Proposition de loi relative à la reconnaissance biométrique dans l'espace public

CHAPITRE IV
EXPÉRIMENTATION DE TRAITEMENTS DE DONNÉES BIOMÉTRIQUES EN TEMPS RÉEL POUR LUTTER CONTRE LE TERRORISME ET LA GRANDE CRIMINALITÉ
(Division nouvelle)

Afin d'assurer la clarté du texte, la commission a créé une nouvelle division regroupant deux articles consacrés à l'expérimentation de traitements de données biométriques en temps réel pour lutter contre le terrorisme et la grande criminalité (amendement COM-14 du rapporteur).

Article 5
Recours à des systèmes de reconnaissance biométrique en temps réel,
dans un cadre administratif

L'article 5 permettrait de créer un cadre autorisant le recours ciblé et limité dans le temps à des systèmes de reconnaissance biométrique en temps réel, dans un cadre administratif. De fortes garanties entourent le dispositif, puisqu'il ne pourrait être déployé que sur la base d'une menace préalablement identifiée, à des fins de sécurisation des grands évènements face à un risque terroriste ou des risques d'atteinte grave à la sécurité des personnes, sur un nombre limité de caméras dédiées et distinctes de celles des systèmes de vidéoprotection.

Considérant que l'article souffrait de nombreuses faiblesses, la commission l'a profondément remanié, en inscrivant clairement la procédure prévue dans un système robuste ayant fait ses preuves et en l'assortissant des garanties maximales. C'est ainsi que le recours à ces technologies en temps réel serait réservé aux services de renseignement du premier cercle en charge de la sécurité intérieure, afin de lutter contre le terrorisme. Une autorisation du Premier ministre devrait être obtenue, après avis de la commission nationale de contrôle des techniques de renseignement. Cette dernière serait également chargée de contrôler la mise en oeuvre de ces technologies et bénéficierait d'un accès permanent, complet, direct et immédiat aux informations ou aux documents collectés ainsi qu'aux signalements générés par les traitements.

1. L'article 5 de la proposition de loi : la création d'une possibilité de recours à des traitements de reconnaissance biométriques dans l'espace public en temps réel pour prévenir des attentats ou des atteintes graves aux personnes

Reprenant une recommandation de la mission d'information sur la reconnaissance biométrique dans l'espace public conduite par les sénateurs Marc-Philippe Daubresse, Arnaud de Belenet et Jérôme Durain, l'article 5 de la proposition de loi ouvre une faculté d'utilisation de la reconnaissance biométrique sur la voie publique en temps réel dans un cadre administratif. Les rapporteurs de la mission d'information envisageaient le déploiement de ce type de dispositif à titre d'exception, « en vue de sécuriser de grands évènements présentant une sensibilité particulière ou les sites particulièrement sensibles^52(*). Ces déploiements auraient pour objectif de détecter des personnes d'intérêt afin soit de les écarter si elles font l'objet d'une interdiction de paraître dans le périmètre concerné, soit d'enclencher un dispositif de vigilance si leur présence dans le lieu constitue un motif d'inquiétude »^53(*).

Les auteurs de la proposition de loi se sont inspirés pour la rédaction de l'article 5 des dispositifs mis en oeuvre au Royaume-Uni par les polices du Pays de Galles et de Londres, où des traitements de données biométriques sont utilisés pour détecter des personnes d'intérêt sur un périmètre géographique limité et pour une période précisément déterminée.

Ainsi, cet article propose de permettre le déploiement, à titre expérimental, de traitements de données biométriques en temps réel dans l'espace public. Il entoure cette possibilité de nombreuses garanties :

- les finalités seraient précisément définies : il s'agirait d'assurer la sécurité de grands évènements sportifs, récréatifs et culturels qui, par leur ampleur ou les circonstances de leur déroulement, sont particulièrement exposés à des risques d'actes de terrorisme ou à des risques d'atteintes graves à la sécurité des personnes ;

- les personnes qu'il s'agirait d'identifier devraient être « limitativement et préalablement énumérés » et faire peser une « menace grave et immédiate sur l'ordre public » ;

