unis. Le second est le BioAPI12 promu par le BioAPI Consortium. Ces deux standards concernent les interfaces informatiques qui échangent des données biométriques.

  • 13 American Association of Motor Vehicle Administrators.
  • 14 AAMVA DL/ID-2000 National Standard for the Drivers License/Identification Card.
  • 15 Toutefois le Real ID Act, adopté en 2005, a fixé des normes de sécurité et d’authentification en in (...)

7Enfin, aux États-Unis, une association de promotion de la sécurité routière (AAMVA13) a encouragé, avec un succès très limité, l’adoption de l’empreinte digitale sur les permis de conduire délivré par les États fédérés américains afin de « sécuriser » le contrôle des porteurs de ce document. En effet, de fait, les permis de conduire sont acceptés dans la plupart des États américains comme pièce d’identité. L’AAMVA a publié sa spécification technique14 qui peine à s’imposer comme standard. En effet, la spécification technique des permis de conduire est à la discrétion de chaque État américain15.

  • 16 Cf. le texte de Sylvia Preuss-Laussinotte dans cet ouvrage.

8Au début des années 2000, les deux normes biométriques en matière d’empreintes digitales relatives aux activités d’investigations policières définies aux États-Unis par le FBI et le NIST se sont diffusées à l’échelle mondiale. Cette diffusion répond à l’archétype de la diffusion des standards : une spécification de bonne qualité, des applications éprouvées à l’échelle des États-Unis, une disponibilité gratuite, des exigences techniques supportées par les fournisseurs de solution biométriques. Il convient de rappeler qu’Interpol les a consacrées en les adoptant comme normes pour la collaboration entre les services de police des pays appartenant à l’organisation16.

La création du Comité international de normalisation de la biométrie : le SC37

  • 17 Organisation de l’aviation civile internationale. L’OACI est une organisation de l’ONU en charge de (...)

9Au début des années 2000, l’OACI17 a recommandé l’introduction dans le document de voyage d’une puce électronique contenant des éléments biométriques dans le but de lutter contre la contrefaçon et la substitution de la photographie d’identité. Compte tenu des nouvelles recommandations, les seules normes biométriques disponibles auxquelles l’organisation pouvait faire référence étaient celles qui étaient développées par le FBI et le NIST. De plus, les spécifications techniques développées par l’IBIA et le BioAPI Consortium ne constituaient pas des normes. Par conséquent, l’OACI a eu besoin de normes internationales développées dans un cadre international idoine offrant à tous ses membres une représentativité et une contribution équitables.

  • 18 International Standardisation Organisation.
  • 19 International Electrotechnical Commission. Il existe trois institutions internationales en charge d (...)
  • 20 American National Standardisation Institute.
  • 21 Deutsches Institut für Normung.
  • 22 British Standards Institute.

10C’est donc tout naturellement que l’OACI s’est tournée vers un comité ISO18/IEC19. En effet, un tel comité revêt toutes les caractéristiques nécessaires afin de produire et publier des normes internationales pouvant être référencées par l’OACI pour les documents de voyage. Les statuts des comités ISO/IEC prévoient une égale représentativité des pays sans que soit accordée aucune voix prépondérante à l’un d’entre eux dans la prise de décision. À travers son unique organisme adhérent à l’ISO (ANSI20 pour les États-Unis, Afnor pour la France, DIN21 pour l’Allemagne, BSI22 pour la Grande-Bretagne, etc.), chaque État délègue une équipe qui participe aux discussions techniques sur la base de contributions écrites.

  • 23 Le numéro 37 était le numéro de séquence disponible dans la création du comité.

11Un premier débat fut consacré au thème du maintien de la normalisation biométrique internationale au sein de la sphère de compétence de la carte à puce. En effet, l’OACI avait choisi d’introduire un support carte à puce sans contact dans les documents de voyage afin que la lecture du document de voyage aux postes d’inspection frontaliers soit rapide. Il fut alors décidé, lors de la réunion internationale ISO/IEC (qui s’est tenue à Orlando en décembre 2002), de créer au sein de l’ISO un sous-comité spécifique à la biométrie distinct des comités en charge des cartes à puce, des aspects sécuritaires ou des aspects télétransmissions. Ce sous-comité référencé par le numéro 37 ou encore le SC37 (SC37, ISO/IEC Sub-Committee 37)23.

