- Le PFPDT a obligé PostFinance à ne collecter les empreintes vocales à des fins d’authentification qu’avec un consentement explicite et à supprimer les profils non consentis.
- Le PFPDT a estimé que l’utilisation de la biométrie pour l’authentification violait le principe de proportionnalité ; PostFinance le conteste et a déposé un recours.
Le PFPDT a communiquéqu’il a mené une enquête contre PostFinance concernant l’authentification par reconnaissance vocale. L’enquête a été clôturée le 16 mai 2025, avec une Disposition, Empreintes vocales à des fins d’authentification uniquement avec le consentement explicite des personnes concernées. Les empreintes de vote sans ce consentement doivent être effacées.
La motivation n’est pas publique, la décision a été déposée auprès du Tribunal administratif fédéral contesté. Dans son communiqué de presse, le PFPDT a toutefois indiqué (on ne voit pas pourquoi il fait une communication à ce sujet) que les empreintes de vote permettant d’identifier une personne sont des données personnelles sensibles (ce qui est exact), mais qu’elles comportent des risques “dans le contexte des progrès technologiques croissants” et que l’utilisation de données biométriques à des fins d’authentification par PostFinance SA est contraire au principe de proportionnalité :
L’enquête du PFPDT a révélé que le traitement de données biométriques à des fins d’authentification […] viole le principe de proportionnalité. De plus, les empreintes de vote sont établies sans que les clients aient activement exprimé leur volonté. Cela signifie que les clientes et clients qui refusent l’utilisation de la reconnaissance vocale doivent eux-mêmes agir. […]
Le PFPDT considère que cette manière de procéder est contraire au droit de la protection des données et a obligé PostFinance SA, par voie de décision, à obtenir le consentement exprès des personnes concernées lors de l’établissement d’empreintes vocales à des fins d’authentification par reconnaissance vocale. PostFinance SA est en outre priée d’effacer les empreintes vocales pour lesquelles aucun consentement explicite de la personne concernée n’a été obtenu. […]
On a l’impression que le PFPDT procède selon le modèle connu – les Proportionnalité des traitements de données ne doit pas être mesurée en fonction de la finalité du traitement (p. ex. commodité, qui peut être un objectif légitime du responsable du traitement), mais en fonction d’un critère non objectivé, mais finalement construit par le PFPDT (à ce sujet, voir aussi ici et ici). Si tel est le cas – comme je l’ai dit, la décision elle-même n’est pas disponible -, nous espérons que le Tribunal administratif fédéral apportera des éclaircissements.
Une autre question serait de savoir si PostFinance avait conclu, lors d’un examen, que l’utilisation de profils de voix était plus sûr que d’autres méthodes d’authentification. On peut supposer que cette question a également fait l’objet de l’enquête, mais que le PFPDT est arrivé à la conclusion que le gain de sécurité n’était pas suffisamment important.
De son côté, PostFinance a Communiqué de presse publiéDans sa décision, le PFPDT a été informé d’une nouvelle procédure avec consentement, basée sur le consentement des clients, avant que la décision ne soit rendue. Il semble que le PFPDT ait néanmoins jugé opportun de rendre une décision – peut-être pour obtenir la suppression des profils déjà collectés, peut-être pour d’autres raisons.