Pourquoi votre photo d'identité ne devrait jamais être téléversée

Une photo d'identité n'est pas une image ordinaire. C'est un portrait de face, éclairé uniformément, à l'expression neutre, devant un fond uni, fait selon une norme publiée pour qu'une machine puisse le mesurer. C'est une description précise de votre visage comme pièce d'identité, et c'est aussi la description précise de l'image la plus utile qu'un usurpateur puisse obtenir. La téléverser sur un site pour la faire recadrer est un échange qui donne quelque chose de précieux contre une arithmétique que votre téléphone savait faire.

C'est tout l'argument en faveur d'un traitement de la photo là où elle se trouve déjà. Ce qui suit en est le détail.

La photo est l'actif, pas le recadrage

La plupart des gens se représentent le risque à l'envers : ils imaginent une photo volée publiée quelque part de gênant. La vraie valeur d'un portrait normalisé est qu'il est prêt pour la machine. Il alimente proprement un système de reconnaissance faciale, se glisse sans retouche dans un gabarit de faux document, et satisfait l'étape photographique d'un contrôle d'identité à distance sur une plateforme bancaire. Les qualités mêmes qui rendent une photo conforme, frontale, nette, dégagée et bien exposée, sont celles qui la rendent utile à quelqu'un d'autre.

Ce n'est pas une inquiétude inventée par le secteur. Le Passport Office australien le dit dans sa propre notice aux demandeurs : il ne recommande pas l'usage d'un service de photo d'identité en ligne ni d'une application mobile, car ils peuvent vous exposer à une fraude à l'identité (Australian Passport Office). Il est rare qu'un gouvernement nomme une catégorie de service commercial dans un avertissement, et cela mérite qu'on s'y arrête. L'avertissement ne porte pas sur la difficulté de recadrer. Il porte sur le téléversement.

Le droit fait écho au même point. Dans le règlement général européen sur la protection des données, l'article 9 interdit, sous conditions précises, le traitement de données biométriques aux fins d'identifier une personne physique de manière unique, en les plaçant aux côtés des données de santé et des convictions religieuses. La photo d'un visage n'est pas automatiquement une donnée biométrique. Elle le devient au moment où elle est traitée pour identifier ou mesurer une personne précise, c'est-à-dire exactement ce que fait un outil de photo d'identité lorsqu'il trouve un visage et mesure l'écart entre les yeux. En Europe, téléverser une photo d'identité vers un service qui mesure les visages n'est pas du même ordre que téléverser une photo de vacances, et la loi le dit.

Ce que "nous supprimons votre photo" laisse de côté

Les sites de photos répondent d'ordinaire à la question de la vie privée par une promesse de conservation : les images sont supprimées au bout d'un délai, souvent de 24 heures à 180 jours. Ces promesses valent quelque chose, mais elles répondent à une autre question que la vôtre.

La suppression est une déclaration sur l'avenir d'une copie déjà faite. Elle ne change rien à ce qui s'est passé pendant le délai, et c'est pendant le délai que tout se passe : le transfert, le stockage où l'image a atterri, la sauvegarde automatique de 3 heures, le sous-traitant qui traite l'image, la ligne de journal qui a enregistré le nom du fichier. Promettre une suppression à 30 jours ne retire pas une copie prise le deuxième jour.

Cela ne dit rien non plus de la juridiction : une photo téléversée depuis Lagos ou Manille peut être traitée sur des serveurs d'un pays tiers, sous des lois auxquelles personne n'a pensé. Ni de la fin de l'entreprise : une politique de conservation est une politique, et les politiques ne survivent pas à un rachat ou à une liquidation.

Rien de tout cela ne suppose de malhonnêteté. Il suffit des choses ordinaires qui arrivent aux données dès qu'une copie existe.

L'alternative n'est pas une promesse, c'est une absence

La sortie n'est pas une meilleure politique de confidentialité. C'est de ne pas faire la copie.

Tout ce qu'un outil de photo d'identité doit faire peut désormais se faire dans un onglet de navigateur. Séparer une personne d'un fond et localiser les yeux, le nez et la bouche sont des tâches pour de petits modèles de vision, et les navigateurs savent les exécuter sur votre propre processeur. Une fois qu'ils tournent en local, le recadrage, la mesure de hauteur du visage et le remplacement du fond sont de l'arithmétique d'image ordinaire. Aucune étape de cette suite n'exige qu'un serveur voie votre visage.

C'est ainsi que fonctionne notre outil, et c'est pourquoi nous pouvons énoncer la promesse simplement plutôt que prudemment : votre photo ne quitte jamais votre appareil. Nous n'affirmons pas traiter votre image de façon responsable. Nous affirmons ne jamais la recevoir, ce qui est une affirmation sans place pour l'interprétation.

Vous n'avez pas à nous croire sur parole, et vous n'y êtes pas obligé. Deux contrôles prennent une minute :

Le panneau réseau. Ouvrez les outils de développement de votre navigateur, allez à l'onglet réseau et laissez-le ouvert. Chargez la page et vous verrez arriver le code de la page puis, une fois, les fichiers des modèles de vision. Choisissez ensuite votre photo et laissez l'outil travailler. Un téléversement n'est pas discret : il apparaît comme une requête sortante à charge volumineuse. Si rien de volumineux ne sort, rien de volumineux n'est sorti.

Le mode avion. Chargez la page et attendez la fin de la préparation. Passez ensuite l'appareil en mode avion et utilisez l'outil quand même. Si la photo est encore mesurée et recadrée réseau coupé, le traitement n'avait jamais lieu ailleurs. Ce test est le plus convaincant des deux, car un site qui se contenterait de différer son envoi ne peut pas le truquer.

Soyez précis sur ce que cela couvre et ne couvre pas

Être honnête sur une promesse de confidentialité, c'est en nommer les bords.

Le traitement sur l'appareil couvre votre photo. Il n'empêche pas une page web d'être une page web. Le HTML, les scripts et les fichiers de modèles sont téléchargés par le réseau comme le reste, et toute mesure d'audience ou publicité présente se comporte comme partout. Si vous voulez voir ce qu'une page contacte, le même panneau réseau vous le montre.

Cela ne supprime pas non plus l'envoi final. La plupart des démarches veulent aujourd'hui un fichier numérique, et vous l'enverrez au service des passeports, au portail des visas ou au service de l'immigration. Ce transfert est le but de l'exercice : l'autorité qui délivre votre titre a besoin de votre photographie et a une base légale pour la conserver. Ce que le traitement en navigateur supprime, c'est la copie supplémentaire inutile, détenue par une entreprise qui n'a aucun rôle dans votre demande, faite seulement pour qu'un rectangle soit coupé à la bonne taille.

Deux bords pratiques comptent. Sur un ordinateur partagé, l'image reste dans la page tant que l'onglet est ouvert : fermez-le quand vous avez fini. Et une photo passée par une messagerie a été recompressée, problème de qualité plutôt que de confidentialité, mais première raison pour laquelle une bonne photo échoue à un contrôle de définition.

La version courte

Posez une seule question à un outil de photo : mon image part-elle sur votre serveur ? Si la réponse est oui, toutes les autres garanties sont des promesses sur la façon dont une copie de votre visage sera gardée par des inconnus. Si la réponse est non, il n'y a rien à promettre, car il n'y a rien.

Quand vous serez prêt, les étapes pratiques de la prise de vue traitent de la lumière, de la distance et des réglages, et les exigences numériques expliquent ce que le portail demandera ensuite. Si votre demande est australienne, où l'avertissement du service des passeports est particulièrement direct, les exigences australiennes exposent ce que le bureau attend.