Alors qu’une nouvelle technologie de reconnaissance de personnes est en train d’émerger, celle de la « reconnaissance des empreintes olfactives » ou « signature olfactive », se pose la question de la protection de cette donnée fortement identifiante.

Origine de la technique.

A l’origine de ces projets de recherches, l’appel « attentats-recherche » lancé par le CNRS [1] après les attentats de Paris et de Nice de 2015. De nombreux projets ont été retenus, parmi lesquels, l’identification de personnes par le moyen de l’empreinte olfactive.

Ce projet est actuellement testé par la gendarmerie scientifique. « Un projet est actuellement piloté au sein de la Gendarmerie nationale française. Il vise à développer la reconnaissance des empreintes olfactives, qui pourraient venir s’ajouter à la liste des techniques dont pourront se servir les enquêteurs pour identifier les criminels, au même titre que les traces ADN ou les empreintes digitales. » [2]

Fonctionnement de l’empreinte olfactive.

Comme l’explique Alexandra Ter Halle, chercheuse au CNRS au laboratoire Interactions moléculaires et réactivité chimique et photochimique : « L’outil proposé consiste en un matériau original très absorbant à base d’organogel poreux, qui capte rapidement et concentre efficacement les composés volatils et notamment les odeurs corporelles. L’étape d’échantillonnage sera donc rapide, sensible et facile à exécuter. La seconde étape, en laboratoire, consiste à analyser le matériau par spectrométrie de masse. Les opérations de traitement de l’échantillon seront simplifiées puisqu’il suffit de dissoudre le matériau organogel pour l’injecter directement en chromatographie. » [3]

Une fois l’odeur collectée, un traitement algorithmique est réalisé sur ces empreintes olfactives.

« Grâce à des méthodes d’apprentissage automatique et de partitionnement des données, les algorithmes que nous développons conjointement visent à isoler l’empreinte olfactive des individus ». [4]

Quelle qualification et enjeux en matière de protection des données ?

Cette nouvelle méthode d’identification des individus n’est pas sans poser de nouvelles interrogations et questionne sur sa qualification juridique : « Il apparaît indispensable de penser la création et l’application de cet outil en lien étroit avec les professionnels (policiers, techniciens, magistrats, avocats). Notre approche prendra en compte les contraintes méthodologiques et éthiques que cette création peut soulever. Pour cela, la collaboration avec une équipe de chercheurs en sciences humaines ayant une expertise des champs criminologique, judiciaire et une solide expérience méthodologique dans la mise en place de recherche-action pluridisciplinaire est nécessaire. » [5]

Cette méthode d’identification qui fera certainement partie de futures enquêtes et procédures pénales, pose la question de la recevabilité, la fiabilité et la licéité de cette nouvelle donnée en tant que preuve. L’article 427 du code de procédure pénale [6] dispose que : « hors les cas où la loi en dispose autrement, les infractions peuvent être établies par tout mode de preuve et le juge décide d’après son intime conviction. ». Si cet article n’est pas incompatible avec la recevabilité de l’empreinte olfactive, se pose néanmoins la question de son cadre juridique.

Cet article traite de cette technologie sous l’angle de la protection des données personnelles.

En effet, l’utilisation de nouvelles technologies dans le cadre de la procédure pénale doit respecter les principes relatifs à la protection de la vie privée, tel que consacré par l’article 8 de la Convention européenne des droits de l’Homme, (CESDH). A cette occasion, la Cour européenne des droits de l’Homme (CEDH), a pu rappeler, dans l’arrêt rendu en Grande chambre, S. et Marper c. Royaume-Uni, rendu le 4 décembre 2008 que :
« La protection offerte par l’article 8 serait affaiblie de manière inacceptable si l’usage des techniques scientifiques modernes dans le système de la justice pénale était autorisé à n’importe quel prix et sans une mise en balance attentive des avantages pouvant résulter d’un large recours à ces techniques, d’une part, et des intérêts essentiels s’attachant à la protection de la vie privée, d’autre part. Tout Etat qui revendique un rôle de pionnier dans l’évolution de nouvelles technologies porte la responsabilité particulière de trouver le juste équilibre en la matière  ». [7]

L’empreinte olfactive : une donnée à caractère personnel ?

La notion de donnée à caractère personnel est une notion évolutive qui a connu un élargissement au fil des années.

Définie par l’article 2 de la Convention 108 [8], l’article 2 a) de la directive 95/46 et l’article 4 1) du règlement (UE) 2016/679 viennent élargir cette notion.

La jurisprudence de la CEDH, de la CJUE a également contribué à l’élargissement de la notion de données à caractère personnel. [9]

Récemment, dans l’affaire C-434/16 rendue le 20 décembre 2017, « Peter Nowak contre Data Protection Commissioner », elle a considéré que des copies d’examens étaient des données à caractère personnel et qu’il était possible aux personnes concernées, d’exercer leurs droits d’accès.