12Comme évoqué précédemment, les mécanismes décisionnels que doivent respecter les délégations au sein des comités ISO/IEC sont encadrés par des règles strictes afin de permettre une représentativité équitable entre les pays, quelle que soit la taille de leur délégation (ISO Directives, ISO Supplement 2009). Ces mécanismes décisionnels précis encadrent les discussions techniques de tout ordre. La délégation d’un pays se doit donc de maîtriser l’ensemble des compétences techniques et des mécanismes normatifs sous peine de se faire rappeler à l’ordre par un expert technique d’une autre délégation ou par le secrétariat technique du comité ISO/IEC, originaire de l’ANSI dans le cas du SC37. De plus, au fil des réunions internationales, des usages complémentaires à la réglementation sont apparus et ont abouti à l’avènement d’une forme de jurisprudence propre à ce comité.

  • 24 National Physical Laboratory en Grande-Bretagne.

13Les tailles des délégations sont très variables et beaucoup de pays ne sont pas représentés. En effet, la plupart des équipes déléguées ne bénéficient d’aucun support financier. Cet aspect financier a une influence décisive sur le fonctionnement de ces comités internationaux qui, pour élaborer une norme, mettent souvent plusieurs années au rythme de deux ou trois réunions annuelles aux quatre coins de la planète. Seules les grandes entreprises qui investissent la biométrie, les institutions d’une certaine envergure (NIST, Fraunhofer Institute, NPL24, etc.) et les gouvernements significativement impliqués mobilisent des délégués au sein de leur représentation au SC37.

14Sans surprise, la délégation américaine (constamment composée au moins d’une vingtaine de personnes) a toujours été la plus nombreuse. En plus des représentants de différents ministères fédéraux, la plupart des industries américaines productrices de biométrie (L1-Identity, CrossMatch, Authentec) ont investi dans le suivi du SC37 afin d’y promouvoir leur savoir-faire dans la construction des normes biométriques. Les délégations anglaise, allemande, japonaise, sud-coréenne et sud-africaine affichaient une taille respectable, permettant de couvrir peu ou prou l’ensemble des compétences couvertes au sein du SC37. Beaucoup d’autres pays disposent d’une délégation dont la représentativité est réduite à une seule personne : c’est le cas de la France, de l’Italie, de la Suède, de l’Australie, de Singapour, pour ne parler que des délégations les plus assidues depuis la fondation du SC37.

15La taille des délégations pose des problèmes non négligeables dans le mécanisme décisionnel. En effet, le détail des discussions techniques débouche sur des arbitrages. Au sein du SC37, l’usage a été instauré de procéder aux choix sur la base de la majorité des votes des délégations présentes en réunion. Réduites à une personne et ne disposant pas toujours des compétences nécessaires dans tous les domaines, certaines délégations ont été enclines à adosser leurs votes sur celui d’autres pays en prenant en considération des critères tels que la sympathie pour ce pays ou son délégué ou encore l’actualité (par exemple les « rebondissements » précédents la deuxième guerre en Irak). Dans ces conditions, l’assiduité, la compétence, la convivialité et la notoriété des délégués apparaissent comme des atouts importants pour promouvoir des choix techniques au sein du SC37 qui conduiront ensuite à l’adoption de la norme internationale.

16Le SC37 a décomposé son activité en six thématiques :

17a. L’harmonisation du vocabulaire utilisé dans la biométrie ;

18b. L’harmonisation des interfaces logicielles pour interconnecter les équipements biométriques ;

19c. La définition de gabarits permettant l’échange d’une information biométrique ;

20d. L’harmonisation des mécanismes d’évaluation des performances ;

21f. L’harmonisation d’usages spécifiques, c’est-à-dire la combinaison des choix normatifs en fonction d’une application particulière, telle que la carte d’identité des marins ou encore le contrôle d’accès des employés des aéroports ;

22g. L’harmonisation des usages biométriques en rapport avec la vie privée et l’encadrement juridique.

