II. RECENTRER LE DÉBAT DU CADRE JURIDIQUE SUR LES CAS D'USAGE
On l'a vu, les cas d'usage de la reconnaissance faciale sont multiples et potentiellement illimités. Dans ce contexte, un raisonnement cas d'usage par cas d'usage s'impose , prenant en considération les finalités poursuivies par chacun d'entre eux. Plusieurs distinctions doivent ainsi être opérées, les risques pour les libertés étant dans une large mesure conditionnées par celles-ci.
Il convient avant tout d'aborder l'application de l'intelligence artificielle aux images sans utilisation de données biométriques . Une distinction doit ensuite être réalisée, au sein des technologies recourant aux données biométriques, entre authentification et identification . Au sein de ces ensembles, et comme le souligne le professeur Caroline Lequesne-Roth, maître de conférences à l'Université Côte d'Azur, la différence de risque pour les libertés fondamentales se caractérise en termes de degré : une opération d'identification comporte un risque accru par rapport à une opération d'authentification, car la première implique la collecte et le traitement d'un très grand volume de données biométriques, dont certaines appartenant à des personnes n'étant pas concernées par les finalités du traitement. L'authentification permet quant à elle une correspondance ciblée entre les gabarits de personnes s'étant préalablement enregistrées dans le système.
Enfin, il convient d'aborder la différence entre usage public et usage privé, où la nature des risques diverge entre ceux que présente une surveillance publique et ceux qu'implique une surveillance privée.
A. DISTINGUER TECHNOLOGIES DE RECONNAISSANCE BIOMÉTRIQUE ET TECHNOLOGIES CONNEXES
La vidéoprotection , autorisée par les dispositions législatives et règlementaires du code de la sécurité intérieure, doit être distinguée de la vidéoprotection dite « intelligente », dans laquelle les images sont traitées par des logiciels d'intelligence artificielle. Il convient cependant, au sein de cette seconde catégorie, de ne pas confondre la reconnaissance biométrique de personnes, à partir des caractéristiques de son visage par exemple, des autres techniques de traitements des images par intelligence artificielle n'utilisant pas de données biométriques.
Les dispositifs de traitement des images sans utilisation de données biométriques se multiplient . Il peut s'agir de dispositifs de suivi ou de traçage, de détection d'évènements suspects ou d'objets abandonnés, ou de caractérisation de personnes filmées.
Ces nouvelles technologies offrent des perspectives opérationnelles regardées de près par les forces de sécurité, qui estiment que, en matière de sécurité, le traitement automatisé des images issues des systèmes de vidéoprotection permettrait de gagner un temps conséquent en autorisant les enquêteurs à se concentrer sur les séquences d'intérêt .
Dans la perspective des Jeux Olympiques de 2024 par exemple, où les tensions en matière de sécurité et de gestion de flux seront accrues, les forces de sécurité intérieure estimeraient utiles de pouvoir, à partir des images issues des systèmes de vidéoprotection :
- détecter des matériaux dangereux, interdits ou atypiques nécessitant une levée de doute sur leur nature et leur dangerosité ;
- détecter les changements de rythme ou de direction d'une foule, d'un groupe ou d'un individu au sein d'une foule, ou d'un véhicule ou d'un type de véhicule au sein d'une circulation ;
- mesurer les flux et la densité de personnes et de véhicules pour assurer le respect de la règlementation en matière de sécurité publique, civile ou sanitaire ;
- détecter certaines caractéristiques des personnes, comme par exemple le port de dispositifs occultant le visage d'un individu ou d'un groupe d'individus au sein d'une foule, pour permettre le suivi des personnes considérées comme de potentielles menaces 138 ( * ) .
Dans cette même perspective, la SNCF et la RATP souhaiteraient pouvoir mettre en place des systèmes permettant d'une part d'améliorer la sécurité des biens et des personnes, par exemple en détectant des comportements ou mouvements de foule anormaux, la présence d'objets délaissés potentiellement dangereux de personnes sur les voies, d'obstacles devant un bus ou de personne dans un angle mort et, d'autre part, d'améliorer la gestion des flux et la qualité de service des usages en mesurant l'affluence à bord des trains, en analysant les flux de voyageurs en gare, et en transmettant ces informations en temps réel aux voyageurs.
À ce jour cependant, ni l'utilisation des techniques de reconnaissance biométrique ni celle des autres techniques de traitement des images ne sont prévues par la législation .
D'aucuns considèrent que les techniques de traitement des images ne concernant pas des données biométriques permettant l'authentification ou l'identification des personnes peuvent être déployées à cadre législatif constant , dès lors que ces traitements s'inscrivent dans les mêmes finalités que celles attribuées aux systèmes de vidéoprotection.
L'article L. 252-1 du code de la sécurité intérieure prévoit en effet que l'installation des systèmes de vidéoprotection est subordonnée à une autorisation du préfet du département, et que « les systèmes installés sur la voie publique ou dans des lieux ouverts au public dont les enregistrements sont utilisés dans des traitements automatisés [...] » sont autorisés par la CNIL. Dans une décision du 27 juin 2016, le Conseil d'État a ainsi procédé à une appréciation de la compatibilité entre la finalité de vidéoprotection et un traitement ultérieur réalisé à partir des images de vidéoprotection pour juger si le traitement proposé devait être autorisé 139 ( * ) .
