Fil d'Ariane
Deux lycées publics de la Provence-Alpes-Côte d'Azur doivent être équipés cette année de portiques de reconnaissance faciale, l'un à Nice, l'autre à Marseille. Ce test grandeur nature de "caméras intelligentes" est à l'initiative du conseil régional et a comme objectif de "sanctuariser" les entrées et les sorties dans les établissements secondaires, selon les élus. La reconnaissance faciale est une technologie de surveillance biométrique très contestée par des associations de défense de la vie privée qui y voient une atteinte aux libertés. La Quadrature du net (LQDN), mobilisée depuis le début contre ce projet a donc déposé avec la Ligue de droits de l'Homme (LDH), la CGT Educ'Action des Alpes-Maritimes et la Fédération des Conseils de Parents d’Élèves des écoles publiques des Alpes-Maritime un recours administratif pour annuler la décision de la région :
La ville de Nice teste durant ces deux jours de carnaval du 19 et 20 février 2019 la reconnaissance faciale à travers ses caméras de rues. La LDH s'en est émue non sans humour, sur Twitter :
Martin Drago (membre de LQDN en charge du dossier reconnaissance faciale) et Didier Bachaire, député LREM (ayant posé une question au gouvernement sur la régulation des technologies de reconnaissance faciale), répondent chacun à nos questions au sujet de ces portiques et plus généralement de l'arrivée des "caméras intelligentes" dans les espaces publics.
Entretien avec Martin Drago.
TV5MONDE : Comment fonctionnent ces portiques ?
Martin Drago : Au départ, ces portiques devaient être équipés d’une caméra couplée à une base de données. La Région s’est dit ’on va ficher [le visage de] tous les élèves’, on les met dans la base de données et la caméra compare leur visage avec la base. Comme le projet était pensé sur le volontariat et donc non obligatoire, la région a quand même contacté la CNIL (Commission nationale informatique et libertés) pour savoir ce qu’elle en pensait. La CNIL, qui désormais avec le RGPD (Règlement général de la protection des données) ne peut contester qu'a posteriori et plus a priori, a exprimé des craintes sur la constitution d’un fichier. Donc aujourd’hui, le portique tel qu’il a été de nouveau présenté, fonctionnerait avec un badge qui contiendrait les données biométriques de l’élève et d'une caméra qui comparerait le visage du badge et celui de l’élève. Mais on ne sait toujours pas exactement comment le dispositif final va être construit, en réalité.
Pourquoi, selon vous, ces portiques posent-ils problème en terme de vie privé ?
M.D : La question de savoir si le consentement des élèves est vraiment libre se pose. Pour l’instant, la Région indique que ce serait une classe entière de technologie qui pourrait être scannée à l’entrée, pour leur 'montrer un projet technologique', une sorte d'expérience pédagogique. A ce moment-là, le consentement des élèves, au sens du RGPD, ne sera pas libre puisqu’il y a une conséquence négative pour l’élève de la classe qui refuse. Mais la région sait que le traitement des visages, même si ce sont seulement des points les définissant qui sont traités (et pas une photo, ndlr), est une donnée biométrique sensible. La Région parle d'ailleurs de cet aspect sensible dans ses délibérations. A LQDN nous estimons que la reconnaissance faciale est une technologie particulièrement liberticide parce qu’elle est basée sur nos données biométriques. Une décision de la CNIL explique d’ailleurs que cette technologie repose sur "des données corporelles, physiques et biologiques profondément intimes". Ce qui est du coup profondément attentatoires à la vie privée.
Vous dénoncez des risques avec la reconnaissance faciale, quels sont-ils exactement ?
