C. DANS LE MONDE, DES STRATÉGIES DIVERGENTES
1. La Chine : un développement à tout-va
La Chine est depuis quelques années à la pointe des technologies de reconnaissance faciale et plus largement biométrique. Selon les chercheurs de l'INRIA rencontrés par les rapporteurs, elle dispose d'une avance remarquable sur le plan de la recherche : 80 % des publications scientifiques relatives à la reconnaissance faciale proviennent actuellement de Chine . Les algorithmes chinois, entraînés sur des bases de données de milliards de visages, sont en tête des classements du National Institute of Standards and Technology américain, qui est la référence en la matière 3 ( * ) . Les entreprises chinoises fournissent des caméras à des prix imbattables qu'elles équipent sans surcoût de solutions logicielles pour les rendre « intelligentes ». Elles sont très désireuses de rentrer sur le marché européen 4 ( * ) .
Cette « force de frappe » scientifique et industrielle a avant toutes choses été développée pour des besoins domestiques . En 2019, sur les dix villes « championnes du monde de la vidéosurveillance », huit sont des villes chinoises, selon la revue Courrier international 5 ( * ) qui cite un palmarès établi par la société Comparitech. Les réseaux de caméras de surveillance, tous interconnectés, sont complétés par les applications numériques installées sur les téléphones mobiles des citoyens chinois , qui sont utilisées notamment à des fins de paiement. Les géants du net tels Alipay et Wechat, ont mis au point des systèmes avec QR codes permettant notamment la reconnaissance faciale et des systèmes de notation pour chaque geste de la vie quotidienne , ainsi que le documente le reportage « Ma femme a du crédit » , réalisé par Sébastien Le Belzic, journaliste français installé en Chine.
Depuis deux ans, a-t-il indiqué aux rapporteurs, l'État chinois a imposé à toute entreprise disposant de plus d'un million d'abonnés de lui transférer toutes ses données. Les autorités chinoises bénéficient ainsi de milliards de données permettant de reconstituer la vie quotidienne de ses citoyens . Selon lui, la pandémie de la Covid-19 a profondément aggravé le système de surveillance de masse avec, en particulier, la mise en place de QR codes de traçage et l'abandon progressif des paiements en argent liquide. Cet état de fait est pourtant bien accepté de la population , à l'exception des personnes âgées en raison de leur difficulté à s'adapter à cet environnement tout numérique.
Une surveillance biométrique renforcée est par ailleurs exercée sur la population ouïghoure du Xinjiang ainsi que l'a rapporté l'association Human Rights Watch : « dans le cadre de la campagne " Frapper fort ", les autorités du Xinjiang ont également collecté des données biométriques, notamment des échantillons d'ADN, des empreintes digitales, des analyses de l'iris et des groupes sanguins de tous les résidents de la région âgés de 12 à 65 ans. Les autorités exigent d'eux des enregistrements de leurs voix lorsqu'ils font une demande de passeport. Toutes ces données figurent dans des bases de données gouvernementales centralisées et exploitables. Bien que les systèmes en place au Xinjiang soient particulièrement intrusifs, leur conception de base ne diffère pas de celles que la police élabore et utilise dans toute la Chine » 6 ( * ) .
En 2014, le gouvernement chinois avait annoncé le lancement d'un « système de crédit social » dans le but d'assurer une meilleure application des lois et décisions de justice, sur le modèle des notes de fiabilité que certains services commerciaux délivrent à leurs usagers 7 ( * ) . Selon Sébastien Le Belzic, les autorités chinoises sont depuis restées discrètes sur ce projet en raison de la mauvaise publicité occasionnée et, à ce jour, le système de crédit social ne semble mis en place que pour restreindre l'accès aux transports (train et avion).
2. Le Royaume-Uni : la logique de l'empirisme
Au Royaume-Uni, deux forces de police ont décidé de mettre en place des dispositifs de reconnaissance faciale dans l'espace public . La police londonienne et la police du Pays de Galles déploient ainsi des dispositifs de reconnaissance faciale en temps réel visant à identifier dans l'espace public des personnes référencées sur une liste de surveillance ( watchlist ) établie pour chaque déploiement du dispositif, par comparaison avec les gabarits extraits des visages de toutes les personnes passant dans l'angle de la caméra. La police du Pays de Galles a également mis en place une application permettant aux policiers, en cas de doute sur l'identité déclinée par la personne au cours d'un contrôle d'identité, de recourir à la reconnaissance faciale pour vérifier que la personne concernée ne fait pas l'objet de recherches .
