Trois questions sur le recours à la reconnaissance faciale par les forces de l'ordre

Suivant les pas de la Commission nationale de l'informatique et des libertés (Cnil), le ministère de l'Intérieur a sollicité l'ouverture d'une enquête administrative sur le recours par la police à un logiciel de reconnaissance faciale depuis 2015. L'Usine Digitale revient sur cette affaire. L'occasion également de rappeler le cadre légal applicable au traitement des données biométriques.

1 - Que sait-on sur l'affaire Briefcam ?

C'est le site Disclose, qui se présente comme un média à but non lucratif enquêtant sur des sujets d'intérêt public, qui est à l'origine des révélations. Il a publié une enquête le 14 novembre 2023 à l'occasion de l'ouverture du salon Milipol, l'événement dédié à la sûreté et la sécurité intérieure des États. Il cite des documents internes au ministère de l'Intérieur selon lesquels "les forces de l'ordre utilisent les systèmes de Briefcam depuis 2015". Le logiciel concerné se nomme "Vidéo Synopsis", commercialisé par l'entreprise Briefcam rachetée par Canon, et il permet de "traquer une personne sur un réseau de caméras" en fonction d'un signe distinctif, tel qu'un vêtement. Il est également capable de "suivre un véhicule à l'aide de sa plaque d'immatriculation, examiner plusieurs heures de vidéos en quelques minutes (...) et d'analyser des visages", rapporte Disclose.

Concernant les utilisateurs de ce logiciel, c'est la direction départementale de sécurité publique (DDSP) de Seine-et-Marne qui ouvre le bal en 2015, suivis en 2017 par les services de police du Rhône, du Nord, des Alpes-Maritimes, et de Haute-Garonne, puis le service interministériel d’assistance technique (SIAT), une unité de police en charge des infiltrations, de la mise sur écoute et de la surveillance de la grande criminalité. Ils sont rejoints par les services de la police judiciaire, les préfectures de police de Paris et Marseille, la sûreté publique ainsi que la gendarmerie nationale. "Plus d'une centaine de villes" ont équipé leur police municipale avec le logiciel Briefcam, selon Florian Leibovici, le représentant Europe de Briefcam, avec lequel Disclose a pu échanger. Il a en revanche refusé de dévoiler l'identité exacte de ses clients.

2 - Quel est le cadre légal du recours à la reconnaissance faciale par les forces de l'ordre ?

Ce qui est reproché par Disclose à la police est l'utilisation de Briefcam en dehors de tout cadre légal. L'occasion de rappeler les règles applicables en la matière. Il n'est pas aisé de présenter un cadre clair puisque la législation sur la reconnaissance faciale est constituée par différentes sources et souffre d'une difficulté majeure : l'absence de définition légale. Le choix le plus légitime est donc de se référer à la définition proposée par la Cnil dans son rapport publié en novembre 2018 "Reconnaissance faciale : pour un débat à la hauteur des enjeux". Il s'agit "d'une technique informatique et probabiliste qui permet de reconnaître automatiquement une personne sur la base de son visage, pour l’authentifier ou l’identifier". Elle se fait en deux temps : "la collecte du visage et sa transformation en gabarit, puis la reconnaissance de ce visage par comparaison du gabarit correspondant avec un ou plusieurs autres gabarits".

De plus, et c'est un point particulièrement important, la Cnil distingue la reconnaissance faciale de la vidéo dite "intelligente". Elle cite ainsi "les caméras de vidéoprotection dans les lieux publics ou de vidéosurveillance dans les lieux non ouverts au public permettant de filmer les personnes se situant dans un espace délimité et, notamment leur visage, mais elles ne permettent pas en tant que telles de reconnaître automatiquement des individus". Elle cite également "la simple prise de photographie" qui ne constitue pas "un système de reconnaissance faciale car les photographies des personnes doivent faire l'objet d'un traitement spécifique pour en extraire des données biométriques". Là où se situe la difficulté c'est qu'une même technologie, par exemple une caméra, peut disposer de plusieurs systèmes qui se combinent. En effet, en tant que logiciel, "la reconnaissance faciale (...) peut être mise en oeuvre au sein de systèmes existants (caméras, base de données de photos...)", précise la Cnil dans son rapport.