- ces traitements devraient être déployés sur des images issues de caméras mobiles distinctes de celles des systèmes de vidéoprotection, et ce afin de matérialiser le caractère limité du déploiement du dispositif et de garantir la confidentialité de la liste des personnes recherchées, qui ne serait pas transmise aux opérateurs de vidéoprotection. Les personnes pouvant être recherchées dans ce cadre devraient être intégrées au cas par cas pour chaque déploiement, sur la base de la probabilité qu'elles se trouvent sur le lieu concerné ;

- le périmètre géographique du déploiement du traitement serait également précisément défini, puisqu'il s'agirait des lieux accueillant les évènements concernés par la menace, de leurs abords, ou sur les voies ou véhicules de transports publics les desservant.

Le public devrait être informé de l'emploi de ce type de traitements, sauf lorsque les circonstances l'interdiraient ou que l'information entrerait en contradiction avec les objectifs poursuivis. Une information générale du public sur l'emploi de ces traitements devrait être réalisée par le ministère de l'intérieur.

L'article définit ensuite la procédure d'autorisation de déploiement de ces traitements : il réserverait cette possibilité aux officiers de police judicaire, sur autorisation du préfet, sur la base d'une demande précisant le service responsable des opérations, le ou les motifs de mise en oeuvre du traitement, la liste des personnes recherchées, les modalités d'établissement de cette liste ainsi que la justification de la menace pour l'ordre public que les personnes représentent, la justification de la nécessité de recourir au dispositif, permettant notamment d'apprécier la proportionnalité de son usage au regard de la finalité poursuivie, le périmètre géographique concerné, la durée souhaitée de l'autorisation et, le cas échéant, les modalités d'information du public.

La décision d'autorisation devrait être délivrée par le préfet, et préciser :

- le responsable du traitement et les services associés à sa mise en oeuvre ;

- la manifestation sportive, récréative ou culturelle concernée et les motifs de la mise en oeuvre du traitement ;

- le périmètre géographique concerné par la mise en oeuvre du traitement, qui ne pourrait inclure les abords des lieux de culte ou l'itinéraire d'une manifestation déclarée ;

- les modalités d'information du public, notamment sur ses droits ou, lorsque cette information entre en contradiction avec les finalités poursuivies, les motifs pour lesquels le responsable du traitement en est dispensé ;

- la durée d'autorisation, qui ne pourrait excéder quarante-huit heures, renouvelable selon les mêmes modalités lorsque les conditions de sa délivrance continuent d'être réunies.

En sus de cette demande et de cette autorisation très détaillées, l'article prévoit une garantie supplémentaire permettant de limiter le périmètre géographique du traitement : le nombre maximal de caméras sur lesquels pourraient être mis en oeuvre ces traitements de manière simultanée serait fixé par département, par arrêté du ministre de l'intérieur.

Enfin, l'article prévoit un régime de traçabilité des signalements et de redevabilité des services mettant en oeuvre le traitement au préfet et du préfet à la CNIL.

2. La position de la commission : un dispositif intéressant qu'il convient d'inscrire clairement dans un cadre administratif en l'assortissant de garanties maximales

La commission est favorable à l'introduction d'un dispositif de d'identification biométrique dans l'espace public en temps réel dans un cadre administratif de manière exceptionnelle car, bien que consciente qu'il s'agit du cas d'usage soulevant le plus d'interrogations, il s'agit du cas potentiellement le plus utile pour sécuriser un grand évènement face à un risque grave et imminent d'attentat.