M.D : La CNIL reconnaît, elle-même, sur son site que la technologie de reconnaissance faciale comporte des risques considérables. Notamment pour la liberté d’aller et venir. D’autre part — et la CNIL le dit aussi : dans un lycée, mettre en place une telle technologie c’est habituer les mineurs à une surveillance sur des données biométriques. Il y a un risque de banalisation de ces technologies de surveillance, qu’on voit arriver dans les gares, les aéroports et qui ne vont pas tarder à arriver dans les villes dans le cadre de la « safe-city » (ville sécurisée par les technologies numériques de surveillance, ndlr) tel que Christian Estrosi l'annonce à Nice. Un autre risque existe aussi — bien que gênant à dénoncer puisque les promoteurs de ces technologies expliquent qu’il sera corrigé dans l'avenir — est celui des erreurs, avec un grand nombre de faux positifs. Des essais de reconnaissance faciale au Royaume-Uni ont pu aller jusqu’à 90% d’erreurs. 28 membres du Congrès américain ont été considérés comme des criminels par la reconnaissance faciale d’Amazon.
Dans le cas d'espèce de Nice et Marseille, un lycéen qui n’est pas reconnu par la caméra ne peut pas rentrer dans son lycée. Qu'est-ce que l'on fait alors ? D’un point de vue plus sociétal, et c’est l’idée très inquiétante des « safe city », cette technologie nous fait rentrer dans une normalisation de la société avec surveillance constante, ce qui nous fait craindre un fichage de la population lié au fichier TES (Traitement électronique sécurisé, fichier biométrique de tous les Français à partir de 14 ans, ndlr).C'est la société Cisco qui offre gracieusement ce système aux deux lycées aujourd'hui, mais le marché est plus large. Christian Estrosi l'a déjà annoncé en décembre dernier puisqu'il expliquait qu'une fois que l'expérience aurait fait ses preuves ils pourraient très vite généraliser à partir du réseau de vidéosurveillance, en mettant le logiciel qui correspond à l’usage de la reconnaissance faciale, par rapport aux caméras déjà installées dans les établissements scolaires. Il faut bien comprendre que la reconnaissance faciale ne sert qu’à la surveillance de masse. C’est une technologie qui est intrinsèquement faite pour cette fonction.
Actualités dans le monde sur la reconnaissance faciale :
"L’une des bases de données du système de surveillance [par reconnaissance faciale] chinois est accessible depuis le web à cause d’une faille de sécurité. Elle permet à n’importe qui de consulter les données personnelles des Ouïghours, minorité musulmane persécutée de la région du Xinjang. Au total, plus de 2,5 millions d’enregistrements ont pu être copiés. La base de données comportait des informations personnelles telles que le numéro de carte d’identité, le sexe, la nationalité, l’adresse, la date de naissance, ou le nom de l’employeur." (article : lebigdata.fr)
"La ville américaine de San Franciso, en Californie a proposé d'interdire fin janvier 2019 l'usage de la reconnaissance faciale. Cette disposition légale empêcherait les services de la ville d'acheter ou d'utiliser toute technologie de ce type. Le projet de loi, qui s'appliquerait également à l'application de la loi, représenterait une nouvelle étape dans la lutte contre les utilisations abusives de cet outil puissant et créerait un précédent aux Etats-Unis." (San Francisco Examiner)
Entretien avec Didier Baichère.
Didier Baichère, député LREM et vice-président de l' Office parlementaire d'évaluation des choix scientifiques et technologiques (OPECST) a posé une question au ministère de l'Intérieur en octobre 2018 au sujet de la nécessité d'une régulation des technologies de reconnaissance faciale. Nous avons voulu savoir pourquoi cette régulation lui semblait importante.
La reconnaissance faciale n'est pas régulée en France, mais la CNIL est censée s'en préoccuper : pourquoi souhaitez-vous une régulation au delà de la CNIL ?
