Déverrouillage facial sur vos smartphones : ce que Samsung, Apple et consorts vous cachent sur vos données biométriques

Vous déverrouillez votre téléphone des dizaines de fois par jour d'un simple regard. Pratique, rapide, presque magique. Sauf que derrière cette simplicité apparente se cache une réalité bien plus complexe — et franchement préoccupante. Entre les contournements légaux que les fabricants ont trouvés face au RGPD et les failles de sécurité que personne ne veut vraiment évoquer, il était temps qu'on mette les pieds dans le plat.

Le RGPD, une protection solide… sur le papier

En France, la biométrie est encadrée par le Règlement Général sur la Protection des Données (RGPD), transposé et renforcé par la CNIL. La règle de base est claire : les données biométriques sont considérées comme des données sensibles, et leur traitement est en principe interdit sauf consentement explicite et éclairé de l'utilisateur. Jusque-là, rien que du bon.

Sauf que les constructeurs ont trouvé une parade élégante. La plupart d'entre eux — Apple en tête avec Face ID, suivi de Samsung et ses Galaxy — affirment que les données biométriques restent stockées localement sur l'appareil, dans une enclave sécurisée (le Secure Enclave chez Apple, le Knox Vault chez Samsung). En d'autres termes : « On ne traite pas vos données biométriques, on les stocke juste sur votre propre téléphone. » Ce n'est techniquement pas faux. Mais c'est une interprétation très arrangeante des textes.

La CNIL a d'ailleurs publié plusieurs rappels ces dernières années sur la nécessité d'informer clairement les utilisateurs. Mais dans la pratique, qui lit les 47 pages de conditions générales lors de la configuration d'un nouveau smartphone ? Personne. Et les fabricants le savent très bien.

Les zones grises que les marques exploitent

Premier point flou : la notion de consentement. Quand vous configurez votre iPhone ou votre Galaxy pour la première fois, le déverrouillage facial vous est proposé de manière quasi incontournable, souvent avant même que vous ayez compris ce à quoi vous consentez. Ce n'est pas du consentement éclairé, c'est du nudging — une technique de manipulation douce qui oriente vos choix sans vous forcer explicitement.

Deuxième zone grise : les applications tierces. Si les données brutes de votre visage restent en théorie sur le téléphone, rien n'empêche les applications d'utiliser l'API de reconnaissance faciale du système d'exploitation pour leurs propres besoins. Une appli bancaire, un réseau social, un jeu vidéo — tous peuvent demander l'accès à votre Face ID ou équivalent Android. Et là, la chaîne de traitement des données devient beaucoup moins transparente.

Troisième angle mort : les mises à jour. Plusieurs chercheurs en sécurité ont démontré que des mises à jour firmware peuvent modifier les paramètres de stockage et de traitement des données biométriques sans que l'utilisateur en soit informé. Vous avez accepté une chose en 2022, mais ce que fait réellement votre téléphone avec votre visage en 2025 peut être différent.

Le spoofing : la menace que les constructeurs minimisent

Parlons maintenant de la sécurité réelle de ces systèmes. Le spoofing, c'est l'art de tromper un système de reconnaissance faciale avec une fausse représentation de votre visage. Et contrairement à ce que les campagnes marketing voudraient nous faire croire, c'est loin d'être impossible.

Les systèmes 3D comme Face ID d'Apple sont effectivement robustes — ils utilisent un projecteur de points infrarouges et une caméra TrueDepth pour créer une carte en relief de votre visage. Difficile à berner avec une simple photo. Mais la grande majorité des smartphones Android utilisent des systèmes 2D basés sur la caméra frontale classique. Et là, la vulnérabilité est réelle : plusieurs démonstrations publiques ont montré qu'une photo haute résolution imprimée ou affichée sur un écran peut suffire à déverrouiller ces appareils.

Des chercheurs de l'université de Bochum en Allemagne, ou encore des équipes de Tencent Security en Chine, ont régulièrement publié des travaux montrant que même des systèmes présentés comme sécurisés peuvent être mis en défaut avec des moyens relativement accessibles. Pourtant, dans les fiches techniques de vos smartphones, vous ne trouverez jamais de mention du niveau de sécurité biométrique réel. Les constructeurs se contentent de certifications vagues ou de labels propriétaires.

Les alternatives que personne ne vous propose vraiment

Alors, que faire ? Il existe des alternatives sérieuses que les constructeurs ne mettent jamais en avant — parce qu'elles sont moins sexy commercialement.

Le code PIN long reste statistiquement l'une des méthodes les plus sûres. Un code à 8 chiffres offre 100 millions de combinaisons possibles. Avec le verrouillage automatique après plusieurs tentatives infructueuses, le forçage brutal est pratiquement impossible. Pas glamour, mais efficace.

L'empreinte digitale sous écran (ou sur le côté de l'appareil) représente un bon compromis. Les capteurs ultrasoniques comme ceux des Galaxy S récents sont difficiles à tromper et ne nécessitent pas de pointer votre caméra vers votre visage dans des espaces publics — réduisant ainsi les risques de capture non consentie.

Les clés de sécurité physiques comme les YubiKey ou les équivalents compatibles NFC sont la solution ultime pour les paranoïaques du bon sens. Elles existent, elles fonctionnent avec Android, mais aucun fabricant ne les mentionnera dans ses publicités.

Enfin, pour ceux qui veulent rester sur la reconnaissance faciale, la règle d'or est simple : vérifiez que votre téléphone utilise bien un système 3D (infrarouge + profondeur) et pas simplement la caméra frontale. Cette information est rarement mise en avant, mais elle change tout.

Ce que vous pouvez faire dès maintenant

Quelques réflexes simples pour reprendre le contrôle :

• Désactivez la reconnaissance faciale pour les applications tierces dans les paramètres de confidentialité de votre téléphone. Laissez-la uniquement pour le déverrouillage si vous y tenez.
• Consultez le rapport de transparence de votre constructeur si il en publie un — Apple le fait, Samsung également, même si ces documents demandent un certain courage de lecture.
• Signalez à la CNIL toute pratique qui vous semble abusive via leur formulaire en ligne. L'autorité française prend ces signalements au sérieux, comme l'ont montré les amendes infligées ces dernières années.
• Méfiez-vous des paramètres par défaut. Lors de la configuration d'un nouveau téléphone, prenez le temps de refuser ce que vous ne souhaitez pas — même si l'interface est conçue pour vous décourager de le faire.

La biométrie n'est pas le diable, mais...

Soyons clairs : la reconnaissance faciale n'est pas intrinsèquement mauvaise. C'est une technologie pratique, et quand elle est bien implémentée, elle peut être relativement sécurisée. Le problème, c'est l'opacité dans laquelle les constructeurs la déploient, les failles légales qu'ils exploitent avec une certaine désinvolture, et le manque flagrant d'alternatives clairement présentées aux utilisateurs.

En France, la CNIL a les dents longues quand elle veut les utiliser. Mais la régulation ne peut pas tout — surtout face à des géants américains et asiatiques dont les sièges sociaux sont à des milliers de kilomètres de Paris. La meilleure protection reste encore la vôtre : comprendre ce que vous activez, pourquoi, et ce que ça implique vraiment pour vos données les plus personnelles — celles qui définissent littéralement votre visage.