Principaux enjeux

  • 25 Distinction des concepts, identification des caractéristiques essentielles, choix des termes, etc.
  • 26 En effet, les conceptions des protections des données privées varient d’un pays à l’autre.

23Toutes les thématiques du SC37 n’ont pas fait l’objet d’enjeux forts. Cela a été le cas pour l’harmonisation du vocabulaire, qui, basée sur les techniques linguistiques appliquées au domaine technique25, a cependant nécessité un travail fastidieux et de longue haleine. De même, assez rapidement, le groupe de travail relatif aux interactions biométrie/vie privée a renoncé à produire des documents normatifs au profit de « rapports techniques », considérés comme étant mieux en phase avec les spécificités des législations nationales. Ce fut en particulier la position adoptée par la France, qui, dotée depuis 1978 de la loi informatique et libertés, a refusé de déléguer au comité SC37 une capacité à élaborer des documents normatifs internationaux relatifs à la gestion des données biométriques respectueuses de la vie privée et de la protection des données26.

  • 27 Common Biometric Exchange File Format.

24L’harmonisation des interfaces logicielles pour interconnecter les équipements biométriques n’a également pas suscité de controverses. Le SC37 a retravaillé les spécifications du CBEFF27, définies par l’IBIA et BioAPI. Les discussions ont enrichi les spécifications techniques, il n’y a pas eu en la matière de points techniques ayant suscité de polémiques. Cependant, la spécification technique du CBEFF a fait l’objet d’une forte pression pour que, de session internationale en session internationale, une norme l’ISO/IEC soit publiée rapidement pour pouvoir être référencée par l’OACI. Exercée par les représentants des gouvernements et admise par les participants, cette urgence répondait au besoin de référencer le CBEFF dans la recommandation OACI relative aux documents de voyage. Certaines incohérences éditoriales ont repoussé de quelques mois sa publication au début de l’année 2006.

25Les premiers enjeux réels sont apparus avec la question de la normalisation de techniques biométriques faisant l’objet de brevet, déposés ou en cours de dépôt. Un éclaircissement est ici nécessaire : il est possible de publier une norme internationale basée sur un brevet. Dans ce cas, l’ISO/IEC impose que le brevet fasse l’objet d’une déclaration au sein du comité et que le propriétaire du brevet s’engage à vendre de manière équitable des droits d’usage du brevet à toute entreprise ou institution qui en ferait la demande. En cas de manquement à ces règles, l’ISO se réserve le droit de supprimer la norme. Cet aspect a fait l’objet de discussions particulièrement sensibles, notamment en ce qui concerne l’harmonisation des gabarits permettant l’échange d’une information biométrique. Le caractère délicat de cette question a été amplifié par le fait que la spécification technique portait sur la représentation d’une donnée biométrique (les gabarits) plutôt que sur son exploitation. En effet, en fonction de l’exploitation des données biométriques pour procéder aux comparaisons (en vérification ou en identification), la représentation dans la donnée biométrique de certaines informations plutôt que d’autres conditionne les algorithmes. Or les brevets biométriques portent le plus souvent sur l’exploitation de l’information biométrique (et donc sur les méthodes algorithmiques) plutôt que sur sa représentation par un gabarit. Il y avait donc là une porte ouverte pour normaliser des gabarits sans se soumettre aux obligations ISO relatives aux brevets. En revanche, l’usage d’un gabarit promu norme internationale tomberait automatiquement sous le coup du brevet de l’exploitant. Enfin, le fait que l’OACI ait voulu faire référence aux normes de gabarit biométriques pour le document de voyage garantissait que la norme de gabarit biométrique devînt un standard.

26Compte tenu de cet environnement, des discussions parfois vives ont eu lieu au sujet des gabarits de l’image faciale, des empreintes et dans une moindre mesure de l’iris (les trois modalités biométriques d’identification retenues par l’OACI pour les documents de voyage). L’enjeu a consisté à trouver des représentations des données biométriques qui permettaient à tous les fournisseurs d’algorithmes de fonctionner, promouvant ainsi l’interopérabilité.