Didier Baichère : La reconnaissance faciale rentre dans le cadre des données biométriques, donc on est à peu près couvert sur le RGPD. Si on touche à des données biométriques et que l'on pense que ça peut avoir un impact sur la vie privée, on doit demander une autorisation préalable à la CNIL (Ce sont des demandes d’avis pour les secteurs police/justice, et demande d’autorisation pour certains traitements de données de santé ou des études d'impact, ndlr). Mais dans le cas des portiques des lycées, on ne s'est pas posé la question sous l'angle scientifique et de la prospective. Autoriser une expérimentation c'est une chose, mais il faut que celle-ci serve un objectif beaucoup plus général et donc forcément à une régulation. Quand on touche à la reconnaissance faciale vous allez avoir des applications poussées par les industriels parce que c'est quelque chose qui fait gagner du temps dans la vie de tous les jours, mais qui vont exclure la dimension généraliste qui touche à une question centrale : quel est l'impact sur la société que cette technologie implique ? Il est donc nécessaire qu'un office comme l'OPECST puisse se pencher en terme de prospective sur ces sujets en interrogeant des scientifiques, des industriels avant d'aller vers un texte de loi administratif. Je peux envisager qu'à terme les libertés puissent être mises en danger avec cette technologie si elle n'est pas encadrée.
Comment les libertés peuvent-elles être mises en danger par cette technologie, selon vous ?
D.B : La liberté de circuler anonymement peut être entravée. Mais il y a aussi votre intimité. Si vous avez été reconnu grâce à votre téléphone lui-même lié à un outil de marketing qui va vous proposer quand vous passez devant un écran publicitaire une offre pour un restaurant, ça peut être un problème. Comme a-t-il eu ces données, vous est-il possible d'effacer ces données au moment où ça a lieu, ou après coup ? Quand on tire la ficelle on voit qu'il y a plein de manières d'utiliser cette technologie, mais s'il n'y a pas de garde-fou et pas une bonne compréhension au niveau de législateur, c'est ennuyeux. Nous ce que l'on veut à l'OPECST, c'est éclairer le législateur, pour qu'il n'ait pas l'impression que c'est juste une nouvelle facilité qui fait gagner du temps et améliore notre vie quotidienne. Bien que ça le permette, il faut mesurer toutes les conséquences et pouvoir proposer à l'utilisateur de s'assurer, que s'il veut se protéger, il puisse le faire, et choisisse de ne pas être reconnu quand il le souhaite.
La reconnaissance faciale pourrait se lier au fichier biométrique national TES : qu'en pensez-vous ?
D.B : C'est la limite actuelle sur ces sujets-là. On n'a pas assez investigué. Qu'est-ce qu'on veut préconiser ? Est-ce qu'on peut s'assurer qu'il y a un mur bien délimité pour ce sujet des fichiers biométriques ? A qui donne-t-on la compétence de régulation ? Ces sujets ne sont pas aujourd'hui d'une grande clarté, je trouve, et pas posé sous l'angle prospectif et scientifique. Mon sujet est qu'avant de faire du catastrophisme, je préfère qu'on se pose la question sainement, qu'on regarde où on en est avec la technologie, savoir ce que disent les différentes parties prenantes et quelles recommandations on doit faire, nous, en tant que députés, sur la nécessité de légiférer ou pas. Mais je ne suis pas sûr que l'angle police/justice soit l'angle dans lequel il faille rentrer en premier, c'est une des parties du sujet. La reconnaissance faciale a un impact bien plus large que les seuls cas où il y a un danger terroriste ou imminent et où c'est considéré comme normal de l'utiliser. La faire rentrer par cette seule porte n'est pas une bonne idée à mon sens.
Quelle régulation devrait être établie en premier lieu avec la reconnaissance faciale, selon vous ?
D.B : A mon sens, en premier lieu, il faut trouver un moyen pour que l'individu puisse à un moment donné, refuser l'enregistrement de ses informations biométriques. Pour l'espace public, il faut certainement une information préalable, que la situation d'enregistrement et de comparaison des visages est opérée... Mais je n'ai pas encore fini d'étudier le sujet, tout en sachant que ce n'est pas anecdoctique. J'ai rencontré des industriels qui se plaignent que la France ne s'y intéresse pas et qui craignent que ce soit l'Europe qui régule sans prendre en compte leurs besoins et en se focalisant — selon leurs dires — "seulement sur les libertés individuelles". Pour ne pas se retrouver avec un autre "c'est la faute de l'Europe", on a intérêt à travailler avec les industriels sur ces sujets là, qui ont leurs propres nécessités, ce que je peux comprendre mais ne vont malheureusement pas s'arrêter aux libertés individuelles. Donc c'est à nous, législateurs, de se pencher sur ce sujet là.
