La CNIL se positionne contre deux nouveaux projets sécuritaires

La Commission nationale de l’informatique et des libertés (CNIL) vient de s’opposer sévèrement à deux nouveaux projets sécuritaires. Le premier porte sur un projet de reconnaissance faciale pour les lycées, le second concerne l’installation de micros dans la rue. Face à ce qu’elle considère être des dérives sécuritaires, la CNIL souhaite que soit lancé un nouveau débat public.

La région PACA rappelée à l’ordre

Vendredi 25 octobre, l’autorité en charge de l’application du RGPD a donc lancé une offensive contre ces deux projets, qu’elle estime être incompatibles avec les impératifs de ce texte législatif européen. La CNIL a ainsi fait parvenir une missive aux rectorats de Marseille et de Nice, ainsi qu’au président de la région Provence-Alpes-Côte-d’Azur (PACA). « Ce dispositif ne saurait être légalement mis en œuvre », rappelle ainsi la Commission qui s’oppose fermement au projet d’équiper deux lycées -celui des Eucalyptus à Nice et le lycée d’Ampère à Marseille- de portiques de reconnaissance faciale. Un dispositif destiné à filtrer à l’entrée de ces deux établissements les élèves volontaires.

La CNIL, dont le rôle n’est pourtant pas de donner son avis en amont d’un projet, avait tout de même été concertée par la région PACA, qui lui avait fait parvenir un rapport détaillant le projet. Dans ce rapport, des experts avaient évalué les potentiels dégâts en matière de vie privée. La Commission nationale de l’informatique et des libertés a ainsi pu estimer si ce projet de reconnaissance faciale était conforme ou non aux prérogatives du Règlement Général pour la Protection des Données. Et le moins que l’on puisse dire est que la CNIL n’a pas du tout été convaincue. Cette dernière estime d’ailleurs que si la région PACA persiste dans son projet d’installation de caméras de reconnaissance faciale, alors elle serait dans l’illégalité vis-à-vis du droit européen sur les données personnelles. Mardi 29 octobre, la commission a d’ailleurs accompagné son courrier d’avertissement d’un communiqué.

« Ce dispositif, qui ne devait concerner que les lycéens ayant préalablement consenti, et être expérimenté durant toute une année scolaire, devait permettre d’assister les agents en charge du contrôle d’accès aux lycées afin de prévenir les intrusions et les usurpations d’identité et de réduire la durée de ces contrôles », commence par expliquer la CNIL, qui « a considéré que le dispositif projeté est contraire aux grands principes de proportionnalité et de minimisation des données posés par le RGPD (Règlement général sur la protection des données). » La commission estime que « les objectifs de sécurisation et la fluidification des entrées dans ces lycées peuvent être atteints par des moyens bien moins intrusifs en termes de vie privée et de libertés individuelles, comme par exemple un contrôle par badge. »

Des données particulièrement sensibles

D’autre part, « la Commission a rappelé que les traitements de données biométriques sont d’une sensibilité particulière, justifiant une protection renforcée des personnes. Notamment, les dispositifs de reconnaissance faciale sont particulièrement intrusifs et présentent des risques majeurs d’atteinte à la vie privée et aux libertés individuelles des personnes concernées. Ils sont par ailleurs de nature à créer un sentiment de surveillance renforcé. » Et la CNIL de conclure : « Un tel dispositif ne saurait donc être légalement mis en œuvre et il appartient désormais à la région et aux lycées concernés, responsables du dispositif envisagé, d’en tirer les conséquences. »

Une décision qu’a vivement dénoncé le président des Républicains de la région PACA, Renaud Muselier : « Cette décision a un siècle de retard ! », a-t-il jugé par communiqué, avant de déplorer : « Dans un monde où la reconnaissance faciale fait le quotidien de centaines de millions d’usagers de smartphones, il est incompréhensible de refuser des dossiers aussi simples et ambitieux que le nôtre ». Le jugement de la CNIL a en revanche été salué par les opposants au projet. « Cette première victoire contre la reconnaissance faciale en France ne peut que nous rendre optimistes dans la lutte qui nous oppose aux systèmes déjà existants », s’est ainsi réjouie La Quadrature du Net.

La métropole de Saint-Etienne également recadrée

La région PACA n’est pas la seule à avoir été recadrée par la CNIL, puisque l’autorité a également fait parvenir un courrier à la métropole de Saint-Etienne, le 25 octobre dernier, concernant son projet d’installer dans certaines rues des micros censés alerter les autorités en cas de situations anormales. Mais contrairement à la région PACA, qui avait pris soin de consulter la Commission en amont, cette fois-ci c’est la CNIL elle-même qui a pris l’initiative de contrôler ce projet. Là aussi, le gendarme des données personnelles s’est érigé contre ce projet, qu’il juge ne pas respecter le droit en vigueur. Le fonctionnement du système souhaité par la métropole de Saint-Etienne est le suivant : certaines rues seront équipées de micros minuscules, lesquels sont destinés à détecter certains éléments sonores inhabituels tels que des accidents, des bruits de choc, des explosions, des cris, des bruits d’armes, etc. Le but étant d’alerter au plus vite le centre de supervision urbaine qui pourrait ainsi braquer les caméras de vidéosurveillance sur les zones concernées, afin d’alerter ou non les forces de l’ordre et les secours.

Ce projet sécuritaire est « susceptible de violer les textes relatifs à la protection des données à caractère personnel », avertit la CNIL, pour qui un tel appareillage « apparaît comporter des risques substantiels pour les libertés individuelles, notamment le droit au respect à la vie privée » et « conduit à renforcer l’intrusivité du système et le niveau de surveillance dont fait l’objet la population vivant, circulant ou travaillant dans la zone concernée ». « Les personnes concernées pourraient être amenées à altérer leur comportement, par exemple en censurant elles-mêmes leurs propos tenus sur la voie publique ou en modifiant leurs déplacements », prévient également la CNIL. Marie-Laure Denis, présidente de la CNIL, a donc décidé d’adresser à la ville de Saint-Etienne un avertissement.

La CNIL souhaite un débat public

La Commission nationale de l’informatique et des libertés profite également de l’envoi de ces deux avertissements pour demander, une nouvelle fois, à ce que le débat public soit relancé autour des nouveaux dispositifs de surveillance biométrique et de leur cadre légal. La CNIL explique avoir notamment entrepris des « travaux » portant sur la reconnaissance faciale et insiste également sur le fait qu’un débat législatif doit avoir lieu sur la question des dispositifs de vidéosurveillance dans l’espace public.