Les finalités des systèmes de vidéoprotection
Les systèmes de vidéoprotection , visés par l'article L. 251-2 du code de la sécurité intérieure, filment la voie publique et les lieux et établissements ouverts au public. Ils se distinguent des dispositifs de vidéosurveillance qui filment des lieux privés ou des lieux de travail non ouverts au public (locaux d'entreprises, de commerces, d'hôtels réservés aux salariés, etc .).
Les dispositifs de vidéoprotection poursuivent des finalités limitativement énumérées. Pour les dispositifs mis en oeuvre sur la voie publique , qui ne peuvent être opérés que par les autorités publiques compétentes, il s'agit de :
1° la protection des bâtiments et installations publics et de leurs abords ;
2° la sauvegarde des installations utiles à la défense nationale ;
3° la régulation des flux de transport ;
4° la constatation des infractions aux règles de la circulation ;
5° la prévention des atteintes à la sécurité des personnes et des biens dans des lieux particulièrement exposés à des risques d'agression, de vol ou de trafic de stupéfiants ;
6° la prévention d'actes de terrorisme ;
7° la prévention des risques naturels ou technologiques ;
8° le secours aux personnes et la défense contre l'incendie ;
9° la sécurité des installations accueillant du public dans les parcs d'attraction ;
10° le respect de l'obligation d'être couvert, pour faire circuler un véhicule terrestre à moteur, par une assurance garantissant la responsabilité civile ;
11° la prévention et la constatation des infractions relatives à l'abandon d'ordures, de déchets, de matériaux ou d'autres objets.
S'agissant des systèmes mis en place dans des lieux et établissements ouverts au public , ils ne peuvent avoir pour finalité que d'y assurer la sécurité des personnes et des biens lorsque ces lieux et établissements sont particulièrement exposés à des risques d'agression ou de vol.
Les commerçants peuvent enfin mettre en oeuvre sur la voie publique, après information du maire et des autorités publiques compétentes, un système de vidéoprotection aux fins d'assurer la protection des abords immédiats de leurs bâtiments et installations, dans les lieux particulièrement exposés à des risques d'agression ou de vol, dans les conditions définies par un décret en Conseil d'État.
L'installation d'un système de vidéoprotection est subordonnée à une autorisation du représentant de l'État dans le département et, à Paris, du préfet de police. Cette autorisation est donnée, sauf en matière de défense nationale, après avis de la commission départementale de vidéoprotection 140 ( * ) .
Source : Commission des lois du Sénat
Selon les informations recueillies par les rapporteurs au cours de leurs auditions, le Conseil d'État aurait cependant, dans un avis rendu le 12 octobre 2021, non publié, estimé que les traitements des images issues de la vidéoprotection par le biais d'un logiciel d'intelligence artificielle constituent des traitements de données personnelles distincts de ceux des images issus de la vidéoprotection et que ceux-ci, compte tenu du changement d'échelle qu'ils impliquent dans la capacité d'exploitation des images de surveillance de la voie publique , sont susceptibles de porter une atteinte telle à la liberté individuelle qu'elle affecterait les garanties fondamentales apportées aux citoyens pour l'exercice des libertés publiques au sens de l'article 34 de la Constitution du 4 octobre 1958. Le Conseil d'État en déduit qu'une base législative explicite est nécessaire pour encadrer le recours à l'intelligence artificielle sur des images issues de l'espace public, y compris sans utilisation de données biométriques .
Si ces dispositifs sont, pour certaines finalités, moins fiables que les logiciels utilisant des données biométriques, ils permettent cependant de limiter par rapport à ces derniers les impacts sur les libertés individuelles et la vie privée ainsi que le sentiment de surveillance. Les rapporteurs considèrent donc qu'ils doivent être déployés en priorité pour répondre aux enjeux de sécurité car ils peuvent, dans un grand nombre de cas, constituer une réponse satisfaisante et suffisante.
Les rapporteurs estiment en conséquence légitime d'établir, à titre expérimental, une base législative qui permettrait aux opérateurs de dispositifs de vidéoprotection sur la voie publique ou dans des espaces ouverts au public et aux personnes publiques destinataires des images en étant issues de mettre en oeuvre des traitements d'images par intelligence artificielle, sans traitement de données biométriques, pour l'exercice de leurs missions et dans la limite des finalités accordées au dispositif de vidéoprotection concerné 141 ( * ) .