Les technologies de reconnaissance faciale automatisée sont utilisées comme un outil technique d'assistance à la reconnaissance de personnes impliquées dans des activités criminelles - la décision des suites à donner à une alerte est toujours humaine - dont les usages sont définis par les différentes polices en fonction de leurs besoins.
En l'absence de cadre législatif spécifique et dans un contexte de common law , il revient aux juridictions de s'assurer du caractère adapté et proportionné de ces déploiements . C'est ainsi que la Cour d'appel du Royaume-Uni, dans une décision du 11 août 2020, Bridges , a examiné le caractère proportionné de l'utilisation des outils de reconnaissance faciale par la police du Pays de Galles. Elle a jugé que le déploiement alors réalisé était illégal pour trois raisons : l'insuffisance de son régime juridique qui donnait trop de marge de manoeuvre aux policiers dans l'établissement de la liste de surveillance, l'insuffisance de l'évaluation des risques en matière de protection des données personnelles, et le non-respect du principe d'égalité en raison d'une évaluation insuffisante des potentiels biais du logiciel.
À la suite de cette décision, la police du Pays de Galles avait dû suspendre l'utilisation de la reconnaissance faciale. Sur la base des éléments avancés par la Cour d'appel, la police du Pays de Galles a décidé de reprendre ses essais en mars 2022, afin de s'assurer que le système ne présentait désormais plus de risque en matière d'égalité et que son déploiement était « responsable, proportionné et juste » 8 ( * ) .
Parallèlement, certains commerces ont acheté la solution fournie par la société Facewatch, qui permet la mise en place d'une liste de « personnes d'intérêt » partagée par tous les utilisateurs en vue de détecter les personnes signalées pour vol ou mauvais comportement dès leur entrée dans les commerces concernés. Ces usages, de même que ceux réalisés par les forces de police, ne sont pas règlementés et se développent au gré de leur adoption par les acteurs privés.
3. Les USA : des tendances contraires
a) Une multiplication des interdictions de la reconnaissance faciale au niveau municipal dont la portée concrète est à relativiser
Depuis l'adoption en mai 2019 par la ville de San Francisco d'une ordonnance 9 ( * ) interdisant l'usage de la reconnaissance faciale par la municipalité, le débat autour du développement, de l'usage et de l'encadrement de cette technologie est en plein essor aux États-Unis . Le symbole est d'autant plus fort que cette interdiction prend place au coeur de la « Silicon Valley » , dans une métropole qui abrite de nombreuses entreprises du numérique. Dans les motifs de cette décision, il est notamment avancé que « la propension de la technologie de reconnaissance faciale à mettre en danger les droits civiques et les libertés publiques l'emporte substantiellement sur ses prétendus bénéfices, et que cette technologie exacerbera les injustices raciales et menacera notre capacité à vivre en-dehors de toute surveillance continue du Gouvernement » 10 ( * ) .
Dans le sillage de la cité californienne, plusieurs grandes métropoles américaines ont entendu interdire ou règlementer le recours à la reconnaissance faciale. Cet encadrement s'opère sur un périmètre et selon des modalités variables en fonction de la ville concernée : il concerne l'usage d'algorithmes de reconnaissance faciale tantôt par les seuls services de police, tantôt par la totalité des services municipaux. Il peut même aller au-delà des seuls usages publics de cette technologie pour réguler des usages privés. Les exceptions prévues à ce principe d'interdiction diffèrent également à la marge , par exemple afin de laisser une latitude aux services de police dans l'usage de preuves obtenues par le biais de la reconnaissance faciale ou pour tolérer certains usages d'authentification privée.
