Données biométriques : ce qui peut être collecté, et vos droits

Page du service : Commerce numérique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe.

Qu’est-ce qu’une donnée biométrique, et pourquoi est-elle particulièrement protégée ?

Votre empreinte digitale ne peut être ni modifiée ni remplacée : si elle a été divulguée, on ne peut pas la récupérer. C’est exactement ce qui fait des données biométriques la catégorie la plus protégée du droit israélien de la vie privée. La loi sur la protection de la vie privée, 5741-1981, dans sa version issue de l’amendement n° 13, qualifie d’« informations particulièrement sensibles » l’« identifiant biométrique » utilisé pour une identification informatisée, comme l’empreinte digitale, le scan de l’iris, le modèle du visage ou la voix, ainsi que les informations génétiques (article 3). Les informations d’une base de données ne peuvent être traitées que pour la finalité qui lui a été légalement fixée (article 8(b)). L’article 2(c) du règlement sur la sécurité des données impose de vérifier une fois par an si des informations sont conservées au-delà du nécessaire. Une violation risque d’entraîner une sanction pécuniaire, une action civile (article 31B) et, dans certaines circonstances, une responsabilité pénale.

Quand la collecte de données biométriques est-elle permise, et quand est-elle strictement interdite ?

Le point de départ : celui qui demande à une personne des informations personnelles pour les traiter dans une base de données doit lui indiquer si elle a l’obligation légale de les fournir, dans quel but elles sont collectées et à qui elles seront transmises (article 11). Lorsque la collecte repose sur un consentement, celui-ci doit être un « consentement éclairé » (article 3). L’utilisation des informations dans un but autre que celui pour lequel elles ont été fournies est une atteinte à la vie privée (article 2(9)). On ne peut donc pas obtenir un consentement général puis utiliser les données pour n’importe quel but futur. Ainsi, la personne qui a consenti à un scan de l’empreinte pour entrer dans un bâtiment n’a pas consenti à ce que ce même scan serve à surveiller ses performances.

Ces dispositions s’appliquent aussi bien aux organismes privés qu’aux organismes publics. Toutefois, les autorités de sécurité, dont la police, ne sont pas responsables au titre de la loi d’une atteinte commise de façon raisonnable dans le cadre de leurs fonctions (article 19(b)), et la collecte de moyens d’identification biométriques par les autorités est réglée par des lois spécifiques. Une banque ou un employeur qui installe un système biométrique doit documenter l’information et le consentement, et n’utiliser les données que pour la finalité définie.

Vos droits : accès, correction et suppression

La loi sur la protection de la vie privée donne à toute personne le droit de consulter les informations personnelles la concernant qui sont détenues dans une base de données, y compris les données biométriques (article 13). Selon le règlement sur la protection de la vie privée (conditions de consultation des informations et procédure d’appel contre le refus d’une demande de consultation), 5741-1981 (תקנות הגנת הפרטיות (תנאים לעיון במידע וסדרי הדין בערעור על סירוב לבקשת עיון), התשמ״א-1981), la consultation doit être permise, sur imprimé ou à l’écran, dans les 30 jours suivant la réception de la demande (article 2(a)). Si les informations ne sont pas exactes, complètes, claires ou à jour, vous pouvez demander leur correction ou leur suppression (article 14). L’utilisation des informations dans un but autre que celui pour lequel elles ont été fournies est une atteinte à la vie privée (article 2(9)).

L’amendement n° 13 à la loi sur la protection de la vie privée, 5784-2024 (en vigueur depuis le 14 août 2025), n’a pas ajouté de droit général à l’effacement. Selon la loi et ses règlements d’application, le droit d’exiger la suppression d’informations qui ne sont plus nécessaires n’existe que dans une base de données contenant des informations transférées en Israël depuis l’Espace économique européen. Il porte sur ces informations et sur toute autre information de la même base (articles 2–3 du règlement sur la protection de la vie privée (dispositions relatives aux informations transférées en Israël depuis l’Espace économique européen), 5783-2023 (תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג-2023)). Pour une base de données utilisée pour la prospection directe, toute personne a le droit d’exiger par écrit la suppression des informations la concernant (article 17F(b)). Remarque : il ne faut pas confondre les dispositions de la loi israélienne sur la protection de la vie privée avec le RGPD européen. Les droits existent en Israël, mais leurs détails diffèrent.

Quand la police peut-elle collecter des données biométriques sans consentement ?