Cet élargissement de la notion est indifférent à la forme que peut prendre cette donnée. En effet, le considérant 15 du RGPD dispose que : « Afin d’éviter de créer un risque grave de contournement, la protection des personnes physiques devrait être neutre sur le plan technologique et ne devrait pas dépendre des techniques utilisées. Elle devrait s’appliquer aux traitements de données à caractère personnel à l’aide de procédés automatisés ainsi qu’aux traitements manuels, si les données à caractère personnel sont contenues ou destinées à être contenues dans un fichier. Les dossiers ou ensembles de dossiers de même que leurs couvertures, qui ne sont pas structurés selon des critères déterminés ne devraient pas relever du champ d’application du présent règlement ».

L’article 4, 1) du RGPD définit la donnée à caractère personnelle comme étant « toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée »).

Le règlement poursuit en énonçant, qu’est réputée être une personne physique identifiable, une personne physique qui peut être identifiée, directement ou indirectement, notamment ; par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

Cette liste est donc non limitative et peut potentiellement accueillir toute donnée qui permet l’identification unique d’une personne physique.

« Un traitement statistique des données permettra de distinguer la signature olfactive d’une personne au sein d’un groupe de suspects donné. La mise au point du capteur, les conditions analytiques et le traitement mathématique ont pour objectif d’évaluer et d’optimiser la fiabilité de l’outil et donc l’admissibilité et la recevabilité d’éléments scientifiques constitutifs d’une potentielle preuve lors d’enquêtes. » [10]

Le premier critère de qualification de la donnée, en ce qu’il permet une identification unique de la personne est donc rempli.

L’empreinte olfactive : une donnée à caractère personnel sensible ?

La liste des catégories particulières de données personnelles ou « données sensibles » a été établie par l’article 9 du RGPD : « Ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits. »

L’article 4.14 du RGPD définit la donnée biométrique comme étant la donnée relative aux « aux caractéristiques physiques, physiologiques ou comportementales d’une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques ».

De la même manière, cette liste de données biométriques n’est donc pas exhaustive. En effet, la donnée biométrie n’est pas définie en tant que telle, mais c’est le traitement par la technique de la biométrie qui permet de classer certaines données dans cette catégorie.

La CNIL définit la donnée biométrique de la manière suivante : « La biométrie regroupe l’ensemble des techniques informatiques permettant de reconnaître automatiquement un individu à partir de ses caractéristiques physiques, biologiques, voire comportementales. Les données biométriques sont des données à caractère personnel car elles permettent d’identifier une personne. Elles ont, pour la plupart, la particularité d’être uniques et permanentes (ADN, empreintes digitales, etc.) » [11]
Ou encore :
« Caractéristique physique ou biologique permettant d’identifier une personne (ADN, contour de la main, empreintes digitales...) ». [12]

Conditions d’application de la notion de donnée biométrique.

Afin de qualifier l’empreinte olfactive de donnée biométrique, il est nécessaire de vérifier si ces deux critères sont remplis.

 Sur l’exigence d’une authentification unique.

Chaque individu possède une odeur que l’on qualifie de primaire et d’une odeur de secondaire, celle qui est influencée par un mode de vie (régime alimentaire, état de santé). D’après les chercheurs, l’empreinte olfactive a la même preuve probante que l’empreinte digitale et chaque individu possède son odeur unique, sa « signature olfactive ». [13] Le premier critère est donc rempli.

 Sur l’exigence d’une authentification permanente.

La donnée doit également être permanente. Sur cette notion d’authentification permanente, il est intéressant de rappeler, que la CJUE, dans une décision rendue le 19 octobre 2016 (Breyer), énonce que les adresses IP, mêmes celles dynamiques, sont des données à caractère personnel.

Si l’empreinte olfactive secondaire (celle influencée par le mode de vie) pourrait être modifiée dans le temps, elle demeure globalement stable. [14] Ainsi, il est potentiellement possible de considérer que ce second critère est également rempli.

Il ressort de cette analyse que l’empreinte olfactive constituerait une donnée biométrique devant satisfaire les exigences du RGPD en matière de traitements de données sensibles.

Conclusion.

Dans le cadre de procédures pénales, l’utilisation de ces données sera encadrée par la directive police-justice : directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes.

Si une telle méthode d’identification apparaît nécessaire et légitime dans le cadre de recherches d’auteurs de délits et de crimes, l’utilisation dérivée de cette méthode d’identification par des acteurs du secteur privé interroge et rend nécessaire l’application d’un cadre légal stricte.

En effet, on observe de plus en plus que des techniques, autrefois réservées au secteur public ou la police (test ADN, reconnaissance faciale, digitale), sont utilisées dans un cadre privé. Elles sont même devenues banales dans certains cas (dans le cadre de l’IoT, sécurité des smartphones, test génétique que l’on peut acheter directement en ligne…).

Dans la mesure où cette technique, à l’instar de l’empreinte digitale ou génétique, est fortement identifiante, il est donc nécessaire d’encadrer juridiquement son utilisation. A fortiori si elle est susceptible d’incriminer une personne devant les juridictions pénales.

A notre connaissance, la CNIL ne s’est pas encore prononcée sur les enjeux de cette nouvelle méthode d’identification. A suivre !

Mélanie CRAS et Justine de SAULIEU Datacy Société de conseil en management et en protection des données à caractère personnel