Elle a cependant considéré que l'article 5, tel que rédigé par les auteurs de la proposition de loi, souffrait de plusieurs faiblesses :

- en premier lieu, l'article n'inscrit pas clairement le dispositif dans un cadre administratif puisqu'il réserve son utilisation aux officiers de police judiciaire ;

- en deuxième lieu, il attribue un pouvoir étendu d'autorisation aux préfets, qui seront cependant démunis pour apprécier la pertinence de recours à ces technologies faute de disposer des éléments suffisants pour évaluer eux-mêmes la situation. Par ailleurs, certains services de renseignement pourraient être réticents à leur transmettre la liste des personnes qu'ils veulent suivre. De même, l'information prévue du public irait nécessairement à l'encontre des objectifs poursuivis, dès lors que l'usage de ce type de traitement serait réservé aux cas les plus graves ;

- ce d'autant plus qu'en troisième lieu, les décisions des préfets sont soumises au contrôle des tribunaux administratifs, devant lesquels le principe du contradictoire doit être entièrement respecté - et ce alors que l'action des services de renseignement relève habituellement du contrôle d'une formation spécifique du Conseil d'État, habilité au secret de la défense nationale.

La commission a en conséquence, par l'adoption de l'amendement COM-15 du rapporteur, profondément remanié l'article 5, en inscrivant clairement la procédure prévue dans un cadre administratif et en l'assortissant des garanties maximales.

Pour ce faire, la commission a d'abord réservé l'utilisation de la reconnaissance biométrique en temps réel dans l'espace public en matière administrative aux services de renseignement du premier cercle en charge de la sécurité intérieure, à la seule fin d'assurer la prévention du terrorisme.

Elle a également choisi d'appliquer à cette utilisation le régime robuste éprouvé depuis maintenant huit ans d'autorisation du Premier ministre après avis de la commission nationale de contrôle des techniques de renseignement (CNCTR), permettant que le déploiement de ces technologies soit placé en permanence sous le contrôle de la CNCTR et du Conseil d'État.

La commission a également précisé que le déploiement de ces technologies devait être strictement subsidiaire, l'autorisation ne pouvant être accordée que si le service ne peut employer d'autres moyens moins intrusifs ou que l'utilisation de ces autres moyens serait susceptible d'entraîner des menaces graves pour l'intégrité des agents.

Ainsi, le déploiement de ces traitements devrait faire l'objet d'une autorisation du Premier ministre pris après avis de la CNCTR. Le recours à cette technique ne pourrait être autorisé que pour une durée de 48 heures, renouvelable dans les mêmes conditions de durée s'il est établi que le recours à ces traitements demeure le seul moyen d'atteindre la finalité poursuivie.

Un nombre maximal d'autorisations pouvant être en vigueur simultanément serait défini par le Premier ministre, après avis de la CNCTR.

Le champ géographique du déploiement n'a pas été modifié par la commission, de même que le recours à des caméras distinctes de celles des systèmes de vidéoprotection, ce qui constitue deux garanties complémentaires importantes.

Par l'adoption du même amendement COM-15 du rapporteur, la commission a également précisé que les traitements utilisés devraient répondre aux exigences prévues par l'article 1^er ter de la proposition de loi.

La commission a adopté l'article 5 ainsi modifié.

Article 6
Expérimentation de logiciels de reconnaissance biométrique en temps réel dans le cadre d'enquêtes judiciaires

L'article 6 propose d'autoriser l'utilisation, à titre expérimental, de traitements de reconnaissance biométriques en temps réel dans le cadre de certaines enquêtes judiciaires. Compte tenu des risques élevés induits par l'usage en temps réel de cette technologie pour les libertés publiques, la commission l'a adopté mais limité aux enquêtes portant sur des infractions limitées et d'une extrême gravité : les actes de terrorisme, les atteintes aux intérêts fondamentaux de la nation, les crimes et délits relatifs à la grande criminalité organisée et les disparitions de personnes mineures. Elle l'a également assorti d'un niveau maximal de garantie, en particulier en réservant son usage aux officiers de police judiciaire et en confiant au seul juge des libertés et de la détention le soin de procéder au renouvellement des autorisations d'utilisation accordées.