Des interdictions de la reconnaissance faciale à
géométrie variable :
les exemples de Boston, Portland et
Baltimore
Boston : le conseil municipal a interdit, à compter de juin 2020, « l'obtention, la rétention, la possession, l'accès ou l'usage de tout système de reconnaissance faciale » 11 ( * ) par la ville de Boston ou ses agents, y compris par l'intermédiaire d'un accord avec un tiers. En revanche, le service de police est autorisé à utiliser des preuves issues de système de reconnaissance faciale dès lors que leur obtention n'est pas le résultat d'une requête interne . Certains usages limités à des fins d'authentification privée sont également exclus du champ de l'ordonnance.
Portland : la ville de l'Oregon a été la première à aller au-delà de l'interdiction des seuls usages publics de la reconnaissance faciale pour également viser les usages privés 12 ( * ) . Concrètement, l'usage de cette technologie par des entités privées est prohibé dans certains « lieux recevant du public » 13 ( * ) . Cette interdiction ne s'applique toutefois pas aux usages de technologies de reconnaissance du visage à des fins d'authentification sur des appareils personnels ou de détection automatique des visages sur les réseaux sociaux.
Baltimore 14 ( * ) : le conseil municipal a adopté en août 2021 un moratoire sur l'obtention, la détention, l'accès et l'usage d'algorithmes de reconnaissance faciale, ou de toute information obtenue par l'intermédiaire d'un tel système , applicable à la ville de Baltimore et à toute personne privée, physique ou morale 15 ( * ) . Ce moratoire arrivera à échéance le 31 décembre 2022, sauf si le conseil municipal décide de le proroger pour une durée maximale de cinq ans.
La violation de ce moratoire est passible d'une amende de 1 000 dollars et d'une peine de 12 mois de prison. Deux exceptions, dont une de taille, sont néanmoins prévues à ce principe général d'interdiction de la reconnaissance faciale :
- l'utilisation de systèmes de reconnaissance faciale par la police de Baltimore sur les données contenues par le « Maryland Image Repository System », dans le cadre d'investigations criminelles. Cette exception résulte du positionnement atypique de la police de Baltimore, laquelle est placée non pas sous l'autorité de la ville mais de l'État du Maryland ;
- les systèmes biométriques destinés à protéger l'accès à des lieux ou des systèmes d'informations particuliers.
Source : Commission des lois du Sénat
À l'image de la décision californienne, les motivations avancées résident en premier lieu dans la moindre efficacité des algorithmes de reconnaissance faciale lorsqu'ils sont utilisés sur des personnes de couleur ou des femmes . Il s'agit, en second lieu, de protéger les libertés publiques, singulièrement le droit à la vie privée et la liberté d'expression, face à une technologie au caractère particulièrement intrusif et soulevant de ce fait d'importants enjeux de transparence.
La portée concrète de ces interdictions doit néanmoins être relativisée . Premièrement, les usages préexistants de la reconnaissance faciale par les villes concernées étaient le plus souvent modestes. Par exemple, le responsable de la police de Boston a indiqué dans une audition publique en juin 2020, soit avant l'entrée en vigueur de l'ordonnance précitée, que ses services n'avaient pas recours à la reconnaissance faciale et que « cette technologie ne l'intéressait pas tant qu'elle n'était pas à 100 % efficace » 16 ( * ) . Deuxièmement, le contrôle de ces interdictions est délicat à mettre en oeuvre, voire à la limite de l'impossible dans le cas des usages privés. À Baltimore, aucune poursuite n'a à ce jour été engagée sur le fondement d'une violation du moratoire. Troisièmement, des exceptions importantes peuvent être prévues, en particulier s'agissant de l'usage de la reconnaissance faciale par les services de police dans le cadre d'investigations criminelles.
À certains égards, ce mouvement relève donc davantage d'une position de principe vis-à-vis de la reconnaissance faciale que d'un réel bouleversement des usages. Les débats relatifs aux biais des algorithmes se tiennent par ailleurs dans un contexte de montée en puissance du mouvement « Black Lives Matter » et de regain des tensions raciales aux États-Unis à la suite du décès de Georges Floyd en mai 2020. Ce contexte amplifie sans nul doute la dynamique observée de renonciation à la reconnaissance faciale.