La reconnaissance faciale n'est pas règlementée en tant que telle. Elle est encadrée sous l'angle du traitement des données biométriques par l'article 9 du Règlement général sur la protection des données (RGPD). Par principe, ce traitement est interdit. Plusieurs exceptions sont prévues : le consentement de la personne, les motifs d'intérêt public important, la protection contre les menaces transfrontalières graves pesant sur la santé, la sauvegarde des intérêts vitaux de la personne, les données ont été manifestement rendues publiques par la personne concernée... En pratique, les personnes souhaitant utiliser un système de reconnaissance faciale n'ont plus besoin de soumettre une autorisation à la Cnil. Elles doivent procéder à une analyse d’impact relative à la protection des données (AIPD).

La reconnaissance faciale est également encadrée par la directive du 27 avril 2016, dite directive "Police-Justice". Elle autorise le traitement de données biométriques pour identifier une personne uniquement "en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée" et lorsqu'il est autorisé par le droit de l'Union ou le droit d'un Etat membre. Ainsi, si le dispositif est utilisé à des fins de sécurité et de prévention, c'est ce texte européen qui s'applique. A cet égard, la Cnil avait précisé dans une série de tweets, publiée à l'occasion d'un test de la reconnaissance faciale par la ville de Nice, que "le consentement des personnes ne peut constituer une base juridique pour le traitement de données relevant de cette directive". "La mise en oeuvre d'un tel dispositif à des fins sécuritaires serait donc soumis, a minima, à l'intervention d'un décret en Conseil d'Etat ou d'une loi", indiquait l'autorité.

3 - Des évolutions législatives sont-elles prévues ?

Le débat de la reconnaissance faciale est souvent relancé à l'occasion d'un grand événement. Les Jeux Olympiques et Paralympiques de Paris 2024 n'ont pas fait exception à ce principe. Ainsi, la loi du 19 mai 2023 prévoit qu'à titre expérimental et jusqu'au 31 mars 2025, les images collectées au moyen de systèmes de vidéoprotection autorisés ou au moyen de caméras installées sur des aéronefs dans les lieux accueillant ces manifestations et à leurs abords ainsi que dans les véhicules et les emprises de transport public et sur les voies les desservant, peuvent faire l'objet de traitements algorithmiques. Interrogée sur France 3 dans l'émission "Dimanche en politique" le 24 septembre, Amélie Oudéa-Castéra, la ministre des sports, a déclaré que l'expérimentation pourrait être prolongée si "elle fait ses preuves".

L'AI Act, le futur texte européen qui vise à encadrer le recours à l'intelligence artificielle, va également encadrer la reconnaissance faciale. Initialement, les eurodéputés avaient décidé de classer la reconnaissance faciale dans les systèmes d'IA "à risque inacceptable", c'est-à-dire considérés comme "une menace pour les personnes" et donc interdits. Les choses seraient doucement en train de changer, d'après des documents consultés par le média Euractiv. Quelques exceptions sont en train de dessiner pour que les forces de l'ordre notamment puissent recourir à cette technologie, tels que "le terrorisme, le trafic d'êtres humains, de drogues et d'armes, l'exploitation sexuelle de mineurs, le meurtre, l'enlèvement, les crimes relevant de la Cour pénale internationale, la prise d'otages et le viol".

Sélectionné pour vous

Une organisation sur deux a déjà écarté une solution IT pour des raisons de souveraineté

Droits d'auteur : Anthropic met fin à un procès en payant 1,5 milliard de dollars

Supply chain, gouvernance, audibilité : Les leçons à tirer du stress test sur la sécurisation de l'IA