Paiements biométriques
Les paiements biométriques confirment un achat par une caractéristique corporelle du payeur au lieu d'un code PIN, mot de passe ou signature. Le contrôle lit une empreinte digitale, un visage, un iris ou les veines d'une paume et les compare au modèle enregistré une fois lors de l'inscription. Si la correspondance suffit, le paiement se poursuit et l'argent circule par les circuits habituels de carte ou de compte bancaire.
Le capteur peut être sur la carte de paiement, dans le smartphone du payeur ou dans un terminal en caisse qui scanne visage, iris ou paume. Des réseaux de cartes, banques et fabricants de terminaux européens ont testé chacun de ces modèles. Le droit européen traite le contrôle biométrique comme un élément d'authentification des paiements et ses données comme une catégorie particulière de données personnelles.
Capteurs d'empreinte sur la carte de paiement
Une carte de paiement biométrique ressemble à une carte à puce ordinaire, avec un petit capteur d'empreinte près de la puce. Le titulaire garde un doigt sur le capteur en approchant ou insérant la carte, qui compare l'empreinte au modèle enregistré avant de libérer le paiement. Thales, fabricant de ces cartes pour les banques, indique que l'empreinte reste dans la puce de la carte, donc ni le commerçant ni la banque ne la voient. Le titulaire l'enregistre chez lui ou en agence, et Thales indique une certification par les grands systèmes EMV comme Mastercard et Visa.
BNP Paribas a ouvert la carte Thales à tous ses clients après un essai, selon Jean-Marie Dragon, responsable paiements et cartes de la banque, lors de sa présentation en juillet 2021. En Suisse, Cornèrcard a lancé une carte de crédit Biometric Gold Visa avec Visa et Gemalto en novembre 2019, dont le titulaire enregistre son empreinte sur le capteur et saisit son PIN au premier paiement.
L'empreinte sur la carte modifie aussi les limites des paiements sans contact. Selon le règlement délégué (UE) 2018/389, une banque peut omettre l'authentification forte au terminal jusqu'à 50 euros par paiement et jusqu'à un cumul de 150 euros ou cinq paiements consécutifs, puis le titulaire doit s'authentifier à nouveau, généralement par PIN. Une carte biométrique vérifie le titulaire à chaque passage, et Thales soutient que sa carte n'a donc pas besoin de plafond.
Visage, iris et paume en caisse
Mastercard a lancé son Biometric Checkout Program le 17 mai 2022, un ensemble de normes pour payer en magasin par scan du visage ou geste de la main. Banques, commerçants et prestataires technologiques suivent des normes minimales de sécurité, performance biométrique et protection des données, et les clients s'inscrivent volontairement dans l'application d'un commerçant ou fournisseur d'identité. Le premier pilote concernait cinq supermarchés St Marche de São Paulo, avec Payface comme partenaire technologique.
L'Europe a suivi en juin 2024, quand Mastercard, l'enseigne polonaise Empik et la fintech PayEye ont ouvert le premier pilote Biometric Checkout en Europe dans cinq magasins Empik. Les clients y paient d'un regard vers un terminal eyePOS combinant reconnaissance de l'iris et du visage. PayEye a aussi signé un accord avec Worldline en juillet 2024, et les clients s'inscrivent dans PayEye Global avec un selfie, associent une carte, puis confirment chaque paiement en regardant le terminal. Le terminal eyePOS 3 accepte aussi NFC, codes QR et cartes ordinaires à la même caisse.
Pour la paume, Handwave, fintech de Riga, a annoncé le 2 septembre 2026 un accord élargi avec Visa associant une carte à la paume par tokenisation. Handwave contrôle géométrie de la paume, veines et présence réelle, désigne les pays baltes comme premier marché et prévoit la mise en production des pilotes bancaires et commerciaux avant fin 2026.
Smartphones, wallets et clés d'accès
Un portefeuille mobile fonctionne déjà par biométrie, demandant l'empreinte ou le visage de l'utilisateur avant de libérer une carte enregistrée dans le portefeuille. L'Autorité bancaire européenne juge ces approches conformes à l'authentification forte lorsqu'elles combinent le téléphone lié à l'application et un élément de connaissance ou d'inhérence.
Pour les achats en ligne, Visa propose Visa Payment Passkey, fondé sur les normes FIDO, qui confirme un paiement par empreinte ou reconnaissance faciale de l'appareil au lieu d'un mot de passe ou code unique. En Ukraine, le service est disponible depuis avril 2025, lancé avec la plateforme de factures GERC dans Click to Pay, et RozetkaPay l'a ajouté en avril 2026. Le standard FIDO utilise une paire de clés dont la clé privée reste sur l'appareil et se déverrouille par biométrie, comme les clés d'accès bancaires.
La biométrie comme facteur d'inhérence selon la DSP2
La DSP2 exige l'authentification forte pour les paiements électroniques et cite l'inhérence, ce que l'utilisateur est, parmi trois catégories avec connaissance et possession. Les normes techniques d'authentification précisent que les appareils et logiciels lisant un élément d'inhérence doivent avoir une très faible probabilité d'accepter un tiers non autorisé comme payeur.