1. L'article 6 de la proposition de loi : l'expérimentation de logiciels de reconnaissance biométrique en temps réel pour certaines enquêtes judiciaires

Dans un rapport d'information de mai 2022, Marc-Philippe Daubresse, Arnaud de Belenet et Jérôme Durain^54(*), ont ouvert la voie à une expérimentation de l'usage de traitements d'identification biométrique en temps réel dans l'espace public. Ils ont notamment relevé le bénéfice que pouvait apporter cette technologie pour certaines enquêtes déterminées, tout en insistant sur les risques associés pour l'exercice des libertés publiques et la nécessité d'accompagner son utilisation d'un haut niveau de garanties. Ils relevaient ainsi que « le déploiement de tels dispositifs pourrait permettre, d'une part, le suivi d'une personne venant de commettre une infraction grave en temps réel sur la base de ses données biométriques à partir des images issues de la vidéoprotection afin d'en faciliter l'interpellation et, d'autre part, la recherche dans un périmètre géographique et temporel limité, des auteurs d'infractions graves recherchés par la justice ou des personnes victimes d'une disparition inquiétante ».

L'article 6 de la proposition de loi est la traduction législative de cette recommandation. Il autorise, à titre expérimental, le recours à des traitements de reconnaissance biométrique en temps réel par des officiers ou des agents de police judiciaire, sous le contrôle d'un magistrat, dans des situations limitativement énumérées. Il s'agit des cas où une telle opération est exigée par les nécessités :

- d'une enquête ou d'une instruction portant sur un acte de terrorisme, des faits de trafic d'armes ou d'explosifs, ou relative à une atteinte à l'intégrité des personnes punies d'au moins trois ans d'emprisonnement ;

- d'une procédure d'enquête ou d'instruction de recherche d'une personne en fuite ou des causes de la mort ou de la disparition.

Les auteurs de la proposition de loi ont assorti cette expérimentation d'un nombre significatif de garanties tenant tout d'abord à l'origine des données exploitées. Il est prévu que les images utilisées soient collectées « au moyen de caméras dédiées et distinctes de celles des systèmes de vidéoprotection ». Une garantie significative tient également au fait que la reconnaissance faciale ne pourrait être utilisée qu'aux fins d'identifier « des personnes limitativement et préalablement énumérées », ce qui interdit explicitement toute identification « à la volée » des personnes apparaissant sur les images collectées.

L'utilisation des logiciels de reconnaissance biométrique est ensuite soumise à un strict régime d'autorisation. Celle-ci serait accordée, selon les cas, par le procureur de la République chargé du dossier pour une durée maximale de 24 heures, ou, dans le cas de procédures d'instruction ou d'information pour recherche des causes de la mort ou de la disparition, par le juge d'instruction chargé du dossier pour une durée maximale de 48 heures. Dans les deux cas, la décision d'autorisation devrait mentionner « tous les éléments permettant d'identifier les lieux et les personnes concernées », ainsi que la durée de l'autorisation. Son renouvellement supposerait une décision expresse et motivée. Cette décision, qui n'aurait pas de caractère juridictionnel, serait par ailleurs versée au dossier de la procédure.

Ces traitements seraient également mis en oeuvre sous l'autorité et le contrôle du magistrat qui les a autorisés, lequel pourrait ordonner à tout moment leur interruption. Les correspondances éventuellement signalées entre la personne recherchée et une personne présente sur les images ne pourraient fonder, en elles-mêmes, aucune décision individuelle ni poursuites automatisées. Les signalements seraient ainsi systématiquement suivis d'un contrôle humain par des agents qualifiés et habilités de la police et de la gendarmerie nationales.

L'utilisation de ces traitements serait ensuite indissociable de « l'existence et de la robustesse d'un système de contrôle humain » ainsi que de la mise en place d'un système de gestion des risques visant notamment à détecter ou corriger les éventuels biais de l'algorithme.

La traçabilité des opérations effectuées serait quant à elle assurée par la rédaction d'un procès-verbal^55(*) mentionnant les signalements générés et les suites leur ayant été apportées, ainsi que la date et l'heure du début et de la fin des opérations. Par ailleurs, les enregistrements seraient placés sous scellés fermés, tandis qu'un second procès-verbal, versé au dossier, décrirait les données utiles à la manifestation de la vérité. La conservation de séquences relatives à la vie privée étrangères au dossier est par ailleurs explicitement prohibée.