L’image faciale, l’empreinte digitale et l’iris

27Le gabarit de l’image faciale concerne tous les pays car l’OACI n’a rendu obligatoire que cette seule modalité biométrique. Début 2002, les Américains avaient au sein de leur comité national (ANSI) commencé à développer une norme biométrique relative au gabarit de l’image faciale. Il leur a donc paru naturel de proposer sa transposition au niveau international. Au SC37, la norme a été construite à partir de la proposition américaine car celle-ci constituait une bonne base pour commencer les discussions. Tout comme le CBEFF, les représentants des gouvernements et les participants ont mis tout en œuvre pour aboutir au plus vite à la publication d’une norme internationale afin qu’elle puisse être référencée par l’OACI. Les différentes délégations du SC37 comprenaient des représentants de multiples petits industriels de logiciels de reconnaissance faciale. La seule manière d’obtenir un consensus fut alors d’imposer des conditions a minima sur le gabarit, une bonne qualité de photographie ainsi qu’une expression neutre du visage (popularisée et brocardée par l’interdiction de sourire).

28Les enjeux sont apparus plus tard lorsqu’on découvrit qu’une représentation faciale tridimensionnelle permettait par la correction de la pose du visage d’introduire des solutions brevetées plus efficaces28. Une petite société russe particulièrement innovante prit l’initiative de proposer que l’on étende la norme à ces solutions. Elle dut compter avec un programme européen de recherche collaborative qui agrégeait les principaux industriels en matière de reconnaissance faciale.

  • 29 Cf. précédemment la genèse des normes biométriques basées sur les usages du FBI et des permis de co (...)
  • 30 C’est moins la quantité de mémoire qui est en jeu que le transfert de l’information d’une carte à p (...)

29En ce qui concerne le gabarit des empreintes digitales, les Américains avaient aussi, au sein de l’ANSI, commencé à développer, non pas une norme, mais des normes biométriques : une première basée sur celle qui était utilisée par les policiers29, une deuxième basée sur les spécifications diffusées par l’AAMVA et une troisième basée sur la spécification d’une petite société américano-canadienne, BioScrypt. De leur côté, les Allemands avaient également leur propre variante de la norme produite par l’AAMVA, développée pour les cartes à puce. Face à cette prolifération de l’offre de normes, l’OACI a opté pour la norme utilisée par les policiers car celle-ci a été considérée comme indépendante des industriels fournisseurs. Le prix à payer de ce choix fut le renoncement à des gabarits très compacts, c’est-à-dire nécessitant environ dix fois moins de mémoire pour être stockés30.

30Dans le même temps, la spécification de l’industriel américano-canadien a été à la source d’enjeux de taille. En effet, associé à cette spécification, l’industriel déposait des brevets relatifs à son savoir-faire tout en développant, via la délégation américaine, des actions de lobbying intense auprès des autres délégations. De réunion en réunion du SC37, la spécification proposée a été décortiquée pour y introduire des variantes offrant des portes de sortie par rapport aux brevets, c’est-à-dire la capacité d’exploiter le gabarit sans être contraint par certaines méthodes algorithmiques.

  • 31 Bureau international du travail.

31En parallèle, le BIT31 élaborait une convention pour la carte d’identité des marins dans laquelle un codage compact de l’empreinte digitale était nécessaire. Les propositions multiples formulées au sein du SC37 ont constitué une source de confusion pour l’élaboration de cette convention car plusieurs propositions non abouties et non consensuelles étaient en discussion. Face aux tentatives d’influence visant à promouvoir un des gabarits en cours de discussion, le comité SC37 en a été réduit à adresser un courrier au BIT rappelant la neutralité de l’ISO quant à la sélection d’une norme en tant que standard.

  • 32 Personal Identity Verification (of Federal Employees and Contractors).
  • 33 Projet européen MTIT (http://www.mtitproject.com, consulté le 7 avril 2010) et projet NIST MINEX (h (...)

