Datakalab s’est associée à la ville de Cannes pour déployer des caméras permettant de détecter le port du masque dans l’espace public. Contactée, la CNIL nous donne sa première analyse, l'examen de ce dossier ne faisant que commencer.

Depuis le 26 avril sur trois marchés de la ville de Cannes (Forville, Gambetta, La Bocca), la mairie a mis en place les caméras de Datakalab. L’enjeu ? Évaluer le pourcentage des personnes portant des masques ou non.

Techniquement, « on installe des petites caméras. Derrière, des CPU traitent en 100 ms le flux vidéo pour le transformer en données. Le flux n’est jamais stocké. Tout est fait en RAM et on ne conserve que des bases de données agrégées, typiquement des données de comptage et de pourcentage de port du masque » nous expliquait Xavier Fischer, directeur de Datakalab.

Il nous avait précisé également avoir fait appel au cabinet Gaulle Fleurance & Associés pour encadrer la question des données personnelles. Le traitement repose sur l’intérêt légitime, une des bases légales prévues par le RGPD. « Tout est sécurisé, encrypté, etc. de façon à ce qu’on ne puisse pas prendre la main sur notre système. Même nous, on n’a pas accès aux caméras » assure le responsable.

La finalité du traitement est statistique, la société refusant toute mesure de « flicage », selon l’expression de son « CEO ». « Il n’y a pas de reconnaissance faciale. On fait simplement du comptage. C’est éphémère. On n'a de base de données sur personne. Pour vous donner un exemple, si vous passez deux fois devant notre caméra, vous allez être compté deux fois ».

Une instruction en cours, un traitement portant sur des données statistiques

Contactée, la CNIL nous répond avoir été sollicitée « concernant la conformité d’un dispositif de détection du port de masques dans l’espace public à des fins d’optimisation de la distribution de masques et d’évaluation de la gestion des mesures sanitaires (à l’exclusion de toute finalité de prévention et de recherche d’infraction) ». L’instruction du dossier est en cours, prévient-elle.

« Au regard des premières informations dont la Commission dispose, il apparaît que ces dispositifs ont pour objet de traiter des données statistiques anonymes (taux de fréquentation, pourcentage de port du masque) afin de garantir la sécurité sanitaire d’un site et d’effectuer, si besoin, des actions de prévention » indique-t-elle à Next INpact.

« Les images des caméras seraient traitées dans le seul objectif pour produire ces indicateurs statistiques et ne seraient ni visualisées, ni conservées ». Conclusion : « de telles mesures d’ « anonymisation » présentent des garanties en matière de protection de la vie privée des personnes ».

Un traitement relevant sans doute du RGPD, le risque de ré-identification

Sur l’encadrement de ce dispositif, elle considère à cet instant qu’un traitement de données à caractère personnel est bien soumis à la loi Informatique et Libertés et au RGPD « dans la mesure où ils se basent sur l’utilisation de caméras qui filment de manière continue un espace ouvert au public constituant une collecte de données personnelles (image des personnes) ». Et surtout, qu’ « il pourrait exister un risque de ré-identification des personnes filmées à partir des données issues des vidéos ».

Fidèle à sa doctrine, qui veut que l’état de crise sanitaire ne mette pas sous cloche la législation sur la protection des données, elle examinera « de manière attentive la conformité de tels dispositifs au règlement et à la loi Informatique et Libertés et rappellera les règles applicables en matière de protection des données personnelles ».

Elle nous indique dès à présent qu’elle « sera notamment particulièrement vigilante quant aux garanties apportées concernant l’information des personnes concernées et l’exercice effectif de leurs droits ». Selon le site officiel, rappelons que « si une personne ne souhaite pas participer à notre analyse, elle peut faire "non" de la tête lorsqu'elle se trouve face à une caméra », ce afin de faire valoir le droit d’opposition.

À ce stade de l’examen du dossier, qui ne fait que commencer, la Commission estime qu’aucun traitement de données biométriques n’est mis en place via des technologies de reconnaissance faciale. Elle souligne « que le traitement de telles données est encadré par un régime juridique plus strict (principe d’interdiction assorti de dérogations limitées) et que des garanties complémentaires devraient être mises en œuvre ».