À l’issue d’une consultation publique, la CNIL publie sa position sur les conditions de déploiement des dispositifs de vidéo « augmentée » dans les lieux ouverts au public. Elle y présente notamment le cadre juridique actuellement applicable et souligne les risques pour les droits et libertés des personnes.

Une priorité stratégique pour la CNIL

Depuis 2017, la CNIL appelle à la vigilance concernant les évolutions des outils de vidéoprotection et l’inadéquation du cadre légal avec certaines technologies parfois déployées. Pour autant, depuis plusieurs années, de nouveaux types de caméras équipées de logiciels d’intelligence artificielle se développent. Il s’agit par exemple de dispositifs qui filment la voie publique et peuvent comptabiliser en temps réel les différents usages (piétons, voitures, vélos) afin de les répertorier, ou encore qui comptabilisent et catégorisent (genre, âge, etc.) les personnes fréquentant un centre commercial afin d’adapter les contenus publicitaires ou l’agencement des enseignes ou des produits.

Ces caméras soulèvent de nouveaux enjeux pour les droits et libertés des personnes, et de nombreux professionnels ou associations ont interrogé la CNIL sur leur encadrement juridique. La CNIL a souhaité exposer ses réflexions et ses analyses sur le sujet d’un point de vue éthique, technique et juridique.

Elle a ainsi publié un projet de position qu’elle a soumis à une consultation publique durant deux mois, pour permettre à l’ensemble des parties prenantes (citoyens, administrés, consommateurs, industriels/fournisseurs de solutions, utilisateurs de solutions, chercheurs, universitaires, associations, etc.) de s’exprimer.

Les contributions reçues par la CNIL, nombreuses et variées, ont permis d’enrichir et de consolider sa position, qu’elle publie aujourd’hui dans sa version finalisée.

De quoi parle-t-on ?

La présente position de la CNIL ne concerne pas les dispositifs de reconnaissance biométrique et les usages des dispositifs de vidéo « augmentée » dans des lieux non ouverts au public (par exemple bureaux, réserves ou entrepôts de magasins...), dans un cadre strictement domestique et en temps différé.

Caméras biométriques et caméras « augmentées » : quelles sont les différences ?

La position de la CNIL concerne les dispositifs de vidéo « augmentée » qui se distinguent des dispositifs de reconnaissance biométriques comme par exemple les dispositifs de reconnaissance faciale. Deux critères permettent de distinguer ces dispositifs :

la nature des données traitées : caractéristique physique, physiologique ou comportementale ; l’objectif du dispositif : identifier ou authentifier de manière unique une personne. Un dispositif de reconnaissance biométrique cumulera toujours ces deux critères tandis qu’une caméra « augmentée » n’en remplira aucun (par exemple une caméra « augmentée » qui filme la rue pour classer les différents usages : voitures, vélos, etc.) ou seulement un des deux (par exemple une caméra « augmentée » qui détecte les bagarres dans une foule).

Cette distinction a des conséquences juridiques : les dispositifs de reconnaissance biométrique impliquent des traitements de données dites « sensibles » qui sont, par principe, interdits par le RGPD et la loi Informatique et Libertés, sauf exceptions.

Des risques nouveaux pour les droits et libertés individuelles

Une technologie d’analyse automatisée d’images par nature intrusive

La notion de caméra ou vidéo « augmentée » désigne des dispositifs vidéo auxquels sont associés des logiciels permettant une analyse automatique de l’image afin de détecter par exemple des formes ou des objets, d’analyser des mouvements, etc. Ces caméras sont, par nature, très différentes de celles traditionnellement déployées : les personnes ne sont plus seulement filmées mais analysées de manière automatisée, en temps réel, afin de collecter certaines informations les concernant.

Ces nouveaux outils vidéo peuvent conduire à un traitement massif de données personnelles, potentiellement à l’insu des personnes du fait du caractère « invisible » des logiciels d’analyse d’images associés aux caméras.

Un risque accentué de surveillance généralisée

Le risque d’une surveillance généralisée induit par la multiplication des dispositifs vidéo, pointé depuis longtemps par la CNIL, prend aujourd’hui une nouvelle dimension avec l’essor des dispositifs de vidéo « augmentée » : cette surveillance se double d’une analyse des personnes.

Le déploiement de ces dispositifs dans les espaces publics, où s’exercent de nombreuses libertés individuelles (liberté d’aller et venir, d’expression, de réunion, droit de manifester, liberté de culte, etc.), présente incontestablement des risques pour les droits et libertés fondamentaux des personnes et la préservation de leur anonymat dans l’espace public.