L'Autorité bancaire européenne énumère dans son avis EBA-Op-2019-06 du 21 juin 2019 les méthodes pouvant constituer l'inhérence: empreinte digitale, reconnaissance veineuse, géométrie des mains et du visage, scan rétinien et de l'iris et reconnaissance vocale. L'ABE ajoute que la qualité de mise en œuvre détermine la conformité pratique. Un contrôle biométrique couvre un seul élément, le second devant venir d'une autre catégorie, comme le téléphone lié à l'application bancaire. Exemptions, 3-D Secure et responsabilité relèvent des règles plus larges de l'authentification forte du client, tandis que les habitudes de frappe et de toucher contre la fraude relèvent de la biométrie comportementale.
Données biométriques, RGPD et règlement sur l'IA
Le règlement général sur la protection des données définit les données biométriques comme des données personnelles issues du traitement technique de caractéristiques physiques, physiologiques ou comportementales permettant ou confirmant l'identification unique d'une personne, comme images faciales ou empreintes. L'article 9 interdit leur traitement pour identifier une personne de manière unique sauf exception, et, pour un service de paiement, l'exception généralement adaptée est le consentement explicite du client à une fin précisée. L'inscription au programme Mastercard et à PayEye est volontaire, et un modèle gardé dans la puce de carte, comme chez Thales, ne parvient jamais à la banque ni au magasin.
Le règlement européen sur l'IA distingue deux types de comparaison utilisés dans les paiements. La vérification biométrique compare une personne à son identité déclarée, et l'annexe III du règlement (UE) 2024/1689 l'exclut de la catégorie à haut risque d'identification biométrique à distance. Cette identification compare une personne à une base de référence sans sa participation active, généralement à distance, donc les fournisseurs de terminaux faciaux et palmaires doivent vérifier la définition applicable. Le règlement interdit aussi les systèmes de catégorisation biométrique déduisant race, opinions politiques, convictions religieuses ou orientation sexuelle de données biométriques.
Événements de paiement à venir en Europe
Que sont les paiements biométriques?
Les paiements biométriques sont des paiements par carte, portefeuille ou compte confirmés par empreinte, visage, iris ou paume au lieu d'un PIN ou mot de passe. Le contrôle authentifie seulement le payeur, et les fonds passent toujours par le réseau de cartes ou le compte bancaire sous-jacent.
Comment fonctionne une carte de paiement biométrique?
La carte comporte un capteur d'empreinte et une puce sécurisée contenant le modèle du titulaire. Au terminal, le titulaire garde un doigt sur le capteur en approchant ou insérant la carte, qui n'approuve le paiement que si l'empreinte correspond. Cornèrcard demande le PIN au premier paiement, et l'empreinte de la carte Thales s'enregistre chez soi ou en agence.
Payer par biométrie est-il sûr?
Un numéro de carte copié ou un PIN volé ne suffit pas si le paiement exige aussi l'empreinte ou le visage du payeur. Pour l'inhérence, les règles européennes exigent une très faible probabilité d'accepter une autre personne comme payeur, et un modèle restant sur la carte ou le téléphone n'est pas sur un serveur central. Une empreinte divulguée ne se remplace pas comme un mot de passe, et le RGPD classe les données biométriques d'identification parmi les catégories particulières de données personnelles.
Comment paie-t-on avec la paume?
Le client s'inscrit une fois, associe une carte à sa paume, puis place la main au-dessus du lecteur en caisse. Handwave lit la géométrie palmaire et les veines avec un contrôle de présence réelle et, avec Visa, associe la carte par un jeton, pour que le lecteur utilise une valeur de substitution plutôt que le numéro de carte.
Le RGPD impose-t-il le consentement aux paiements biométriques?
Généralement oui, car l'article 9 du RGPD interdit le traitement des données biométriques pour identifier une personne sauf exception, et le consentement explicite à une fin précisée convient au service de paiement. L'inscription au programme Mastercard est volontaire, et le terminal eyePOS 3 de PayEye accepte toujours les cartes ordinaires des clients n'enregistrant jamais visage ou iris.
Paiements biométriques et Finance Loop
Finance Loop traite les paiements biométriques et l'authentification dans son axe Paiements & monnaie numérique. L'espace Savoir de Finance Loop explique dans sa réponse sur la tokenisation des paiements comment un jeton remplace le numéro de carte, la même étape qui relie une carte à une paume ou un téléphone.
Finance Loop est un réseau professionnel qui favorise l'usage institutionnel des technologies émergentes en finance, comme l'IA, les paiements numériques, le cloud et les solutions blockchain. Finance Loop aide ses membres à développer leurs compétences et leurs réseaux personnels dans ces domaines: Investissement & actifs numériques, Paiements & monnaie numérique, Infrastructure numérique & souveraineté et Risque & conformité.