32Enfin, la norme du SC37 issue de l’AAMVA a émergé comme standard potentiel car les différents fournisseurs d’algorithmes trouvaient dans ce gabarit les informations qui leur étaient nécessaires. D’une part, elle fut au final choisie par le BIT. D’autre part, elle a fait l’objet d’une évaluation par le NIST. À la suite de cette évaluation, le gouvernement fédéral américain a pris l’initiative de l’imposer comme standard de vérification biométrique pour les cartes professionnelles d’agents fédéraux des différents ministères (PIV32). Enfin, les principaux industriels spécialisés dans l’empreinte digitale ont réalisé des efforts techniques significatifs pour construire une offre compatible avec cette norme. Il est indéniable que cette norme (connue sous le nom de « minutie ») et la norme utilisée par les policiers (connue sous le nom d’« image de l’empreinte ») émergent en tant que standards de la profession. L’image de l’empreinte permet des applications d’identification, tandis que les minuties de l’empreinte permettent des applications de vérification de l’identité. Il est à regretter que cette norme minutie ne soit pas utilisée dans les passeports électroniques alors que les industriels ont fait les efforts nécessaires pour démontrer l’interopérabilité (MTIT, MINEX33). Les autres normes relatives au gabarit de l’empreinte ont été publiées, mais les applications le propulsant en tant que standard font défaut.

  • 34 Iridian Technologies a été achetée par L-1 Identity en août 2006.

33Enfin, la situation de l’iris est particulière. Des brevets importants sont détenus par John Daugman, professeur à l’université de Cambridge (MA), et par la société américaine Iridian Technologies34. Cette société a promu une norme au sein de l’ANSI et, dès la création du SC37, elle a proposé sa transposition internationale (adoptant en cela la même approche que pour l’image faciale et les empreintes digitales). Contrairement à ce qui s’est passé pour l’empreinte digitale, une lettre a aussitôt été publiée par Iridian Technology en 2004 pour faire référence aux brevets associés à l’exploitation du gabarit de l’iris. Par ailleurs, Iridian s’est transformée en société technologique qui vendait des licences et du conseil quant à l’usage de la technologie de l’iris. Cette approche a convaincu les délégations du SC37 de la transparence de la démarche. Dans la foulée, la norme a été adoptée en un temps aussi court que possible (c’est-à-dire au même rythme que la norme pour l’image faciale, l’empreinte digitale et le CBEFF) afin d’être référencée par l’OACI.

La conformité et l’impact des normes biométriques

34L’interopérabilité des solutions proposées par les fabricants déclarant respecter ces normes est un enjeu fort. Cette interopérabilité opérationnelle passe par la conformité à la norme et également par des évaluations conduites par des laboratoires indépendants capables de certifier cette interopérabilité et le niveau de confiance associé. Il devrait émerger de ce processus d’évaluation aux normes des produits biométriques standards qui pourront prétendre être conformes aux normes exigées. C’est là probablement le principal enjeu auquel sont confrontées les normes biométriques. La conformité de la solution d’un industriel aux normes biométriques adoptées est un problème complexe. Au-delà du contrôle de l’encodage des données dans une structure de données informatiques, le principal problème est la correspondance entre la donnée biométrique d’une personne et sa numérisation. Chaque industriel analyse et interprète la donnée biométrique selon son savoir-faire propre avant de créer le gabarit. Les solutions diffèrent donc toutes, parfois uniquement sur des points mineurs. Tant que la diversité renvoie à un espace restreint, l’interopérabilité opérationnelle est effective. Toutefois, au-delà, le trop grand nombre de différences rend les solutions dépendantes du seul fournisseur biométrique.

  • 35 Union européenne.

35Dans un second temps, l’évaluation des performances permettra de classifier le niveau de confiance obtenu par les performances d’un algorithme biométrique. Ces étapes d’évaluation de la conformité et de la performance sont l’objet d’une spécification normative. La maîtrise de la mise en œuvre de ces normes permet celle de la délivrance du sésame d’accès au marché biométrique. À ce jour, le NIST, fort impliqué dans les normes relatives à l’évaluation de la performance, réalise les tests de performances des solutions permettant l’accès au marché des cartes des agents fédéraux (PIV). Dans l’UE35, plusieurs laboratoires ont peu ou prou les compétences pour mener de telles évaluations. Mais, à ce jour, l’étroitesse du marché, réduit aux seuls documents de voyage, ne permet pas une approche économique viable. Les États membres ont, quant à eux, une approche uniquement nationale.

36Les normes biométriques développées par le FBI en collaboration avec le NIST ont acquis la situation de standards dans les activités biométriques des polices scientifiques.

