Vous souhaitez avoir un état des lieux le plus complet possible des utilisations de la reconnaissance faciale, aujourd’hui en France. Connaître les projets qui étendraient son usage. Pour répondre à ces questions d’une actualité brûlante, alors que la proposition de loi sur la sécurité globale permettra à la police de capter toujours plus d’images et que trois décrets réhabilitent officiellement le fichage des opinions, nous avons interrogé l’association la Quadrature du Net.
Quelles sont les utilisations de la reconnaissance faciale déjà en cours à ce jour en France ?
La première que l’on souligne et que nous avons attaquée devant le Conseil d’État, c’est celle d’un traitement de reconnaissance faciale par la police, en connexion avec un fichier qui s’appelle le TAJ (traitement des antécédents judiciaires). Ce fichier regroupe toutes les personnes qui ont été concernées par une investigation policière. La photographie de toutes les personnes qui ont été suspectées à un moment d’avoir commis une infraction y est versée. Attention : suspecté, ce n’est pas coupable. On peut être innocent, mais c’est trop tard, notre photo a été mise dans le TAJ. Selon les derniers rapports parlementaires de 2018, ce fichier contient 18 millions de personnes et plus de 8 millions de photos.
À notre connaissance, c’est le seul fichier où il est écrit dans le code de procédure pénale que la police peut utiliser les photos qui y sont stockées pour faire de la reconnaissance faciale. Cela signifie que dans le cadre d’une enquête, si la police veut identifier quelqu’un sur la voie publique ou sur les réseaux sociaux, elle prend la photo de cette personne et regarde avec un traitement de reconnaissance faciale si celle-ci est déjà dans le TAJ. Alors qu’un débat sur cette technique va avoir lieu pour savoir si elle est nécessaire, on se rend compte qu’il existe déjà un fichier de plusieurs millions de personnes et de photos, que la police utilise déjà massivement sur la voie publique pour identifier des gens. Il est par ailleurs très difficile d’en sortir une fois qu’on y est inscrit, même si l’on a été innocenté.
Cela casse le phantasme selon lequel la reconnaissance faciale serait le futur. La seule différence avec les films de science-fiction, c’est que ce n’est pas du temps réel. Mais en y réfléchissant un peu, le temps réel n’a pas d’importance, parce qu’en temps réel ou a posteriori, cela reste un traitement de notre visage pour nous identifier. En 2019, la police a utilisé ce fichier pour faire de la reconnaissance faciale 375 000 fois. Pour les six premiers mois de l’année 2020 : plus de 200 000 fois. Cela fait plus de 1000 traitements par jour. Nous avons attaqué devant le Conseil d’État parce que cela ne respecte pas les cadres européens et français des droits.
Ensuite, il y a les portiques de reconnaissance faciale (PARAFE) déployés dans beaucoup d’aéroports et certaines gares. C’est un portique avec un traitement de reconnaissance entre ce que voit le portique et la photo qui est stockée dans le passeport biométrique. Il compare si c’est la même personne. Ici, on parle d’authentification et non d’identification. L’autre dispositif auquel on peut penser, c’est l’expérimentation faite par la municipalité de Nice pendant le carnaval. Là, le traitement des images était en temps réel avec des personnes censées être volontaires. Christian Estrosi a évoqué un taux de réussite de 99 %, mais le rapport qu’il a sorti depuis a été extrêmement critiqué par la CNIL. On en entend plus parler depuis, mais c’est un traitement de reconnaissance faciale fait sur la voie publique en temps réel qui a été présenté comme le premier en Europe.
Il y a aussi eu une expérimentation annulée grâce à une action juridique de notre part. La région PACA voulait mettre des portiques de reconnaissance à l’entrée des lycées, en authentification et non liée à un fichier. Enfin, à côté de cela, il y a beaucoup d’expérimentations privées plus difficiles à suivre, parce que moins médiatisées. La dernière en date à laquelle on peut penser, c’est celle de l’aéroport de Lyon qui a développé un parcours de reconnaissance faciale pour faciliter et fluidifier la circulation dans l’aéroport. On s’inscrit préalablement sur une application et on dispose d’un parcours facilité parce qu’on a donné son visage.
Sur quels cadres juridiques s’appuient ces dispositifs ?
Dans le TAJ, nous n’avons qu’une ligne sur ce point dans le code de procédure pénale. Le principal dispositif de reconnaissance faciale en France n’est finalement pas du tout encadré. Il n’y a pas de garanties. Sinon, nous sommes dans le cadre juridique de la vie privée et des données personnelles. Techniquement, on peut se référer à deux textes européens transposés en droit français. Il s’agit du règlement européen général sur la protection des données personnelles (RGPD). Il cadre les utilisations commerciales ou civiles de la reconnaissance faciale. À côté, un autre texte est le pendant policier du RGPD : la directive « Police-Justice ». Ce sont les mêmes dispositions, mais adaptées à un dispositif policier.