Les données collectées seraient effacées à la clôture de l'enquête et, en tout état de cause, à l'issue d'une période de trois ans. Par exception, elles seraient concernées 20 ans pour les procédures de recherche des causes de la disparition n'ayant pas abouti. Les opérations de destruction correspondantes feraient l'objet d'un procès-verbal.

S'agissant du fonctionnement du traitement, il est prévu que celui-ci ne puisse signaler la probabilité d'une correspondance qu'une fois les opérations de rapprochement achevées.

Enfin, ces traitements devraient être autorisés par décret en Conseil d'État pris après avis de la CNIL.

2. La position de la commission : réserver l'expérimentation aux infractions d'une extrême gravité et prévoir un niveau maximal de garanties

Alors que le Gouvernement a officiellement fermé la porte à toute expérimentation de l'usage de la reconnaissance faciale dans l'immédiat, en particulier s'agissant des usages en temps réel, la commission a estimé qu'il était utile d'ouvrir ce débat.

Le progrès technologique est par nature ambivalent et ne pas légiférer exposerait au risque de subir le développement anarchique d'une technologie dont les bénéfices potentiels sont réels, à la condition que son usage soit rigoureusement encadré. Comme le mentionnaient les députés Philippe Gosselin et Philippe Latombe dans un rapport d'information d'avril 2023^56(*), « la création d'un cadre juridique qui autorise la reconnaissance faciale apparaît [d'une part] indispensable afin de ne pas se priver d'un outil essentiel pour améliorer la sécurité de nos concitoyens » ledit cadre doit, d'autre part, « comporter des garanties juridiques solides pour tenir compte des fortes réticences exprimées par une partie de la société ».

La commission a donc souscrit à la démarche des auteurs de la proposition de loi, tout en s'attachant, par l'adoption d'un amendement COM-16 du rapporteur, à combler les angles morts de l'article 6 et à renforcer encore davantage les garanties proposées^57(*).

La commission a tout d'abord limité le champ de l'expérimentation de traitements d'identification biométriques en temps réel dans un cadre judiciaire aux enquêtes et instructions portant sur des faits d'une extrême gravité. Suivant les préconisations formulées par les députés Philippe Gosselin et Philippe Latombe dans leur rapport précité, elle n'a ainsi autorisé le recours à ces dispositifs que dans le cadre des investigations relatives :

- à des actes de terrorisme ;

- à des atteintes aux intérêts fondamentaux de la nation ;

- à des infractions relatives à la grande criminalité organisée et relevant de la compétence de la juridiction nationale chargée de la lutte contre la criminalité organisée ;

- à la disparition d'une personne mineure.

La commission n'a en revanche pas retenu la proposition selon laquelle l'autorisation d'utiliser ces traitements biométriques devrait être requise par un magistrat du parquet et accordée par un magistrat du siège. Alors que les enquêtes et instruction visées sont caractérisées par des degrés élevés d'urgence, ce dispositif aurait en effet pu porter amoindrir l'opérationnalité du dispositif. Cet impératif de célérité disparaissant une fois le dispositif déployé, la commission a en revanche considéré qu'il revenait au seul juge des libertés et de la détention de se prononcer sur un éventuel renouvellement de l'autorisation initiale.

La commission a également clarifié les finalités du dispositif en alignant celles-ci sur les autres cas d'usage expérimentés, à savoir le rassemblement des preuves des infractions et l'identification de leurs auteurs ou la recherche d'une personne mineure disparue. La mise en oeuvre de ces traitements biométriques a également été conditionnée à l'application d'un strict principe de subsidiarité. Enfin, la commission a limité le champ des utilisateurs de ces traitements de reconnaissance biométriques aux seuls officiers de police judiciaire.

La commission a adopté l'article 6 ainsi modifié.

Article 7 (supprimé)
Mise en place d'un régime parlementaire de contrôle renforcé

L'article 7 prévoyait la mise en place d'un régime de contrôle renforcé par le Parlement : un rapport annuel devait lui être remis par le Gouvernement, l'Assemblée nationale et le Sénat devaient être informés en temps réel des mesures prises dans un cadre administratif, et le Parlement devait pouvoir requérir toute information complémentaire du Gouvernement dans le cadre de l'évaluation de ces mesures.

