Alors qu'un rapport sénatorial propose une loi d'expérimentation de la reconnaissance biométrique faciale, l'EFF revient sur les modalités des moratoires et interdictions du recours à cette technologie, adoptés ces trois dernières années par 17 municipalités aux États-Unis.

Depuis que la ville de San Francisco a, il y a trois ans, adopté la toute première interdiction de l'utilisation de la reconnaissance biométrique faciale par les autorités locales, « au moins 16 autres municipalités » américaines ont suivi, a comptabilisé l'Electronic Frontier Foundation (EFF).

L'ONG, qui déplore et dénonce « les taux d'erreur – et les conséquences associées – beaucoup plus élevés pour les femmes et les personnes à la peau plus foncée », a aussi identifié plusieurs « nuances importantes » dans ces moratoires.

L'objectif de son recensement est d'identifier les subtilités légales et technologiques témoignant de la complexité du problème, afin d'aider les prochaines initiatives législatives à « protéger au mieux leurs communautés ».

• Un rapport parlementaire veut avancer sur la reconnaissance faciale

« Dans toute législation relative à la technologie », souligne l'EFF, « il convient d'accorder une attention particulière à la définition des outils et des applications qui sont, ou ne sont pas, censés être couverts » :

« Ce défi est d'autant plus difficile à relever qu'il faut définir la technologie concernée de manière suffisamment large pour s'assurer que les capacités émergentes sont prises en compte de manière appropriée, tout en évitant de toucher par inadvertance des technologies et des applications qui ne devraient pas entrer dans le champ d'application de la loi. »

• [Tribune] Wikimédia France réclame une interdiction de la surveillance biométrique dans l'espace public

De l'interdiction (ou non) de la sous-traitance...

La ville d'Oakland, en Californie, a ainsi fait le choix de ne pas se limiter à la seule reconnaissance faciale des visages aux fins d'identification ou de vérification, mais de couvrir également « les caractéristiques de la tête et du corps d'un individu », anticipant d'éventuels développements des technologies biométriques : 

« La "Technologie de reconnaissance du visage" désigne un processus automatisé ou semi-automatisé qui : (A) aide à identifier ou à vérifier un individu sur la base de son visage ; ou (B) identifie ou enregistre les caractéristiques du visage, de la tête ou du corps d'un individu pour en déduire des émotions, des associations, des expressions ou l'emplacement d'un individu. »

L'EFF souligne qu'une chose est d'interdire aux services municipaux de recourir à la reconnaissance faciale, une autre est de les autoriser à la sous-traiter, en recourant aux services proposés par d'autres entités publiques, ou privées. 

Il lui apparait également nécessaire que les villes interdisent dès lors à leurs agences « d'acquérir ou d'utiliser des informations issues de la technologie de reconnaissance faciale » : 

« Alors que les services de police de grandes villes comme New York et Detroit peuvent disposer de systèmes de reconnaissance faciale internes et d'équipes d'opérateurs, de nombreuses autres agences de police locales dans tout le pays se tournent vers les agences d'État, les centres de fusion et le FBI pour obtenir de l'aide concernant leurs demandes de reconnaissance faciale. Ainsi, une législation qui porte sur la technologie mais pas sur les informations qui en découlent risque d'avoir peu d'impact. »

L'EFF cite le cas de la police de San Francisco, qui avait « largement diffusé à d'autres agences » la photo d'un suspect inconnu. L'une d'entre elles, qui avait le droit de recourir à la reconnaissance faciale, a réussi à identifier l'individu, permettant aux policiers de San Francisco d'exploiter les informations obtenues.

Certaines villes acceptent de même que leurs polices puissent « acquérir et utiliser des informations qu'une autre entité a obtenues par reconnaissance faciale ». Boston interdit par contre à ses policiers de demander à d'autres agences de l'utiliser en son nom. La Nouvelle-Orléans va plus loin, « en interdisant l'utilisation des informations générées par cette technologie "à la connaissance" d'un fonctionnaire municipal ».

... à la consignation de l'inadvertance

Plusieurs villes, dont Berkeley, ont décidé de rendre illégal « l'accès ou l'utilisation d'informations obtenues par la technologie de reconnaissance faciale, quelle que soit la source de ces informations » :

« Le directeur municipal ou toute personne agissant au nom du directeur municipal qui obtiendrait, conserverait, demanderait, accéderait ou utiliserait : i) toute technologie de reconnaissance faciale ; ou ii) toute information obtenue à partir de la technologie de reconnaissance faciale le ferait en violation de cette ordonnance... »

Berkeley précise en outre que les informations issues de la technologie de reconnaissance faciale auxquels des employés municipaux accèderaient « par inadvertance » ne sauraient être exploitées, et devraient être rapidement détruites. 

De plus, ces accès par inadvertance devraient être « consignés et inclus dans le rapport technologique annuel de la ville, y compris les mesures prises pour empêcher toute transmission ou utilisation ultérieure » :

« Cette mesure de transparence essentielle garantit que les résidents et les législateurs sont informés de ces erreurs et qu'ils peuvent mieux identifier tout modèle suggérant un contournement intentionnel de l'objectif de la loi. »

La reconnaissance faciale pour anonymiser les vidéosurveillés

Les exceptions étant susceptibles de finir par infirmer la règle, « les auteurs et partisans des interdictions d'utilisation de la reconnaissance faciale par le gouvernement doivent faire preuve de prudence lorsqu'ils définissent les utilisations autorisées », souligne l'EFF.