37Le sous-comité international SC37 a publié en un temps aussi court que lui permettaient les règlements ISO/IEC les normes dont le référencement était nécessaire par l’OACI. Les documents de voyage biométriques incorporent les données biométriques conformément aux normes publiées. En ce sens, les travaux de normalisation en biométrie ont débouché sur des standards largement déployés.

38À ce jour, la normalisation en biométrie a cependant encore de grands défis à relever. L’un des plus significatifs est sans aucun doute la capacité de mesurer la conformité aux standards. En effet, les normes biométriques sont déployées par les gouvernements dans les documents de voyage. Mais la conformité aux normes biométriques n’est à ce jour évaluée que par l’État émetteur. Lors de la future exploitation des données biométriques (faciales dans le monde et empreintes digitales en Europe), les États observeront des différences d’interprétation de la conformité aux normes. Les processus d’ajustement prendront du temps compte tenu de la durée de validité des documents de voyage.

39La conformité des documents de voyage n’est qu’une facette de l’impact de la normalisation biométrique, y compris par chaque État membre de l’UE. Un autre grand chantier de la normalisation biométrique renvoie à l’exploitation des données biométriques contenues dans les documents d’identité biométriques. Aujourd’hui, les efforts se concentrent beaucoup sur la lecture de la puce électronique et les manipulations des clés cryptographiques permettant l’accès aux informations ou vérifiant l’intégrité des informations qu’elles contiennent. Une fois la donnée biométrique disponible, un processus standard devrait permettre de créer la confiance justement recherchée au moyen de la biométrie. Ce problème est particulièrement d’actualité dans l’UE (Preuss-Laussinotte 2006). En effet, l’harmonisation en Europe se pose en termes d’usage de l’information biométrique extraite du document de voyage. En l’absence de normes, il se pourrait que dans tel pays de l’UE, le contrôle de la biométrie faciale aboutisse à un déni d’identité alors que, dans d’autres, le contrôle validera l’identité, le tout sur la même base de gabarit biométrique. Une telle situation serait possible si le déploiement des solutions algorithmiques ne correspondait pas aux exigences de tests et d’évaluations cohérentes par rapport aux exigences normatives du SC37. Dans quelle mesure, dans un pays, les données biométriques seront-elles conservées lors d’un contrôle d’identité et pas dans un autre ? Ce sont des questions dont la dimension technique et sociétale est aujourd’hui ouverte.

  • 36 Transportation Worker Identification Credential, programme de la TSA (Transportation Security Admin (...)

40Dans une certaine mesure, le SC37 a proposé des normes relatives à des applications particulières. La norme relative au document d’identité des marins est aujourd’hui un standard adopté par le BIT. Le SC37 a aussi proposé une norme relative à l’usage de la biométrie dans le cadre sécuritaire concernant les employés de zones aéroportuaires (compatible avec les exigences américaines du programme TWIC36). Force est de constater qu’à ce jour la normalisation biométrique reste centrée sur le SC37 pour les applications internationales, mais absente d’application au sein de l’UE. Les enjeux les plus importants en matière de normes biométriques restent donc à venir.

Bibliographie

Ceyhan Ayse, 2005. « La biométrie : une technologie pour gérer les incertitudes de la modernité contemporaine. Applications américaines », in Pierre Piazza (éd.), Police et identification. Enjeux, pratiques, techniques, Les Cahiers de la sécurité, 56 : 61-91.

Didier Bernard, 2004. « Biométries », in OCDE (Organisation de coopération et de développement économiques), Économie de la sécurité. Paris, éditions de l’OCDE : 39-70.

Iso/Iec, 2004. Guide, Normalisation et activités connexes. Vocabulaire général, 3 novembre, ISO publications, http://www.standardsinfo.net/info/livelink/fetch/2000/148478/6301438/index.html (consulté le 7 avril 2010).

Iso directives, 2009. Iso/Iec Directives and Iso Supplement, http://www.iso.org/iso/standards_development.htm (consulté le 7 avril 2010).