Par coordination avec l'intégration du contenu de cet article dans le nouvel article 1^er bis de la proposition de loi, la commission a supprimé cet article par l'adoption de l'amendement COM-17 du rapporteur.

La commission a supprimé l'article 7.

Article 8 (supprimé)
Définition du cadre de l'expérimentation

L'article 8 prévoyait que les mesures définies aux articles 2 à 6 soient prises à titre expérimental, pour une durée de 3 ans à compter de la promulgation de la loi. Il prévoyait également qu'un comité scientifique et éthique serait chargé d'évaluer régulièrement l'application de ces mesures et ses rapports, rendus publics, seraient transmis au Parlement. Enfin, un rapport final d'évaluation devait être réalisé par le Gouvernement, appréciant l'application des mesures prévues par la proposition de loi et l'opportunité de les pérenniser ou de les modifier, notamment au vu de l'évolution du droit de l'Union européenne en la matière

Par coordination avec l'intégration du contenu de cet article dans le nouvel article 1^er bis de la proposition de loi, la commission a supprimé cet article par l'adoption de l'amendement COM-18 du rapporteur.

La commission a supprimé l'article 8.

---

* ⁵² Plusieurs acteurs demandent un déploiement plus conséquent des dispositifs de reconnaissance faciale en temps réel dans l'espace public, par exemple en les reliant directement aux dispositifs de vidéoprotection ou encore en les déployant dans d'autres contextes, comme en matière sportive aux abords des stades afin de contribuer à la lutte contre les violences dans le sport et d'améliorer les conditions de sécurité dans les enceintes sportives. Les rapporteurs considèrent cependant qu'un tel déploiement serait à la fois prématuré et disproportionné.

* ⁵³ La reconnaissance biométrique dans l'espace public : 30 propositions pour écarter le risque d'une société de surveillance, rapport d'information n° 627 (2021-2022) de Marc-Philippe Daubresse, Arnaud de Belenet et Jérôme Durain, déposé le 10 mai 2022. Ce rapport est consultable à l'adresse suivante : https://www.senat.fr/notice-rapport/2021/r21-627-notice.html.

* ⁵⁴ La reconnaissance biométrique dans l'espace public : 30 propositions pour écarter le risque d'une société de surveillance, rapport d'information n° 627 (2021-2022) de Marc Philippe Daubresse, Arnaud de Belenet et Jérôme Durain, déposé le 10 mai 2022. Ce rapport est consultable à l'adresse suivante : https://www.senat.fr/notice-rapport/2021/r21-627-notice.html.

* ⁵⁵ Par « le procureur de la République, le juge d'instruction ou l'officier de police judiciaire commis par lui ou requis par le procureur de la République, ou l'agent de police judiciaire agissant sous sa responsabilité ».

* ⁵⁶ Les enjeux de l'utilisation d'images de sécurité dans le domaine public dans une finalité de lutte contre l'insécurité, Assemblée nationale, rapport d'information n° 1089 (2022-2023) de Philippe Gosselin et Philippe Latombe, déposé le 12 avril 2023. Ce rapport est consultable à l'adresse suivante :

https://www.assemblee-nationale.fr/dyn/16/rapports/cion_lois/l16b1089_rapport-information#_Toc256000052

* ⁵⁷ La commission ayant fait le choix d'appliquer un certain nombre de garanties à l'ensemble des traitements expérimentés, les dispositions prévoyant que l'identité des personnes ne peut apparaître qu'à l'issue des opérations de rapprochement, l'existence d'un système de contrôle humain et de gestion des risques, l'impossibilité de fonder une décision individuelle sur le seul signalement d'une correspondance ou le recours à un décret en Conseil d'État pris après avis de la CNIL pour autoriser les traitements ont été transférées à l'article 1^er ter de la proposition de loi (voir commentaire) mais demeurent applicables aux traitements régis par l'article 6.