Reconnaissance faciale : la nécessité de régulation et de législation se fait sentir
La CNIL a appelé le 19 septembre 2018 à "la tenue d’un débat démocratique sur les nouveaux usages des caméras vidéo afin que le législateur puis le pouvoir réglementaire se saisissent de ces questions afin que soient définis les encadrements appropriés, en recherchant le juste équilibre entre les impératifs de sécurisation, notamment des espaces publics, et la préservation des droits et libertés de chacun". Sur son site, la CNIL exprime ses craintes : "Cette technologie n’en est désormais plus à ses balbutiements. Les enjeux de protection des données et les risques d’atteintes aux libertés individuelles que de tels dispositifs sont susceptibles d’induire sont considérables, dont notamment la liberté d’aller et venir anonymement."
Le 15 janvier 2019, une coalition de 85 organisations américaines a adressé une lettre ouverte à Google, Amazon et Microsoft leur demandant de s’engager à ne pas vendre de technologie de surveillance faciale aux gouvernements. L’idée que "les autorités puissent identifier toute personne marchant dans la rue est inquiétante et attentatoire à la vie privée" d'après ces organisations qui estiment que la législation devra sûrement s’adapter, avec l’arrivée de ces nouvelles technologies dans les lunettes connectées ou encore les drones .
Une loi pour autoriser la reconnaissance faciale dans les espaces publics a été déposée par le sénateur Les Républicains, Roger Karoutchi :
"Et si la reconnaissance faciale était un moyen supplémentaire d'éviter les attentats ? L'identification de Mohamed Abrini, "l'homme au chapeau" des attentats de Bruxelles, a été rendue possible grâce à un logiciel de reconnaissance faciale développé par le FBI. C'est un fait, la technologie va très vite en la matière : scientifiques et professionnels de la sécurité ne cessent de développer des systèmes de plus en plus performants. Dans le contexte de la lutte contre le terrorisme, pourquoi se priver d'une telle méthode ? Y aurait-il des obstacles juridiques ou techniques véritablement insurmontables ?"
Un amendement sur la reconnaissance faciale a été proposée à l'Assemblée nationale le 24 janvier 2019, à l'initiative du député Eric Ciotti, dans le cadre de la loi de "prévention et sanction des violences lors des manifestations" :
"Le présent amendement a pour objet de permettre le recours à la technologie de la reconnaissance faciale afin de renforcer l’action de la vidéoprotection. En effet, la technique de la reconnaissance faciale associée à la vidéoprotection permettrait l’identification des individus dangereux au sein d’une manifestation."
Aux Etats-Unis le "Center on Privacy & Technology at Georgetown Law", une association de défense de la vie privée, milite pour qu'une régulation d'Etat vienne encadrer les pratiques discriminatoires et liberticides que cette technologie généralise selon elle. Le centre a publié un rapport en 2016 mis à jour depuis lors et analysant les risques et dérives existantes que la reconnaissance faciale produit.
Microsoft et le groupe AI Now (chercheurs de l'université de New York étudiant les effets sociaux de l'intelligence artificielle, ndlr) ont publié un communiqué en décembre 2018 indiquant leur préoccupation face au développement croissant de la reconnaissance faciale de partout dans le monde : "Nous pensons qu’il est important que les gouvernements commencent à adopter des lois pour réglementer cette technologie en 2019. Le génie de la reconnaissance faciale, pour ainsi dire, émerge de la bouteille. Si nous n’agissons pas, nous risquons de nous réveiller dans cinq ans pour constater que les services de reconnaissance faciale se sont étendus de manière à exacerber les problèmes de société."