Ces deux textes traitent de manière générale des données personnelles. Mais sur les données biométriques à des fins d’identification, il y a deux articles particuliers chaque fois. Le législateur européen a considéré que c’était des données particulièrement importantes et sensibles. Elles sont rangées dans le même cadre que les données sur les opinions politiques ou sur la sexualité. Dans le RGPD, la base est l’interdiction : on n’a pas le droit de traiter des données biométriques. Ce n’est que par exception que le législateur permet leur traitement. Malheureusement, il y a pas mal d’exceptions. La première est le consentement, mais il existe aussi des exceptions liées à la sécurité sociale, la santé, et puis celles autour d’un concept assez flou « d’intérêt public important ».
La directive « Police-Justice » et le RGPD font passer chaque traitement de donnée personnelle par deux principes très importants : la nécessité et la proportionnalité. À chaque fois, il faut prouver que c’est nécessaire et proportionné à l’objectif poursuivi. Cela veut dire qu’il faut prouver qu’il n’existe pas un autre dispositif moins attentatoire aux libertés pouvant atteindre le même objectif. Pour faire la reconnaissance faciale, la police doit prouver que c’est absolument nécessaire. C’est un point que nous utilisons dans nos contentieux et que l’on soulève au Conseil d’État contre le TAJ : la police ne prouve à aucun moment l’absolue nécessité. Elle arrivait très bien à faire son travail avant, et elle y arriverait très bien sans. Elle ne prouve pas qu’elle a absolument besoin pour son travail d’utiliser la reconnaissance faciale de masse comme elle le fait.
Pour l’histoire des portiques dans les lycées, nous avons gagné au tribunal administratif contre la région, mais la CNIL avait auparavant donné un avis négatif sur la nécessité : vous n’avez prouvé à aucun moment pourquoi un humain serait moins efficace qu’une machine pour le contrôle des lycéens à l’entrée. À côté de ces deux textes, nous retrouvons tous les cadres juridiques des libertés, les chartes des droits fondamentaux, la constitution, etc.
Cette question du cadre juridique est importante, parce que les promoteurs de la reconnaissance faciale (Thales ou certains députés) demandent eux aussi un cadre juridique. Ils disent : nous sommes dans le flou, nous avons peur des actions juridiques, nous voulons un cadre juridique. Donc, la question de vouloir un cadre juridique adapté et précis n’est pas forcément bon signe. Ils souhaitent une sécurité juridique qui leur permette de déployer leurs dispositifs. Nous préférons rester sur le fait que le seul cadre juridique qui vaille est l’interdiction, et le principe de nécessité.
Quels sont les projets de reconnaissance faciale à court ou moyen terme en France ?
À court terme, il y a l’identité numérique. L’idée est, selon le gouvernement, de donner à tous les Français une identité numérique pour s’identifier de façon plus sécurisée sur internet, et accéder aux services publics en ligne. Cela va de pair avec la dématérialisation des services publics qui laisse beaucoup de gens sur le côté. L’État s’est persuadé, s’est laissé persuadé, ou veut nous persuader que la reconnaissance faciale est le dispositif le plus sécurisé qui existe pour s’identifier en ligne. Ce qui est largement contestable et souvent faux : si vous vous faites voler votre visage par une quelconque technique, vous ne pouvez pas le récupérer.
Pour l’identité numérique, la France veut utiliser la reconnaissance faciale. Le principal projet était Alicem, mais semble disparaître dans les limbes des projets administratifs. C’était une application numérique pour s’identifier sur les services publics. Le remous médiatique semble avoir entraîné l’abandon du projet, mais il semble remplacé par l’arrivée d’une carte d’identité numérique. Ce à quoi nous devrions avoir à faire sera probablement que pour s’identifier sur un service public, il faudra prendre une photo de soi avec son téléphone. Et comme pour les portiques d’aéroports, le logiciel comparerait la photo qu’il voit avec celle stockée sur la puce du passeport ou de la carte d’identité. Sachant que depuis 2016, il y a le fichier TES (titres électroniques sécurisés) qui comprend énormément de données biométriques des Français, dont la photo. Aujourd’hui, son accès est restreint, et la reconnaissance faciale ne peut lui être appliquée, mais c’est un décret qui en fixe les limites. C’est donc modifiable par le gouvernement.
L’autre projet, c’est les Jeux olympiques de Paris 2024. Le député LREM Didier Bachaire pousse pour une loi sur la reconnaissance faciale qui permette aux industriels de l’expérimenter tranquillement pour la Coupe du monde de rugby en 2023 et pour les JO de 2024. Un conglomérat d’entreprises françaises veut qu’on lui laisse le champ libre pour faire de Paris et la France la vitrine de la surveillance biométrique à cette occasion. Le sport et les stades sont des bons lieux d’expérimentation. Cela a d’ailleurs été le cas lors d’une expérimentation dans le stade de football de Metz. L’industrie française qui veut être le champion européen de la reconnaissance faciale est en pole position sur ces sujets.
Par contre, nous sommes toujours un peu largués par les usages des entreprises privées qui banalisent ces technologies. Comme le déverrouillage par Apple de ton téléphone par la reconnaissance faciale, ou Face App. Il y a aussi une multiplicité de dispositifs privés dont on parle moins, mais qui participent à sa normalisation dans la société.