Il serait toutefois réducteur de limiter l'analyse du développement de la reconnaissance faciale à cette seule succession d'interdictions locales. La structure fédérale des États-Unis fait qu'il existe potentiellement autant de doctrines d'usage que d'autorités susceptibles d'avoir recours à la reconnaissance faciale , que ce soit au niveau fédéral, des États ou encore municipal. Au-delà des ordonnances d'interdiction précitées, cette technologie peut également être utilisée par certaines autorités locales à grande échelle et sans encadrement ad hoc , ainsi que l'a démontré la controverse liée à l'utilisation par certains services de police de l'outil fourni par la société Clearview AI 17 ( * ) .
b) Des règlementations locales des usages policiers de la reconnaissance faciale : les exemples de New-York et de Baltimore
Les travaux des rapporteurs ont mis en lumière l'existence de règlementations locales de l'usage de la reconnaissance faciale par les services de police pouvant, par certains aspects, ressembler aux pratiques françaises 18 ( * ) . C'est par exemple le cas des services de police de Baltimore et de New-York, où la reconnaissance faciale peut être utilisée dans le cadre d'enquêtes policières afin de comparer, dans certains cas limitativement énumérés, le visage d'une personne d'intérêt avec ceux figurant dans une base de données de plus ou moins grande envergure :
- à New-York : la base de données contient uniquement des photos obtenues au cours d'arrestations et les visages des personnes en libération conditionnelle 19 ( * ) ;
- à Baltimore : tenue par le « Maryland Department of Public Safety and Correctional Services », la base de données est beaucoup plus importante, voire massive. Par exemple, l'intégralité des photos fournies à l'administration pour l'obtention d'un permis de conduire y figure.
Les six usages autorisés de la reconnaissance
faciale
par le New York City Police Department (NYPD)
(Patrol Guide
- Guide du policier en service)
Dans le cadre d'enquêtes policières conduites par le service de police de New-York, l'usage de la reconnaissance faciale est uniquement autorisé pour les six objectifs suivants :
« a) Identifier une personne lorsqu'il y a des raisons de croire qu'elle a commis, commet ou est sur le point de commettre une infraction ;
« b) Identifier une personne lorsqu'il y a des raisons de croire qu'elle est une personne disparue, la victime d'un crime ou le témoin d'une activité criminelle ;
« c) Identifier une personne décédée,
« d) Identifier une personne qui est incapable de s'identifier,
« e) Identifier une personne qui est en état d'arrestation et qui ne possède pas d'identification valide, qui ne dispose pas d'une pièce d'identité valide, ou qui semble utiliser l'identification de quelqu'un d'autre, ou une fausse identification,
« f) Atténuer une menace imminente pour la santé ou la sécurité publique (par exemple, pour contrecarrer un plan ou un complot terroriste actif, etc. ) »
Source : Commission des lois du Sénat
Les deux services de police ont établi des lignes directrices visant à encadrer l'usage de la reconnaissance faciale, qui se rejoignent sur la plupart des points . Au titre des garanties, la demande doit être déposée auprès d'une unité dédiée , seule autorisée à accéder au système. Il s'agit du « Real Time Crime Center, Facial Identification Section » à New-York et d'une « Open Source Unit » à Baltimore. Les enquêteurs de ces unités évaluent le bien-fondé de la demande et, le cas échéant, procèdent à la comparaison. Les potentielles correspondances sont ensuite confirmées par une analyse visuelle d'une part, et par la consultation des fichiers de police pertinents, d'autre part . La transmission des résultats au requérant est soumise à un double-degré de validation et, enfin, une trace est conservée de chacune des requêtes. La technologie est uniquement utilisée comme un instrument d'aide à l'enquête. Sur le plan juridique, l'établissement d'une correspondance ne constitue pas en elle-même une preuve justifiant par exemple une arrestation et elle doit systématiquement être accompagnée d'investigations complémentaires.
Au cours de son audition, Lisa Walden, conseillère en chef des Affaires policières du département juridique de la ville de Baltimore, a souligné les résultats positifs produits par l'utilisation de la reconnaissance faciale . Elle a également estimé suffisamment robustes les garanties apportées par les protocoles en place en termes de protection des libertés publiques . En particulier, les examens complémentaires pratiqués après la première recherche de correspondance préviendraient les erreurs générées par d'éventuels biais de l'algorithme.
