Le Contrôleur européen de la protection des données s’inquiète du projet d’échange automatisé de données biométriques, pointant notamment des lacunes techniques et juridiques et appelant à clarifier le « re-matching » et les seuils de correspondance.

L’Union européenne s’intéresse tout particulièrement au numérique ces derniers mois. Par choix, avec des projets comme Chat Control, ou sous ‘contrainte’, face aux tentatives de pression américaines liées aux tensions autour du Groenland. Au point de froisser le Contrôleur européen de la protection des données? Parfois… ou du moins de susciter des remarques jugées nécessaires.

Dans une note consultée par BFM Tech, le Contrôleur européen de la protection des données (EDPS) met ainsi sur la table ses observations formelles sur un projet de décision d’exécution de la Commission européenne concernant la recherche et l’échange automatisés de données biométriques (profils ADN, données dactyloscopiques et images faciales) via le « routeur Prüm ».

Pour rappel, le règlement « Prüm II » modernise la coopération policière européenne en créant un « routeur » central qui connecte instantanément les bases de données de tous les États membres. Ce système permet aux enquêteurs de comparer des profils ADN, des empreintes digitales et, désormais, des images faciales et des données de permis de conduire pour identifier des suspects à travers toute l’Union européenne.

Des eurodéputés participent à une séance de vote lors d’une session plénière du Parlement européen à Strasbourg, le 9 septembre 2025 (photo d’illustration). © ROMEO BOETZLE / AFP

L’innovation majeure réside dans l’automatisation et la rapidité: lorsqu’une correspondance est trouvée, les informations d’identification doivent être transmises sous 48 heures. Si cet outil renforce la lutte contre le terrorisme et le crime organisé, il suscite également des débats sur la surveillance de masse en raison de l’intégration de la reconnaissance faciale à l’échelle continentale.

Une protection des données insuffisantes?

Dans le document consulté, le Contrôleur européen de la protection des données (EDPS) n’énumère pas une liste de « risques » à proprement parlé, mais identifie plutôt des lacunes techniques et juridiques qui pourraient ç et la sécurité juridique lors de l’utilisation du routeur Prüm.

L’EDPS identifie d’abord une incertitude juridique liée au terme « re-matching »(réappariement). L’annexe du projet de décision utilise ce terme pour décrire le processus de classement des résultats par le routeur, mais celui-ci n’est défini ni dans le règlement Prüm II ni dans le projet de décision d’exécution. Pour garantir la sécurité juridique, l’EDPS recommande d’insérer une définition claire de ce terme dans l’article 1 du texte.

Le Contrôleur pointe ensuite le manque de clarté sur les seuils de performance technique. Pour les empreintes digitales latentes, le système peut attribuer des scores très bas, ce qui implique l’existence d’un seuil de correspondance (matching threshold). L’EDPS demande à la Commission de préciser explicitement comment ce seuil sera défini afin de comprendre les critères de sélection des candidats.

Un drapeau de l’Union européenne. © Photo par ALESSIO MORGESE / NURPHOTO / NURPHOTO VIA AFP

Enfin, l’EDPS relève une opacité sur l’étendue des données transmises. Le document devrait clarifier si des données supplémentaires sont fournies à l’autorité demanderesse lors d’une sélection par « re-matching ». Il mentionne notamment le « score de confiance » (confidence score) de l’outil de correspondance du routeur, comme exemple de donnée dont le partage devrait être précisé.

En résumé, ces préoccupations visent à s’assurer que les procédures techniques de recherche de données biométriques sont transparentes, bien définies et limitées à ce qui est juridiquement autorisé.

Europol dans l’équation?

Avec le règlement Prüm II, Europol est également devenu un partenaire central du nouvel échange automatisé de données destiné à lutter contre la criminalité transfrontalière. L’agence est intégrée au système au même titre que les États membres pour l’échange de données biométriques, comme les profils ADN, les empreintes digitales et les images faciales.

Europol peut à la fois fournir des données et voir ses bases consultées lors des recherches effectuées via le routeur Prüm. Ses informations entrent aussi dans le processus de comparaison et de classement des résultats, renforçant ainsi la coopération policière au sein de l’Union européenne.

Source