Preuss-Laussinotte Sylvia, 2006. « L’Union européenne et les technologies de sécurité », in Ayse Ceyhan (éd.), Identifier et surveiller. Les technologies de sécurité, Cultures & Conflits, 64 : 97-129.

Real ID Final Rule, Homeland Security Department, www.dhs.gov/files/laws/gc_1172765386179.shtm (consulté le 7 avril 2010).

Notes

1 Portable Document Format.

2 Norme ISO 32000-1: 2008.

3 Cf. notamment le texte de Sylvia Preuss-Laussinotte dans cet ouvrage.

4 Global System of Mobile communications.

5 Federal Bureau of Investigation.

6 Image Quality Specifications : certification des scanners à plat d’empreintes digitales.

7 MITRE, laboratoire américain de recherche technologique, cf. http://www.mitre.org (consulté le 7 avril 2010).

8 National Institute for Standards and Technology.

9 American National Standardisation Institute. L’ANSI est aux États-Unis ce que l’Afnor (Agence française de normalisation) est à la France : l’organisme national de normalisation.

10 Common Biometric Exchange Formats Framework.

11 International Biometric Industry Association.

12 Biometric Application Programming Interface.

13 American Association of Motor Vehicle Administrators.

14 AAMVA DL/ID-2000 National Standard for the Drivers License/Identification Card.

15 Toutefois le Real ID Act, adopté en 2005, a fixé des normes de sécurité et d’authentification en intégrant des données biométriques pour les permis de conduire nationalement émis tout en précisant que ces normes ne seraient opérationnelles que dans les échanges avec l’État fédéral. Cf. «Real ID Final Rule», Homeland Security Department, www.dhs.gov/files/laws/gc_1172765386179.shtm (consulté le 7 avril 2010).

16 Cf. le texte de Sylvia Preuss-Laussinotte dans cet ouvrage.

17 Organisation de l’aviation civile internationale. L’OACI est une organisation de l’ONU en charge des accords relatifs à l’aviation civile. Elle produit notamment des recommandations sur les documents de voyage (passeports) afin qu’ils soient facilement exploitables par les intervenants (compagnies aériennes, services de police, etc.) pour le confort des voyageurs. À ce jour, la plupart des États choisissent souverainement de suivre ces recommandations afin de faciliter les déplacements de leurs ressortissants.

18 International Standardisation Organisation.

19 International Electrotechnical Commission. Il existe trois institutions internationales en charge de normalisation. Elles résultent historiquement de conférences internationales. Ces institutions sont : l’UIT, chargée des télécommunications ; l’IEC, en charge domaines de l’électricité, de l’électronique et des techniques connexes ; et l’ISO, chargée des domaines industriel et commercial. Aujourd’hui, ces institutions collaborent dans les domaines qui leur sont communs.

20 American National Standardisation Institute.

21 Deutsches Institut für Normung.

22 British Standards Institute.

23 Le numéro 37 était le numéro de séquence disponible dans la création du comité.

24 National Physical Laboratory en Grande-Bretagne.

25 Distinction des concepts, identification des caractéristiques essentielles, choix des termes, etc.

26 En effet, les conceptions des protections des données privées varient d’un pays à l’autre.

27 Common Biometric Exchange File Format.

28 L’efficacité a été démontrée par le projet de recherche européen 3D Face (http://www.3dface.org, consulté le 7 avril 2010)

29 Cf. précédemment la genèse des normes biométriques basées sur les usages du FBI et des permis de conduire américains.

30 C’est moins la quantité de mémoire qui est en jeu que le transfert de l’information d’une carte à puce vers un lecteur.

31 Bureau international du travail.

32 Personal Identity Verification (of Federal Employees and Contractors).

33 Projet européen MTIT (http://www.mtitproject.com, consulté le 7 avril 2010) et projet NIST MINEX (http://fingerprint.nist.gov/minex04, consulté le 7 avril 2010) sur l’interopérabilité des minuties.

34 Iridian Technologies a été achetée par L-1 Identity en août 2006.

35 Union européenne.

36 Transportation Worker Identification Credential, programme de la TSA (Transportation Security Administration).

© Éditions de la Maison des sciences de l’homme, 2011

Conditions d’utilisation : http://www.openedition.org/6540

Lire

Accès exclusif

Offert par