Il existe des exceptions légales qui permettent aux autorités chargées de l’application de la loi de collecter des données biométriques sans consentement préalable, mais toujours à des conditions définies :

• Enquêtes sur des infractions : un policier est habilité à prélever des empreintes digitales et d’autres moyens d’identification sur un suspect interrogé sous avertissement, sur un prévenu et sur une personne condamnée, et à inclure les données d’identification dans la base de données de la police (articles 11B et 11M de la loi de procédure pénale (pouvoirs coercitifs – fouille corporelle et prélèvement de moyens d’identification), 5756-1996 (חוק סדר הדין הפלילי (סמכויות אכיפה – חיפוש בגוף ונטילת אמצעי זיהוי), התשנ״ו-1996)). Les données d’identification génétique d’un suspect ne sont supprimées qu’au terme de sept ans après le prélèvement, ou 60 jours après la fin de la procédure sans condamnation, la date la plus tardive étant retenue (article 11W).
• Postes-frontières et aéroports : la loi sur l’inclusion de moyens d’identification biométriques et de données d’identification biométriques dans les documents d’identité et dans une base de données, 5770-2009 (חוק הכללת אמצעי זיהוי ביומטריים ונתוני זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע, התש״ע-2009), habilite certains agents, dont les employés du ministère de l’Intérieur, les policiers et les agents de sûreté aérienne, à comparer une photo du visage ou une empreinte digitale avec les données du document d’identité. Les données prélevées à cette fin sont en règle générale supprimées immédiatement après la comparaison (article 6).
• Sécurité nationale : les photos du visage prises pour la délivrance des cartes d’identité et des passeports sont conservées dans une base de données biométriques confidentielle (article 10 de cette loi). Le transfert d’informations de cette base aux autorités de sécurité se fait selon des règles fixées (article 21), et leur transfert à la police pour une enquête est en règle générale subordonné à une ordonnance du tribunal de district (article 17).

Les autorités gouvernementales, et pas seulement les sociétés privées, sont elles aussi soumises à des limites. L’idée qu’une autorité gouvernementale pourrait collecter librement des données biométriques à sa guise est fausse.

L’employeur vous a demandé votre empreinte digitale ? Ce qui lui est permis et ce qui ne l’est pas

L’employeur qui veut collecter des données biométriques auprès de ses salariés, pour l’accès à des installations sécurisées ou pour l’enregistrement des présences, doit au minimum respecter trois conditions. D’abord, une information préalable selon l’article 11 de la loi (la finalité, le caractère obligatoire ou facultatif de la communication, et les destinataires des informations). Ensuite, un consentement éclairé. Enfin, une sécurité conforme au règlement sur la sécurité des données : une base de données contenant des données biométriques doit, en règle générale, être au moins au niveau de sécurité moyen (la première annexe du règlement prévoit des exceptions, par exemple pour les photos du visage de salariés utilisées uniquement pour la gestion de l’entreprise). L’utilisation des données biométriques dans un but autre que celui défini est une atteinte à la vie privée (article 2(9)).

En outre, s’il existe une solution moins intrusive (par exemple une carte magnétique au lieu d’un scan de l’empreinte), le salarié peut soutenir que l’employeur n’avait pas le droit d’imposer la solution biométrique. Les tribunaux du travail examinent la proportionnalité : la biométrie est-elle indispensable, ou peut-on se contenter de moins ?

Comment faut-il conserver et sécuriser les données biométriques ? Les autorités et les entreprises qui détiennent des données biométriques doivent appliquer le règlement sur la protection de la vie privée (sécurité des données), 5777-2017 : une procédure de sécurité écrite, un accès limité aux personnes autorisées, et le chiffrement lors de la transmission d’informations sur un réseau public (article 14(b)). Un incident de sécurité grave impose une notification immédiate à l’Autorité de protection de la vie privée, qui peut ordonner d’informer les personnes touchées (article 11(d)). Une violation risque de leur ouvrir un droit d’action.

On vous a demandé votre empreinte digitale ? Ce que l’information doit contenir

Selon l’article 11 de la loi, dans sa version issue de l’amendement n° 13, la demande d’informations doit indiquer :

• si la communication des informations est une obligation légale ou dépend de votre consentement, et la conséquence si vous refusez (alinéa (1)) ;
• dans quel but les informations sont demandées (alinéa (2)) ;
• le nom du responsable de la base de données et les moyens de le contacter (alinéa (2A)) ;
• à qui les informations seront transmises et à quelles fins (alinéa (3)) ;
• que vous disposez d’un droit d’accès et du droit de demander la correction des informations (alinéa (4)).

Vous n’avez pas reçu une telle information ? Vous pouvez l’exiger du responsable de la base de données. Si 30 jours se sont écoulés depuis la demande sans information, le tribunal peut accorder des dommages-intérêts exemplaires jusqu’à 10 000 ₪, sans preuve du préjudice (article 15A(a)(2)).

Votre vie privée a été atteinte ? Quelle indemnisation demander

La personne dont la vie privée a été atteinte, par exemple lorsque des données biométriques ont servi à un but autre que celui pour lequel elles avaient été fournies, a le droit de demander une indemnisation selon la loi sur la protection de la vie privée. Dans une action pour un délit civil selon l’article 4, c’est possible même sans preuve du préjudice, jusqu’au plafond de l’article 29A. La violation des dispositions de la loi sur les bases de données et de ses règlements constitue un délit civil (article 31B), et l’article 15A permet des dommages-intérêts exemplaires pour certaines violations des obligations du responsable de la base de données. Les montants accordés varient selon la gravité et l’ampleur de la violation.

S’il est prouvé que l’atteinte a été commise avec l’intention de nuire, le plafond de l’indemnisation sans preuve du préjudice est doublé (article 29A(b)(2)), et le tribunal peut aussi condamner aux frais de justice.