Elle évoque ainsi plusieurs ordonnances autorisant la biométrie afin d'identifier puis brouiller les visages reconnaissables dans les documents gouvernementaux destinés à être rendus publics en vertu des lois sur le droit d'accès à l'information (FOIA) : 

« Cela peut contribuer à garantir, par exemple, un accès public transparent aux vidéos de l'usage de la force par la police détenues par le gouvernement, tout en protégeant la vie privée des civils représentés. La technologie de détection des visages ne nécessite pas la création d'empreintes faciales permettant de distinguer une personne d'une autre, et soulève donc moins de problèmes de confidentialité. »

L'ordonnance du comté de King prévoit deux autres garanties : la technologie de détection des visages ne peut être utilisée que « dans le but d'expurger un enregistrement en vue de sa diffusion [...], afin de protéger la vie privée d'un sujet représenté dans l'enregistrement », et elle « ne peut pas générer ou aboutir à la conservation d'une quelconque information de reconnaissance faciale ».

Le contrôle d'accès autorisé

« Bien que les mots de passe offrent une meilleure protection » que le déverrouillage par reconnaissance biométrique faciale, note l'EFF, certaines municipalités autorisent par ailleurs leurs employés à y avoir néanmoins recours, par commodité.

L'objectif est d'éviter que certains d'entre eux, habitués à déverrouiller leurs terminaux personnels avec leurs visages, ne sécurisent pas suffisamment l'accès à leurs terminaux professionnels, au surplus parce qu'ils sont utilisés « pour recueillir des informations personnelles sur les membres du public, et [que] ces informations doivent être stockées en toute sécurité ». 

Dans le même ordre d'idée, certaines municipalités autorisent le contrôle d'accès par reconnaissance biométrique faciale à certains bâtiments sensibles. Portland le conditionne cela dit au « consentement explicite » des employés, et prévoit qu'aucunes données de ceux qui s'y refuseraient ne puissent être traitées.

Interdire, et faire respecter l'interdiction

« Il ne suffit pas d'interdire aux gouvernements l'utilisation de la reconnaissance faciale » rappelle en outre l'EFF : « il est également nécessaire de faire respecter cette interdiction ». Pour l'ONG, « le meilleur moyen est de donner aux membres de la communauté les moyens d'intenter leurs propres actions en justice ».

Oakland précise ainsi que « toute violation de cet article [...] constitue un préjudice et toute personne peut engager des poursuites ». L'EFF précise cela dit que le fait de limiter la possibilité d'intenter un recours aux seules personnes pouvant « prouver qu'elle a subi un préjudice en étant soumise à la reconnaissance faciale » représente « une erreur » : 

« Il peut être extrêmement difficile d'identifier de telles personnes [...] En outre, l'utilisation par le gouvernement de la reconnaissance faciale nuit à l'ensemble de la communauté, notamment en décourageant les manifestations dans les espaces publics. »

L'ONG estime dès lors qu'il faut prévoir « un arsenal complet de recours », à commencer par le fait qu' « un juge doit avoir le pouvoir d'ordonner à une ville de se conformer à l'ordonnance », ainsi que la possibilité de « dommages et intérêts pour une personne qui a été soumise à la reconnaissance faciale », entre autres : 

« D'autres outils d'application sont également importants. Premièrement, les preuves recueillies en violation de l'ordonnance doivent être exclues des procédures judiciaires, comme à Minneapolis. Deuxièmement, les employés qui dénoncent le non-respect des règles devraient être protégés, comme à Berkeley. Troisièmement, les employés qui enfreignent les règles devraient faire l'objet de mesures disciplinaires sur le lieu de travail, comme à Brookline. »

Interdire la reconnaissance faciale, et au-delà

L'ONG souligne enfin que la réflexion autour de ce genre d'interdictions de la reconnaissance biométrique faciale devrait également concerner les autres types de technologies de surveillance : 

« Par exemple, l'EFF s'oppose à l'utilisation par le gouvernement de la police prédictive. Nous sommes heureux que quatre villes aient adopté des ordonnances interdisant leur utilisation par les municipalités : La Nouvelle-Orléans, Oakland, Pittsburgh et Santa Cruz. De même, l'EFF a soutenu l'interdiction par Oakland de l'utilisation municipale des empreintes vocales. »

• ​​Un moratoire sur la vidéosurveillance utilisant la reconnaissance faciale en Italie

Ces subtilités et modalités visent a priori les États-Unis et son système judiciaire. Elles pourraient néanmoins pouvoir contribuer au débat, tant national qu'européen (voir à ce titre la campagne et pétition Reclaim Your Face), au sujet des expérimentations et autorisations du recours à la reconnaissance biométrique, faciale et autres.

Pour rappel, les eurodéputés avaient adopté en octobre 2021 une résolution par 377 voix pour, 248 contre et 62 abstentions, appelant à un moratoire sur le déploiement des systèmes de reconnaissance faciale à des fins répressives, « à moins qu’ils ne soient utilisés qu’aux fins de l’identification des victimes de la criminalité ».

Le moratoire précisait : « jusqu’à ce que les normes techniques puissent être considérées comme pleinement respectueuses des droits fondamentaux, que les résultats obtenus ne soient ni biaisés, ni discriminatoires, que le cadre juridique offre des garanties strictes contre les utilisations abusives ainsi qu’un contrôle et une surveillance démocratiques rigoureux, et que la nécessité et la proportionnalité du déploiement de ces technologies soient prouvées de manière empirique. »

Cette résolution politique, mais non juridique, plaidait également pour l’interdiction permanente « de l’utilisation de l’analyse et/ou de la reconnaissance automatisées, dans les espaces accessibles au public, d’autres caractéristiques humaines telles que la démarche, les empreintes digitales, l’ADN, la voix et d’autres signaux biométriques et comportementaux ».