Le gouvernement semble particulièrement ouvert sur ces questions. Qu’en est-il réellement ? Compte-t-il légiférer ?
Le fait est que la police utilise déjà la reconnaissance faciale et expérimente des techniques de reconnaissance biométrique. Ont-ils besoin d’une loi qui autorise la reconnaissance faciale ou d’une loi qui la facilite ? Dans le deuxième cas, la loi sur la sécurité globale est parfaite pour cela. Elle permet une interconnexion de plusieurs dispositifs de caméras : fixes, piétons et drones. Cela donne énormément d’images qui vont être centralisées sur un centre de commandement. Là-dessus, il est possible de faire tourner des logiciels d’analyses.
Une loi sur la reconnaissance faciale n’est pas impossible : des députés en parlent et des gens de la majorité la souhaitent. Il y a un an, Cédric O disait au journal Le Monde : il faut expérimenter la reconnaissance faciale et nous aurons peut-être besoin d’un texte pour cela. Mais nous n’avons toujours rien vu venir. Ils ont peut-être plutôt envie d’expérimenter et de faire marcher leurs algorithmes en toute opacité, sans avoir à se payer le danger d’un débat public général sur la reconnaissance faciale.
Ne craigniez-vous pas que la reconnaissance faciale avance jusqu’à se banaliser de la même façon que la vidéosurveillance dans les années 90 ?
C’est un risque, mais nous ne nous sommes jamais sentis aussi soutenus que quand nous faisons des actions contre la reconnaissance faciale. Cela fait appel à un imaginaire de science-fiction qui fait extrêmement peur, et qui mobilise bien plus que d’autres sujets contre lesquels nous nous battons sur internet. Du coup, en face, ils essayent de ne plus utiliser le mot reconnaissance faciale, en utilisant identification ou authentification biométrique. Ce, pour ne plus avoir ce mot clef qui mobilise énormément et visibilise le dispositif de vidéosurveillance que certains d’entre nous avaient un peu oublié. Nous l’avons vu en créant la campagne Technopolice sur les nouvelles technologies policières et l’analyse d’images. Énormément de gens se disent qu’on ne peut pas regarder ce sujet-là, si l’on ne regarde pas aussi le sujet des déploiements des caméras.
Le débat est fort et n’est pas en voie de s’arrêter. Aux États-Unis, des villes ont interdit la reconnaissance faciale, au moins en partie. C’est quelque chose que l’on avait moins vu pour la vidéosurveillance. Il y a aussi la campagne d’EDRI qui demande une interdiction générale de la surveillance biométrique en Europe. Tout cela nous donne bon espoir. De plus, nous avons des textes européens forts sur le principe de nécessité absolue. Les victoires contre les portiques en PACA ou contre les drones nous donnent espoir de pouvoir gagner, ou au moins limiter au maximum ce genre de dispositifs et de type de surveillance. Cependant, notre crainte est que la reconnaissance faciale soit le chiffon rouge qui cache le reste de la reconnaissance biométrique. Est-ce que la détection de comportements suspects par du tracking de silhouette dans certaines villes est moins grave ? Non, c’est tout aussi important pour nos libertés et notre vision de la société.
Quelles sont les raisons de votre opposition à la reconnaissance faciale ?
La reconnaissance faciale est l’outil parfait pour la surveillance de masse. Pourquoi ? Parce qu’il faut toujours le mettre en rapport à la multiplication des caméras, mêlé au fait qu’on peut difficilement protéger son visage. Elle permet une identification constante sur la voie publique de tout, et de tout le monde. C’est aussi l’outil parfait parce que tu ne sais pas quand on te prend ton visage. Tu ne sais pas forcément quand tu es filmé dans la rue. Quand un algorithme t’identifie, tu ne le sais pas non plus.
Cela permet de quadriller toute une ville en identifiant constamment n’importe quoi et tout le monde, sans que tu sois au courant que tu es identifié. Certes, il peut aussi y avoir une identification par la silhouette ou la démarche, mais là il y a aussi une vision plus philosophique. Celle du visage, qui est un de nos principaux outils corporels pour communiquer, qui est notre identité propre. C’est hyper intime. Ce mélange d’un outil parfait et de l’intime donne une surveillance finale qui fait très peur.
Finalement, la reconnaissance faciale c’est le contrôle d’identité de masse indistinct dans la rue. Aujourd’hui sur le sujet des contrôles au faciès, dans le code de procédure pénale, si la police te demande ton identité, elle doit normalement au moins prouver qu’elle te soupçonne de quelque chose. Avec la reconnaissance faciale, c’est fini. C’est le contrôle d’identité permanent et généralisé.
Photo : capture d’écran d’une publicité Panasonic Security
Faisons face ensemble !
Si les 5000 personnes qui nous lisent chaque semaine (400 000/an) faisaient un don ne serait-ce que de 1€, 2€ ou 3€/mois (0,34€, 0,68€ ou 1,02€ après déduction d’impôts), la rédaction de Rapports de force pourrait compter 4 journalistes à temps complets (au lieu de trois à tiers temps) pour fabriquer le journal. Et ainsi faire beaucoup plus et bien mieux.