Vidéosurveillance dans les écoles : la Cnil dit stop

Par Guillaume Périssat, le 19 décembre 2019 17:17

Après avoir reçu de nombreuses plaintes, le gendarme des données personnelles a mis en demeure plusieurs établissements scolaires de rectifier leurs dispositifs de vidéosurveillance, qu’il estime excessif puisque filmant en permanence élèves et personnels.

Plus tôt en décembre, la Cnil a épinglé une entreprise de la région toulousaine pour son usage excessif de la vidéosurveillance. Le gendarme des données personnelles fait désormais savoir qu’elle a mis en demeure plusieurs établissements scolaires pour ce même motif. Le régulateur n’a pas publié le texte de sa décision, mais explique dans un communiqué avoir reçu en 2018 « plus de 25 plaintes en matière de vidéosurveillance dans des écoles, collèges ou lycées ».

Des faits constatés par la suite par la Cnil. « Les élèves étaient ainsi placés sous une surveillance systématique tout au long de leur journée, que ce soit à l’occasion de leurs moments de récréation, lors de leur déjeuner à la cantine ou même pendant leurs temps de classe » écrit la Cnil. Le personnel, notamment les surveillants, les cuisiniers et certains professeurs, étaient eux aussi filmés en permanence ou presque.

La vidéosurveillance dans les écoles en débat

Si le gendarme des données personnelles estime que la loi permet de filmer les accès aux bâtiments, aux espaces de circulation, pour des raisons de sécurité, par exemple pour éviter des intrusions, il considère qu’un « système de vidéosurveillance plaçant des élèves ou des salariés sous surveillance systématique et continue, dans leurs lieux de vie et de travail, est excessif ». Sauf circonstances particulières.

Dans le cas présent, la Cnil n’a pas constaté que des circonstances justifiaient la mise sous surveillance constantes des élèves, des enseignants et des agents. D’où ces mises en demeure. « Il est concrètement demandé aux écoles de réorienter, retirer ou déplacer les caméras pour ne filmer que les accès et les espaces de circulation ou de les paramétrer pour qu’elles ne fonctionnent qu’en dehors des heures d’ouverture de l’établissement ».

---

Inscription gratuite à la newsletter de L'Informaticien.

---

Les nombreux visages de la reconnaissance faciale dans l’UE
Par Ella Jakubowska

La technologie de reconnaissance faciale en temps réel est de plus en plus utilisée pour identifier les gens en public, souvent à leur insu ou sans leur consentement éclairé. Parfois qualifiée de surveillance faciale, les préoccupations concernant l’utilisation de ces technologies dans les lieux publics sont de plus en plus prises en compte dans toute l’Europe. Les lieux publics ne sont pas bien définis dans la loi, mais peuvent inclure des espaces ouverts comme les parcs ou les rues, des institutions publiques comme les hôpitaux, des espaces contrôlés par les forces de l’ordre comme les frontières, et – sans doute – tout autre endroit où les gens qui veulent participer à la société n’ont pas la possibilité de se retirer. À l’heure actuelle, il n’y a pas de consensus au sein de l’UE sur la légitimité ou l’opportunité d’utiliser la reconnaissance faciale dans de tels espaces.

La surveillance du visage public est utilisée par de nombreuses forces de police à travers l’Europe pour rechercher des personnes sur leurs listes de surveillance; pour le contrôle de la foule aux matchs de football au Royaume-Uni; et dans les systèmes de suivi dans les écoles (bien que, jusqu’à présent, les tentatives pour le faire dans l’UE aient été stoppées). Les "villes intelligentes" – où les technologies d’identification des personnes sont utilisées pour surveiller les environnements dans le but de rendre les villes plus durables – ont été mises en œuvre dans une certaine mesure dans au moins huit États membres de l’UE. En dehors de l’UE, la Chine utiliserait la surveillance faciale pour sévir contre les libertés civiles des militants pro-démocratie à Hong Kong, et on craint de plus en plus que la technologie de surveillance chinoise soit exportée vers l’UE et même utilisée pour influencer les normes de reconnaissance faciale de l’ONU. De telles questions ont placé la reconnaissance faciale au cœur de l’agenda des droits de l’homme, en sensibilisant les gouvernements démocratiques et autoritaires à son (mauvais) usage.