Ces dispositifs posent également de nouveaux enjeux pour les personnes lorsqu’ils ont vocation à automatiser entièrement certaines activités de la vie courante. Des actes simples de la vie quotidienne pourraient ainsi être filmés et analysés par des caméras « augmentées », renforçant encore le sentiment de surveillance des personnes à mesure que ces dispositifs se généraliseront dans les espaces publics : rues, transports, commerces, lieux culturels et sportifs, etc.

Un encadrement juridique spécifique nécessaire

En l’absence de textes spécifiques encadrant l’usage des dispositifs de vidéo « augmentée », la CNIL a analysé les principes applicables à ces dispositifs par rapport à la réglementation actuellement en vigueur.

Elle a notamment considéré que le Code de la sécurité intérieure, qui fixe le cadre applicable aux dispositifs de vidéoprotection traditionnels, n’était pas adapté à cette nouvelle technologie. Mais il n’interdit pas non plus son déploiement. La CNIL appelle plus particulièrement l’attention sur trois points.

La nécessité de respecter les grands principes de la réglementation protégeant les données personnelles

Tout acteur qui souhaiterait déployer un dispositif de vidéo « augmentée » devra se fonder sur une base légale déterminée au cas par cas. Si aucune n’est exclue ou privilégiée par principe, la base légale de « l’intérêt légitime » ne doit pas conduire à un déséquilibre manifeste entre les intérêts poursuivis par l’utilisateur d’un dispositif de vidéo « augmentée » et les attentes raisonnables des personnes (par exemple un magasin qui analyserait l’humeur des clients pour leur afficher des publicités adaptées). De façon plus générale, il faut faire, au préalable, une démonstration de la proportionnalité (c’est-à-dire des conditions de mise en œuvre du dispositif par rapport aux objectifs poursuivis) du dispositif envisagé.

À ce titre, des mécanismes effectifs de protection des données et de la vie privée dès la conception (privacy by design) doivent être mis en œuvre pour permettre de réduire les risques pour les personnes concernées. Des garanties fortes consistent, par exemple, à intégrer des mesures permettant la suppression quasi-immédiate des images sources ou la production d’informations anonymes.

La nécessité d’une loi pour la mise en œuvre de certains dispositifs

La CNIL rappelle que les dispositifs les plus intrusifs, c’est-à-dire ceux susceptibles de modifier les conditions fondamentales d’exercice des droits et libertés fondamentaux des personnes, ne pourront être déployés que si une loi les autorise et les encadre spécifiquement.

Elle estime notamment que les services de police de l’État ou les collectivités territoriales ne sont pas autorisés par la loi à brancher sur les caméras de vidéoprotection des dispositifs d’analyse automatique permettant de repérer des comportements contraires à l’ordre public ou des infractions.

La question spécifique du droit d’opposition des personnes concernées

Les personnes filmées et analysées par les dispositifs de caméras « augmentées » disposent de droits reconnus par la réglementation sur la protection des données (droit à l’information notamment). Parmi ceux-ci, figure souvent la possibilité de s’opposer au traitement mis en œuvre.

Or, la CNIL a constaté que les personnes ne peuvent généralement pas s’opposer à l’analyse de leurs images, par exemple, lorsque les algorithmes ne conservent pas les images, ou que les conditions d’exercice de ce droit ne sont pas praticables (marquer son opposition impose d’appuyer sur un bouton, de faire un geste particulier devant une caméra, de stationner dans une zone dédiée, etc.).

À ce stade, la CNIL considère que la mise en œuvre de caméras augmentées conduit fréquemment à limiter les droits des personnes filmées.

Une telle limitation des droits n’est possible que dans deux cas de figure :

 soit le traitement impliqué par le dispositif de vidéo « augmentée » poursuit une finalité statistique au sens du RGPD : c’est-à-dire que le traitement ne tend qu’à la production de résultats statistiques constitués de données agrégées et anonymes. Le traitement n’a pas de vocation directement opérationnelle ;

 soit le droit d’opposition est écarté, sur le fondement de l’article 23 du RGPD, par un texte spécifique, de nature au moins réglementaire. Cet acte devra acter la légitimité et la proportionnalité du traitement opéré au regard de l’objectif poursuivi, la nécessité d’exclure la faculté pour les personnes de s’y opposer, tout en fixant des garanties appropriées au bénéfice de ces dernières.

Dans de nombreux cas, il sera donc nécessaire que des textes, réglementaires ou législatifs, autorisent l’usage des caméras augmentées dans l’espace public. Cette analyse juridique rejoint la nécessité politique pour la puissance publique de tracer la ligne, au-delà du « techniquement faisable », entre ce qu’il est souhaitable de faire d’un point de vue éthique et social et ce qui ne l’est pas dans une société démocratique.