La Quadrature du Net et la Ligue des droits de l’Homme ont déposé un recours en référé lundi contre le projet « Big Data pour la tranquillité publique ». Sur la rampe de la cité Phocéenne, une armada d’outils de surveillance urbaine dignes d’un roman d’Orwell, attaquée devant le tribunal administratif. Explications.

Il y a eu Saint-Étienne et ses micros dits intelligents, ces deux lycées du Sud de la France férus de reconnaissance faciale, voilà donc la « Safe City » marseillaise. Un projet d’ampleur reposant sur des caméras dites intelligentes, en capacité de détecter des comportements ou des bruits suspects, afin d’orienter les attentions et moyens sécuritaires ici plutôt que là. « Tout comme la reconnaissance faciale, ils entraînent un contrôle invisible et indolore de la population, considérée comme suspecte de facto » craint la Quadrature du Net.

Le point de départ de ce système remonte à 2015 avec un appel d’offres où se dessine ce projet de « traitement automatique de données », aiguisé pour « détecter des anomalies/incidents/faits remarquables », le tout en temps réel sur des pans entiers de Marseille, avec possibilité de suivi pour remontrer l’itinéraire d’un individu, mise en place de capteurs, repérage de visages et combinaison de ces données dans le cadre d’une aide à la décision.

Des traitements relevant de la directive Police-Justice

Dans leur requête déposée devant le « TA », la Quadrature et la LDH puisent des exemples applicatifs de l’appel d’offres, obtenus par requête CADA : « dépose sauvage d’ordures », « vol/disparition/destruction de mobilier urbain », détection sonore d’« explosion, coup de feu » ou de « comportement anormaux : bagarre / rixe, maraudage, agression ».

Dans ce recours signalé aussi par Télérama, ils estiment d’abord ce dispositif comme relevant de la directive Police Justice, transposée dans la loi CNIL de 1978 modifiée. Et au regard des travaux effectués par le Comité européen de la protection des données, ces outils de suivis comportementaux personnalisés relèveraient des données biométriques.

« Qu’il s’agisse de caractéristiques physiques ou physiologiques (i.e. âge, taille, corpulence, genre) ou comportementales (i.e. couleur des habits, position, démarche), il s’agit encore de permettre à la police d’individualiser une personne de façon unique au sein des autres personnes présentes sur le lieu où la mesure doit être prise ». Chacune de ces opérations manipule de la donnée personnelle et constitue un traitement destiné à identifier précisément un individu parmi tant d’autres.

Nécessité d'une étude d'impact et consultation préalable de la CNIL 

Or, ce périmètre posé, la LDH et LQDN en déroulent les obligations afférentes, constatant que la décision administrative n’a été précédée d’aucune analyse d’impact. Ce document est pourtant exigé par l’article 27 de la directive dès lors qu’existe un « risque élevé » pour les droits et libertés des personnes physiques, tel qu’interprété par la Commission informatique et liberté fin 2018.

Il suffit pour mémoire que le traitement réponde à deux de ces critères pour qu’un responsable soit en principe tenu de réaliser une telle étude préalable. Parmi eux, citons les traitements à grande échelle, le profilage, la surveillance systématique, le croisement ou la combinaison de données, les traitements portant sur les données sensibles, dont la biométrie…

Mieux encore, les textes en vigueur exigent la consultation préalable de l’autorité de contrôle. « Les requérantes ont interrogé la ville de Marseille et la CNIL sur l’état d’avancement de l’installation du projet ainsi que sur la communication de l’étude d’impact dont le caractère obligatoire a été exposé précédemment. Aucune réponse n’a malheureusement été obtenue à ce jour » relate le recours.

Le 11 décembre dernier, notre confrère Olivier Tesquet, journaliste à Télérama révélait que la CNIL n’avait jamais entendu parler du projet, malgré les procédures d’appels d’offres. Or selon les textes, l’étude d’impact doit « être lancée le plus tôt possible dans le cycle de conception du traitement ».

Quid de la CEDH ? 

Les deux associations estiment encore que le Big Data de la tranquillité est en indélicatesse avec la Convention européenne de sauvegarde des droits de l’Homme, et son sacro-saint respect de la vie privée. Celle-ci est protégée mais admet dans le même temps des incises pourvu que chacune soit « prévue par la loi et qu’elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l’ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d’autrui » (article 8.2).

Voilà pourquoi la CNIL avait considéré que seule une loi spécifique pouvait autoriser la démultiplication de ces oreilles électroniques dans les rues de Saint-Étienne, aux fins de détecter des bruits suspects : « Seule une loi spécifique, adaptée aux caractéristiques techniques et aux enjeux en question, serait de nature à fournir un encadrement adéquat aux traitements envisagés ». En son absence, elle ne pouvait que tirer les oreilles de ces traitements sécuritaires.

Pour les deux organisations, la situation marseillaise est comparable en ce qu’elle s’appuie sur une combinaison de technologies jamais déployées. Elle exigerait en conséquence une loi dédiée. « La description de l’appel d’offres démontre donc que le système mis en place par la ville de Marseille dépasse largement les fonctionnalités classiques de « vidéoprotection » prévues par le code de sécurité intérieure. En particulier, les fonctionnalités d’analyse des images et des sons prévues dans le dispositif permettent une surveillance active et automatisée de l’ensemble de la population circulant sur la voie publique, grâce à une aide algorithmique et le traitement de données personnelles, notamment biométriques ».

Une solution excessive

De même, elles jugent ce système non justifié, faute pour la ville d’avoir « indiqué en quoi un tel traitement de données, pratiqué sur l’espace public à Marseille, est adéquat, pertinent et manifestement non excessif par rapport à l’objectif poursuivi ». Même sort pour la biométrie : « à aucun moment, démontré la nécessité de mettre en place et recourir à un tel traitement, encore moins la nécessité absolue de ce dispositif par rapport à d’autres moyens ».

Enfin, le système opérerait une délégation à une personne privée, des compétences de police administrative. Or, l’article 12 de la Déclaration des droits de l’homme et du citoyen de 1789 prévoit que la garantie des droits doit être assurée par une « force publique ». « La décision attaquée prévoit la délégation au titulaire du marché, en l’espèce, la société SNEF, d’un grand nombre de pouvoirs de surveillance de la voie publique et de pouvoirs de police administrative, écrivent les requérantes. Il est en effet indiqué que le paramétrage des algorithmes sera fait par l’entreprise privée titulaire du marché qui se voit donc déléguer des compétences de caractérisation d’évènements pouvant engendrer une alerte et déclencher la surveillance active effectuée par des « opérateurs humains » ».