Un cadre juridique prêt à s’ouvrir ?

Les usages pérennes de la reconnaissance faciale dans les espaces accessibles au public sont pour l’heure extrêmement limités. Plusieurs expérimentations ont déjà été menées par la ville de Nice, par Aéroports de Paris ou encore par la RATP qui avait installé en 2020, à l’aune du premier confinement, un dispositif permettant à partir d’images de vidéosurveillance de détecter les usagers masqués ou non dans la station de métro Châtelet-Les Halles à Paris. Mais au final, aucune de ces expérimentations ne s’est concrétisée par une mise en oeuvre à plus grande échelle.

Pour autant, le cadre juridique applicable en 2019, qui est toujours le même en 2022, n’interdit pas la reconnaissance faciale. Au sens du RGPD, il entre dans la catégorie des données biométriques. Or la mise en oeuvre de traitements sur la base de techniques biométriques n’est pas interdite en soi mais entre dans la catégorie des « données particulières » dont la mise en oeuvre est encadrée par 10 exceptions. Parmi celles-ci, deux peuvent s’appliquer : le consentement et « des motifs d’intérêt public important ».

De fait, en pratique, le rejet de la reconnaissance faciale était alors plus une question psychologique ou politique mais non juridique. La seule issue possible, aussi bien pour les entreprises développant des technologies de reconnaissance faciale ou pour celles qui souhaitent la mettre en oeuvre, reposait donc sur une volonté politique… Mon article de 2019 se terminait par la formule suivante : « Il suffirait donc que le Gouvernement se saisisse de la question et précise sa pensée sur les conditions d’utilisation de la reconnaissance faciale pour faciliter son usage… ou le condamner définitivement… » Trois années plus tard c’est enfin chose faite, même si je n’y suis pour rien…

En effet, le 11 mai 2022, un groupe de travail de la Commission des lois du Sénat a présenté un rapport sur  les conditions d’utilisation de la reconnaissance faciale proposant notamment une loi d’expérimentation de trois ans.

À l’approche notamment des Jeux olympiques de 2024 organisés à Paris, il était plus que temps de se saisir du sujet.

Il ne s’agit en réalité ni d’une approbation totale ni d’un rejet en bloc de cette technologie mais bien d’un encadrement « au cas par cas », avec limitation géographique et dans le temps, 80 % du rapport étant consacré aux « lignes rouges ».

Au-delà de ces principes et limites généraux, le rapport prévoit des mesures concrètes telles qu’un régime de contrôle a priori et a posteriori.

Pour ce qui est du contrôle a priori, le rapport distingue deux situations. Lorsque le recours à la reconnaissance faciale relèvera des forces de sécurité intérieure, son utilisation sera autorisée par un magistrat ou un préfet. En cas de déploiement par un acteur privé dans un lieu accessible au public, la Cnil sera compétente.

En ce sens, les pouvoirs de la Cnil se voient réaffirmés.

D’une part, elle serait automatiquement consultée : les analyses d’impact seraient obligatoires pour les usages publics et les autorisations préalables pour les usages privés. Aussi, elle serait compétente pour exercer un contrôle a posteriori des usages, conformément à ses missions habituelles.

Il conviendra d’ailleurs d’être très vigilant et de veiller à un strict respect des dispositions du RGPD au regard des derniers contrôles réalisés par la Cnil en la matière. En effet, en février 2021, la Commission a adressé un avertissement à un club sportif qui envisageait de recourir à un système de reconnaissance faciale afin d’identifier automatiquement les personnes faisant l’objet d’une interdiction commerciale de stade. En décembre 2021, elle a mis en demeure une société de cesser son traitement et de supprimer les données collectées dans un délai de 2 mois. Celle-ci avait développé un logiciel de reconnaissance faciale dont la base de données reposait sur l’aspiration de photographies et de vidéos publiquement accessibles sur internet.

Tel était le titre du précédent article d’Éric Barbry publié dans Face au Risque (n° 556, octobre 2019). L’auteur exposait que depuis le 25 mai 2018 (date d’entrée en vigueur du RGPD), la mise en oeuvre d’un dispositif de reconnaissance faciale obéissait à un double cadre juridique : le RGPD et la réglementation sur la vidéoprotection. Dans le point 14 de l’article 4, le RGPD définit la reconnaissance faciale comme une donnée biométrique. Or, à ce titre, la reconnaissance faciale entre dans la catégorie des données dites « particulières » de l’article 9 du RGPD. Cet article 9 précise que le traitement des données biométriques est par nature interdit, sauf exceptions. Le consentement de la personne et les motifs d’intérêt public important font partie de ces exceptions, qui peuvent très bien autoriser l’utilisation de la reconnaissance faciale pour une entreprise. La mise en place nécessite cependant 5 points essentiels :

• la justification à l’exclusion soit du RGPD, soit de constituer une exception à l’article 9 ;

• la réalisation d’une analyse d’impact relative à la protection des données (voir le site de la Cnil) ;

• l’information des personnes à propos de l’utilisation de leurs données personnelles et les finalités du dispositif ;

• la mise en place d’un haut niveau de sécurité pour le dispositif (stockage, conservation des données…) ;

• la désignation d’un délégué à la protection des données, même si cela n’est pas obligatoire.

Article extrait du n° 584 de Face au Risque : « Reconnaissance faciale » (juillet-août 2022).