Au terme d’un arrêt de 59 pages, la cour d’appel de Londres a jugé illicite le déploiement des caméras de reconnaissance faciale par la police galloise. Elle ne dénonce pas le principe même de cette technologie, mais le manque d’encadrement de cette expérience.

Outre-Manche, l’usage de la reconnaissance faciale par la police du Pays de Galles était une première. La solution AFR, pour Automated Facial Recognition, consiste à comparer à la volée des images de personnes dans la rue avec des bases de données gérées par les autorités locales.

Le 4 septembre 2019, un tribunal rejetait la procédure lancée par un certain Edwards Bridges. Ce militant des droits civiques, soutenu par l’ONG Liberty, était convaincu de son incompatibilité avec la Convention européenne des droits de l’Homme en particulier son article 8 relatif à la protection de la vie privée.

Dans cette première décision, l’AFR était décrite avec un luxe de détail sur chacune de ses étapes : acquisition d’images, détection des visages, extraction de leurs caractéristiques puis comparaison avec une base de surveillance.

Cette base intègre les personnes recherchées sous mandat, les évadés, les personnes soupçonnées d'avoir commis un crime, celles déclarées disparues, celles dont la présence à un événement suscite une inquiétude particulière, d’autres encore qui pourraient être utiles aux fins de renseignement, et enfin les personnes vulnérables.

En tout, entre 400 et 800 noms y figurent.La procédure s’achève avec un score de similitudes. S’il dépasse un seuil (paramétrable), un opérateur prend la main pour vérifier la correspondance effective entre le visage et sa photo. Le cas échéant, des agents locaux sont dépêchés et s’en suivent alors interrogatoires, fouilles voire arrestations.

500 000 visages traités par des yeux électroniques

Dans le déluge de chiffres, le dispositif a été testé une cinquantaine de fois entre mai 2017 et avril 2019 durant des évènements publics considérés comme importants. À chaque fois, les caméras ont été placées sur des véhicules ou des poteaux, en capacité de traiter jusqu’à 50 visages par seconde via le logiciel propriétaire NeoFace Watch, développé par Nec

Selon les chiffres évalués par la justice, 500 000 visages ont été traités entre ces dates. En une écrasante majorité, ces personnes ne présentaient aucun intérêt, aux yeux des autorités. Les données biométriques furent supprimées immédiatement mais les images systématiquement conservées 31 jours, délai en vigueur outre-Manche.

Les individus étaient alertés de la présence de ces caméras biométriques sur Facebook et Twitter, mais également par des affiches de tailles A2 sur les voitures équipées et dans un rayon de 100 m.

Les atteintes à la vie privée selon la CEDH

L’article 8 de la Convention européenne des droits de l’Homme pose que « toute personne a droit au respect de sa vie privée et familiale », le texte admet des ingérences d'une autorité publique pour autant qu’elle soit :

• prévue par la loi (et)
• qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui.

C’est sur cette base que la première juridiction avait considéré l’immixtion de ces yeux électroniques justifiée. Ce qu’a contesté l’appelant.

« Nous sommes conscients que la police utilise depuis longtemps des techniques pour recueillir des informations sans aucun doute conformément à la loi, ont relevé les juges d’appel. Par exemple, ils ont le pouvoir d’observer ce qu'ils voient dans un lieu public, de consigner ces informations et les conserver dans leurs fichiers. Tout comme l'œil humain peut observer une personne dans un lieu public, la police a le pouvoir de prendre des photos de personnes ».

Néanmoins, l’analogie n’est plus possible avec les caméras biométriques : voilà un traitement qui va concerner un grand nombre de personnes, touchant à des données biométriques intimement liées à chacune d’elles, concernant des individus dont la grande majorité ne présentera aucun intérêt pénal. C’est de là que la cour a « tiqué » sur plusieurs points du dispositif.

Un pouvoir discrétionnaire trop important

Les traitements permettent en effet d’identifier des personnes « pour lesquelles des renseignements sont nécessaires », un critère particulièrement vague et offrant une justification trop généreuse aux captations.

Surtout, l’arrêt dénonce « un pouvoir discrétionnaire trop important est laissé actuellement aux agents de police », peu en phase avec le texte de l’article 8. Cette discrétion porte aussi bien sur le « qui », à savoir les personnes pouvant être inscrite sur la base de données de référence, mais également le « où », critère permettant de déterminer où la technologie en question peut être déployée. Des « défaillances fondamentales », selon les juges.

BAME, femmes… Le risque de biais

Un autre point, dont l’analyse d’impact a été trop avare de détails, concerne le risque de biais de ce système. « Des preuves scientifiques existent selon lesquelles les logiciels de reconnaissance faciale peuvent être biaisés et créer un plus grand risque de fausses identifications dans le cas de personnes d'origine noire, asiatique et d'autres minorités ethniques [BAME, pour Black, Asian, and minority ethnic, ndlr], ainsi que dans le cas des femmes ». Dans l’arrêt, il a spécialement été reproché à la police locale de n’avoir jamais cherché à savoir si ce logiciel couplé à ces caméras était ou non victime de tels partis pris.

• Télécharger l’arrêt

Une décision saluée, une décision relativisée

L’association Liberty a salué cette victoire, réclamant l’arrêt du déploiement de ces « technologies dangereuses ». Pour son avocate, Megal Goulding, « il est temps que le gouvernement reconnaisse les graves dangers de cette technologie intrusive. La reconnaissance faciale est une menace pour notre liberté- elle doit être interdite ». Sauf que l’arrêt n’a pas condamné en elle-même la reconnaissance faciale, mais davantage les conditions de sa mise en œuvre ou plus précisément son manque d'encadrement.

C'est en ce sens qu'il faut lire la réaction des autorités. « Il n'y a rien dans l’arrêt de la cour d'appel qui mine fondamentalement l'utilisation de la reconnaissance faciale pour protéger le public. La décision ne fera que renforcer le travail qui est déjà en cours pour garantir que les politiques opérationnelles mises en place peuvent résister à une contestation judiciaire et à un examen public rigoureux » a commenté Jeremy Vaughan, en charge de la reconnaissance faciale au sein des unités de police.  

Il a indiqué au passage que la reconnaissance faciale en temps réel a abouti à l'arrestation de 61 personnes pour des infractions telles que le vol et la violence, durant différents grands événements sportifs et publics à Cardiff et Swansea. 61 cas sur 500 000 visages passés à la moulinette du logiciel. 

En France, l’appel de la CNIL

En France, le sujet de la reconnaissance faciale est l’objet de toutes les attentions. Des parlementaires déposent régulièrement des propositions de loi pour ouvrir les vannes et coupler ces caméras afin de détecter la présence de fichés S dans une foule déterminée.

En septembre 2018, la CNIL appelait « d’urgence à un débat démocratique » sur le sujet des caméras vidéo, réclament l’intervention du législateur et du gouvernement. Sur la reconnaissance faciale en particulier, elle a souligné haut et fort que cette technologie « ne peut légalement être utilisée, même à titre expérimental, si elle ne repose pas sur un impératif particulier d’assurer un haut niveau de fiabilité de l’authentification ou de l’identification des personnes concernées et sans démonstration de l’inadéquation d’autres moyens de sécurisation moins intrusifs ». Un point qui avait valu un carton rouge à deux lycées du sud de la France, tenté par ce versant sécuritaire.