Cette base législative permettrait ainsi, par exemple :
- aux forces de sécurité intérieure de détecter des comportements anormaux sur la voie publique ou d'effectuer le suivi d'une personne sur la voie publique, en temps réel ou a posteriori , à partir d'éléments non biométriques comme son habillement par exemple ;
- aux collectivités territoriales d'utiliser l'intelligence artificielle pour les assister dans leurs missions. Deux exemples peuvent plus particulièrement être évoqués. Dans le cadre de leurs pouvoirs de police, les communes pourraient souhaiter détecter à l'aide de l'intelligence artificielle les dépôts sauvages d'ordures. Les autorités organisatrices de la mobilité, quant à elles, pourraient bénéficier de l'intelligence artificielle pour mettre en place des systèmes d'aide à la conduite, en détectant les obstacles devant un véhicule de transport public ou les personnes présentes dans un angle mort ;
- aux acteurs privés de détecter les incidents (incivilités, fraude, délinquance) afin d'améliorer leur gestion des agressions ou des vols dans des lieux et établissements ouverts au public ou dans les abords immédiats de bâtiments et d'installations particulièrement exposés à ces risques.
Pour ce faire, la base législative des traitements d'images de vidéoprotection à partir d'un logiciel d'intelligence artificielle n'utilisant pas de données biométriques pourrait être adossée aux dispositions législatives régissant la vidéoprotection . La mise en oeuvre de ces traitements ne serait possible que s'ils s'inscrivent dans les mêmes finalités que celles attribuées au système de vidéoprotection mis en place, après consultation de la CNIL dans le cas où le traitement a pour finalité la prévention ou la détection des infractions pénales . L'autorisation préfectorale des systèmes de vidéoprotection devrait être modifiée pour intégrer cette nouvelle fonctionnalité et l'information du public assurée .
Seraient ainsi vérifiées la proportionnalité du traitement mis en place et l'intérêt légitime du responsable du traitement, la conformité des finalités envisagées aux finalités du dispositif de vidéoprotection, l'adéquation des données collectées, ainsi que les modalités d'exercice des droits d'accès et de rectification des personnes concernées.
Ainsi, certains usages comme ceux visant à classifier les personnes ou à détecter leurs émotions ou leurs humeurs afin d'afficher des publicités ciblées par exemple, qui ne s'inscrivent pas dans les finalités attribuées aux systèmes de vidéoprotection et ne se rattachent pas à un « intérêt légitime » au sens du RGPD, ne pourraient pas être mis en oeuvre sans le consentement des personnes concernées.
Proposition n° 14 : Autoriser, à titre expérimental, l'usage de traitements d'images issues des espaces accessibles au public à l'aide de l'intelligence artificielle sans utilisation de données biométriques dans le cadre des finalités attribuées au dispositif de vidéoprotection déployé, après autorisation du préfet territorialement compétent et consultation, le cas échéant, de la CNIL. Assurer l'information du public.
Il pourrait également être envisagé de permettre, sur la base de lignes directrices établies par la CNIL quant à l'évaluation de leur proportionnalité et leur nécessité, le déploiement de caméras couplé à des logiciels d'intelligence artificielle à des fins de traitement statistiques d'un groupe de personnes . Ce type de dispositif, qui ne produit que des informations agrégées ou des décisions concernant un ensemble de personnes, est moins intrusif et engendre des risques moindres que ceux ayant pour objet ou pour effet une prise de décision ou des conséquences au niveau individuel.
Deux cas doivent être distingués :
- si la finalité poursuivie est la production d'indicateurs et qu'il existe en conséquence un délai entre la captation des données par le dispositif permettant la production de résultats statistiques et leur exploitation par le responsable de traitement , alors le traitement entre dans le champ des traitements de données à des fins statistiques au sens du RGPD et de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés . Il est en conséquence possible d'écarter le droit d'opposition des personnes concernées par le traitement. Leur utilisation dans l'espace public devrait cependant faire l'objet d'une règlementation particulière ;
- si ces traitements sont utilisés à l'appui d'une décision qui concerne le même groupe de personnes que celui dont les données ont été exploitées, alors ils ne sont pas considérés comme étant réalisés à des fins statistiques au sens de la loi « Informatique et Libertés », et ne peuvent en conséquence actuellement pas fonder une exclusion du droit d'opposition des personnes. Les rapporteurs considèrent que ces traitements pourraient être autorisés lorsqu'ils sont réalisés par des personnes publiques ou des personnes privées concourant à des missions de service public dans le cadre de leurs missions, et que le droit d'opposition des personnes pourrait être écarté dans ce cadre dans la mesure où son exercice risquerait « de rendre impossible ou d'entraver sérieusement la réalisation des finalités spécifiques et où de telles dérogations sont nécessaires pour atteindre ces finalités » 142 ( * ) .
Proposition n° 15 : Prévoir les conditions dans lesquelles le droit d'opposition des personnes concernées peut être écarté lors du déploiement de dispositifs de traitements d'images provenant d'espaces accessibles au public n'impliquant pas des données sensibles à des fins de traitement statistique d'un groupe de personnes.
* 138 Des blackblocs par exemple.
* 139 Conseil d'État, 10 ème et 9 ème chambres réunies, 27/06/2016, n° 385091. La décision est consultable à l'adresse suivante : https://www.legifrance.gouv.fr/ceta/id/CÉTATEXT000032790103 .
* 140 Article L. 252-1 du code de la sécurité intérieure.
* 141 Écartant ce faisant l'obligation prévue par le RGPD de garantir aux personnes concernées la possibilité de s'opposer au traitement de leurs données.
* 142 Article 78 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et article 116 du décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés .