Les systèmes de « détection audio intelligente » de bruits suspects ne peuvent pas, en l'état, être associés aux systèmes de « vidéoprotection », explique la CNIL, du fait qu'ils seraient dès lors « susceptibles de permettre la réidentification d'une personne physique  ». 

Le dispositif d’audiosurveillance algorithmique (ASA) déployé à Orléans dans le cadre d’une convention avec la start-up locale de surveillance USS Sensivic était « illicite », vient de répondre la CNIL à la Quadrature du Net (LQDN), qui avait attaqué le dispositif en 2021.

Le système de « détection audio intelligente » de Sensivic des « bruits anormaux (ondes de choc de type coups de feu, explosion, voiture bélier, bris de vitre, accident...) » avait été relié au dispositif de vidéoprotection de la ville, afin qu'elles puissent être réorientées en cas d'alerte vers l'origine de la source du bruit. 

La novlangue de la mairie d'Orléans

En réponse, la mairie d'Orléans avait répliqué qu'il ne s'agissait pas de micros, mais de « détecteurs de vibration de l’air » (sic), allant jusqu'à souligner qu' « il convient de préciser que le traitement numérique s’opère par un code “firmware” c’est-à-dire embarqué dans le processeur électronique, et non pas de code “informatique” utilisé dans des ordinateurs classiques. Il s’agit, donc, d’électronique numérique. »

Sensivic avance pour sa part que ses produits « respectent la vie privée en anonymisant les sons, conformément au RGPD », qu'ils ont été audités par « un laboratoire indépendant référent sur le métier », et que « les sons captés par les produits Sensivic sont transformés de manière à rendre impossible de remonter à des voix, à des conversations, et qu’ainsi, aucune donnée pouvant être interprétée comme une donnée à caractère personnel n’est accessible sur nos produits » : 

« Effectivement, nos systèmes fonctionnent via un apprentissage non supervisé, sans bases de données en entrée. Par conséquent, ils n’offrent aucune possibilité de comparaison et d’identification d’une personne par rapport à une référence sonore donnée en entrée. »

Les caméras ne peuvent pas être couplées à des micros

La CNIL souligne que « les sons n'étaient ni enregistrés ni retransmis (ni à la société, ni au centre de sécurité orléanais), et qu'aucune des données traitées n'avait une durée de vie supérieure à 64 millisecondes, temps nécessaire à l'anonymisation de l'échantillon sonore ».

Elle n'en constate pas moins que « pour autant, il doit être considéré que le couplage des données sonores et visuelles constitue un traitement de données à caractère personnel, en ce qu'il est susceptible de permettre la réidentification d'une personne physique  ».

L'expérimentation a beau avoir été achevée en octobre 2022, la CNIL rappelle que les dispositions applicables du code de la sécurité intérieure (CSI) « prévoient uniquement la possibilité d'installer des systèmes de vidéoprotection de les (sic) communes sans captation du son », ce pourquoi l'expérimentation est qualifiée d' « illicite » : 

« seule une loi spécifique, adaptée aux caractéristiques techniques et aux enjeux en question serait de nature à fournir un encadrement adéquat, en application de l'article 34 de la Constitution. »

Une « victoire décevante »

La Quadrature se félicite du fait que « la CNIL vient ici rappeler ce qu’elle avait déjà dit à Saint-Étienne » qui, en 2019, avait envisagé un projet d'ASA similaire avec l'aide de l'entreprise Serenicity. La CNIL avait alors déjà rappelé qu’il est illégal de capter des sons dans l’espace public pour améliorer la vidéosurveillance.

LQDN qualifie néanmoins la réponse de la CNIL de « décevante ». D'une part parce que « la CNIL a mis presque trois ans à instruire ce dossier et à prendre une décision, alors qu’il ne s’agissait que de l’application stricte d’une décision déjà prise dans le passé à Saint-Étienne ».

D'autre part parce que « la CNIL limite son raisonnement à la question du couplage de l’ASA avec la vidéosurveillance » :

« A contrario, elle considère que, lorsque l’ASA n’est pas couplée à de la vidéosurveillance, il pourrait ne pas y avoir de traitement de données personnelles. Cette analyse de la CNIL, bien que sans conséquence pratique, reste très contestable juridiquement. En bref, elle semble laisser une marge à l’industrie de la surveillance sur la question de l’analyse automatisée des sons. »

Dans sa réponse à LQDN, la CNIL souligne en effet que lors d'une seconde expérimentation, les détecteurs étaient toujours en place, qu'USS Sensivic a continué à les exploiter « aux fins d'amélioration de son dispositif, sans que le couplage avec le dispositif de vidéoprotection ne perdure » et que, dès lors, « la société ne met pas en œuvre de traitement de données à caractère personnel ».

LQDN, pour qui « cette victoire devant la CNIL est une bonne nouvelle », attend désormais la décision de la justice administrative, qu'elle avait également saisi à ce sujet.