En ce qui concerne New-York, le site internet du service de police affirme que le logiciel a régulièrement fourni des pistes substantielles pour la résolution d'affaires criminelles . Ainsi, sur les 9 850 demandes de comparaison enregistrées en 2019, « 2 510 correspondances possibles [ont été identifiées], dans 68 meurtres, 66 viols, 277 agressions criminelles, 386 vols qualifiés et 525 fraudes importantes ». Il est par ailleurs précisé que « le NYPD n'a pas connaissance à New-York d'une personne faussement arrêtée sur la base d'une correspondance de reconnaissance faciale » 20 ( * ) .
* 3 Voir le III de la première partie.
* 4 Ainsi la société Huawei avait-elle signé une convention prévoyant la mise à disposition gratuite d'un parc de caméras haute définition ainsi que des logiciels d'analyse automatisée des images captées par le système de vidéoprotection avec la ville de Valenciennes, qui a fait l'objet d'un avertissement de la CNIL le 12 mai 2021 après un contrôle sur place.
* 5 https://www.courrierinternational.com/article/classement-videosurveillance-le-top-20-mondial-des-villes-qui-espionnent-leurs-habitants .
* 6 « Les algorithmes de la répression en Chine : Rétro-ingénierie d'une application de surveillance de masse utilisée par la police du Xinjiang », Human Rights Watch, mai 2019.
* 7 » En Chine, le "crédit social" des citoyens fait passer les devoirs avant les droits », Brice Pedroletti, Le Monde , 16 janvier 2020.
* 8 Selon les termes du responsable adjoint de la police du Pays de Galles, Mark Travis.
* 9 Conseil de surveillance de la ville de San Francisco, Ordonnance sur l'acquisition de technologies de surveillance, mai 2019.
* 10 En anglais dans le texte : « The propensity for facial recognition technology to endanger civil rights and civil liberties substantially outweighs its purported benefits, and the technology will exacerbate racial injustice and threaten our ability to live free of continuous government monitoring ».
* 11 Conseil municipal de Boston, Ordonnance interdisant la technologie de surveillance faciale à Boston, juin 2020.
* 12 Ville de Portland, Ordonnance prohibant l'acquisition et l'usage de technologies de reconnaissance du visage par les services de la ville de Portland et Ordonnance prohibant l'usage de technologies de reconnaissance du visage par des entités privées dans les lieux publics , septembre 2020.
* 13 Entendus comme : « any place or service offering to the public accommodations, advantages, facilities, or privileges whether in the nature of goods, services, lodgings, amusements, transportation or otherwise » et à l'exclusion des lieux suivants : « an institution, bona fide club, private residence, or place of accommodation that is in its nature distinctly private » .
* 14 Conseil municipal de Baltimore, Ordonnance sur la surveillance technologique à Baltimore , août 2021.
* 15 À l'exclusion du gouvernement fédéral, du gouvernement d'État et, le cas échéant, de leurs cocontractants.
* 16 Audition publique de la commission des affaires gouvernementales du conseil municipal de Boston, 9 juin 2020.
* 17 Le site d'information « Buzzfeed » met par exemple à la disposition du public une base de données recensant 1 803 entités publiques, dont certains services de police, qui auraient utilisé l'outil de reconnaissance faciale fourni par la société Clearview AI . Il est néanmoins explicitement précisé que la présence sur cette liste ne signifie pas que le site a pu confirmer l'utilisation de cet outil par l'entité en cause, ni qu'elle a approuvé son usage par l'un de ses employés. Source : https://www.buzzfeednews.com/article/ryanmac/facial-recognition-local-police-clearview-ai-table .
* 18 Voir infra , le II A de la première partie.
* 19 » The photo repository only contains arrest and parole photographs » (New-York Police Department - Patrol Guide)
* 20 Site internet du service de police de New-York ( https://www1.nyc.gov/site/nypd/about/about-nypd/equipment-tech/facial-recognition.page ).