La CNIL vient de publier une prise de position sur les caméras dites « intelligentes » ou « augmentées » dans les espaces publics (communiqué de presse : https://www.cnil.fr/fr/cameras-dites-augmentees-dans-les-espaces-publics-la-position-de-la-cnil; document : https://www.cnil.fr/sites/default/files/atoms/files/cameras-intelligentes-augmentees_position_cnil.pdf):

Les dispositifs de vidéo « augmentée » se distinguent des dispositifs de reconnaissance biométriques, comme par exemple les dispositifs de reconnaissance faciale. Deux critères permettent de distinguer ces dispositifs :

la nature des données traitées : caractéristique physique, physiologique ou comportementale ;

l’objectif du dispositif : identifier ou authentifier de manière unique une personne.

Un dispositif de reconnaissance biométrique cumulera toujours ces deux critères, tandis qu’une caméra « augmentée » n’en remplira aucun (par exemple une caméra « augmentée » qui filme la rue pour classer les différents usages : voitures, vélos, etc.) ou seulement un des deux (par exemple une caméra « augmentée » qui détecte les bagarres dans une foule).

Cette distinction a des conséquences juridiques : les dispositifs de reconnaissance biométrique impliquent des traitements de données dites « sensibles » qui sont, par principe, interdits par le RGPD, sauf exceptions.

La notion de caméra ou vidéo « augmentée » désigne des dispositifs vidéo auxquels sont associés des logiciels permettant une analyse automatique de l’image afin de détecter par exemple des formes ou des objets, d’analyser des mouvements, etc. Ces caméras sont, par nature, très différentes de celles traditionnellement déployées : les personnes ne sont plus seulement filmées mais analysées de manière automatisée, en temps réel, afin de collecter certaines informations les concernant.

Ces nouveaux outils vidéo peuvent conduire à un traitement massif de données personnelles, potentiellement à l’insu des personnes du fait du caractère « invisible » des logiciels d’analyse d’images associés aux caméras.

La CNIL souligne que le risque d’une surveillance généralisée induit par la multiplication des dispositifs vidéo prend aujourd’hui une nouvelle dimension avec l’essor des dispositifs de vidéo « augmentée » : cette surveillance se double d’une analyse des personnes.

Le déploiement de ces dispositifs dans les espaces publics, où s’exercent de nombreuses libertés individuelles (liberté d’aller et venir, d’expression, de réunion, droit de manifester, liberté de culte, etc.), présente incontestablement des risques pour les droits et libertés fondamentaux des personnes et la préservation de leur anonymat dans l’espace public.

Ces dispositifs posent également de nouveaux enjeux pour les personnes lorsqu’ils ont vocation à automatiser entièrement certaines activités de la vie courante. Des actes simples de la vie quotidienne pourraient ainsi être filmés et analysés par des caméras « augmentées », renforçant encore le sentiment de surveillance des personnes à mesure que ces dispositifs se généraliseront dans les espaces publics : rues, transports, commerces, lieux culturels et sportifs, etc.

En l’absence de textes spécifiques encadrant l’usage des dispositifs de vidéo « augmentée », la CNIL a notamment considéré que le Code de la sécurité intérieure, qui fixe le cadre applicable aux dispositifs de vidéoprotection traditionnels, n’était pas adapté à cette nouvelle technologie. Mais il n’interdit pas non plus son déploiement. La CNIL appelle plus particulièrement l’attention sur trois points :

La nécessité de respecter les grands principes de la réglementation protégeant les données personnelles.

Tout acteur qui souhaiterait déployer un dispositif de vidéo « augmentée » devra se fonder sur une base légale déterminée au cas par cas. Si aucune n’est exclue ou privilégiée par principe, la base légale de « l’intérêt légitime » ne doit pas conduire à un déséquilibre manifeste entre les intérêts poursuivis par l’utilisateur d’un dispositif de vidéo « augmentée » et les attentes raisonnables des personnes (par exemple un magasin qui analyserait l’humeur des clients pour leur afficher des publicités adaptées). De façon plus générale, il faut faire, au préalable, une démonstration de la proportionnalité (c’est-à-dire des conditions de mise en œuvre du dispositif par rapport aux objectifs poursuivis) du dispositif envisagé.

À ce titre, des mécanismes effectifs de protection des données et de la vie privée dès la conception (privacy by design) doivent être mis en œuvre pour permettre de réduire les risques pour les personnes concernées. Des garanties fortes consistent, par exemple, à intégrer des mesures permettant la suppression quasi-immédiate des images sources ou la production d’informations anonymes.

La nécessité d’une loi pour la mise en œuvre de certains dispositifs.

La CNIL rappelle que les dispositifs les plus intrusifs, c’est-à-dire ceux susceptibles de modifier les conditions fondamentales d’exercice des droits et libertés fondamentaux des personnes, ne pourront être déployés que si une loi les autorise et les encadre spécifiquement.

La question spécifique du droit d’opposition des personnes concernées.

Les personnes filmées et analysées par les dispositifs de caméras « augmentées » disposent de droits reconnus par la réglementation sur la protection des données (droit à l’information notamment). Parmi ceux-ci, figure souvent la possibilité de s’opposer au traitement mis en œuvre.

Or, la CNIL a constaté que les personnes ne peuvent généralement pas s’opposer à l’analyse de leurs images, par exemple, lorsque les algorithmes ne conservent pas les images, ou que les conditions d’exercice de ce droit ne sont pas praticables (marquer son opposition impose d’appuyer sur un bouton, de faire un geste particulier devant une caméra, de stationner dans une zone dédiée, etc.).

À ce stade, la CNIL considère que la mise en œuvre de caméras augmentées conduit fréquemment à limiter les droits des personnes filmées.

Une telle limitation des droits n’est possible que dans deux cas de figure :

soit le traitement impliqué par le dispositif de vidéo « augmentée » poursuit une finalité statistique au sens du RGPD : c’est-à-dire que le traitement ne tend qu’à la production de résultats statistiques constitués de données agrégées et anonymes. Le traitement n’a pas de vocation directement opérationnelle ;

soit le droit d’opposition est écarté, sur le fondement de l’article 23 du RGPD, par un texte spécifique, de nature au moins réglementaire. Cet acte devra acter la légitimité et la proportionnalité du traitement opéré au regard de l’objectif poursuivi, la nécessité d’exclure la faculté pour les personnes de s’y opposer, tout en fixant des garanties appropriées au bénéfice de ces dernières.

Dans de nombreux cas, il sera donc nécessaire que des textes, réglementaires ou législatifs, autorisent l’usage des caméras augmentées dans l’espace public. Cette analyse juridique rejoint la nécessité politique pour la puissance publique de tracer la ligne, au-delà du « techniquement faisable », entre ce qu’il est souhaitable de faire d’un point de vue éthique et social et ce qui ne l’est pas dans une société démocratique.

Me Philippe Ehrenström, avocat, LLM, CAS, Genève et Onnens (VD)