Comment l’UE fait-elle face au défi de la reconnaissance faciale?

Tout au long de 2019, un certain nombre d’États membres de l’UE ont répondu à la menace de la reconnaissance faciale, bien que leurs approches révèlent de nombreuses incohérences. En octobre 2019, l’Autorité suédoise de protection des données (APD) – l’organisme national responsable des données à caractère personnel en vertu du Règlement général sur la protection des données (RGPD) – a approuvé l’utilisation de la technologie d’identification faciale pour la surveillance pénale, la trouver légale et légitime (sous réserve de précisions sur la durée de conservation des données biométriques). Deux mois plus tôt, ils ont imposé une amende de 20 000 euros pour avoir tenté d’utiliser la reconnaissance faciale dans une école. De même, l’APD du Royaume-Uni a conseillé aux forces de police de « ralentir » en raison du volume d’inconnues – mais elle ne s’est pas arrêtée à réclamer un moratoire. Les tribunaux britanniques n’ont pas vu le problème de la reconnaissance faciale de leur DPA, malgré les craintes des citoyens qu’elle soit très envahissante. Dans le seul arrêt européen rendu jusqu’à présent, la Haute Cour de Cardiff a jugé que l’utilisation par la police de caméras de surveillance de visage publiques était proportionnée et légale, bien qu’elle ait accepté que cette technologie porte atteinte au droit à la vie privée.

L’APD française a adopté une position plus ferme que l’APD britannique, conseillant à une école de la ville de Nice que l’intrusion de la reconnaissance faciale signifie que leur projet de reconnaissance faciale ne peut être mis en œuvre légalement. Ils ont insisté sur la « sensibilité particulière » de la reconnaissance faciale en raison de son association avec la surveillance et de son potentiel de violation des droits à la liberté et à la vie privée, et ont souligné les protections accrues requises pour les mineurs. Fait important, l’APD de la France a conclu que des solutions de rechange conformes à la loi et tout aussi efficaces à la reconnaissance faciale, comme l’utilisation de badges d’identification pour gérer l’accès des étudiants, peuvent et doivent être utilisées à la place. Faisant écho à cette position, le Contrôleur européen de la protection des données, Wojciech Wiewiórowski, a condamné sévèrement la reconnaissance faciale, la qualifiant de symptôme d’intolérance populiste croissante et de « solution à la recherche d’un problème. »
Absence de justification de la violation des droits fondamentaux

Toutefois, comme au Royaume-Uni, les opinions de l’APD française sont souvent contradictoires avec celles d’autres organismes publics. Par exemple, le gouvernement français poursuit le système d’identification numérique controversé d’Alicem malgré les avertissements qu’il ne respecte pas les droits fondamentaux. Il y a aussi une incohérence dans la différenciation faite entre la surveillance des enfants et celle des adultes. La raison invoquée par la France et la Suède pour rejeter la reconnaissance faciale des enfants, c’est qu’elle leur causera des problèmes à l’âge adulte. Dans cette même logique, il est difficile de voir comment la justification d’une forme quelconque de surveillance faciale publique – surtout quand elle est inévitable, comme dans les espaces publics – répondrait aux exigences légales de légitimité ou de nécessité, ou se conformer aux règles du RGPD qui sont nécessairement strictes pour les données biométriques.

Les risques et incertitudes évoqués jusqu’à présent n’ont pas empêché les États membres d’accélérer l’adoption de la technologie de reconnaissance faciale. Selon l’Agence des droits fondamentaux (FRA) de l’UE, la Hongrie est sur le point de déployer un énorme système de reconnaissance faciale pour de multiples raisons, y compris la sécurité routière et l’ordre public à l’allure orwellienne; la République tchèque augmente sa capacité de reconnaissance faciale à l’aéroport de Prague; des tests « approfondis » ont été réalisés par l’Allemagne et la France ; et la reconnaissance faciale des migrations à l’échelle de l’UE est à l’étude. Edri membre SHARE Foundation ont également signalé son utilisation illégale en Serbie, où le nouveau système du ministère de l’Intérieur a échoué à répondre aux exigences les plus fondamentales en vertu de la loi. Et bien sûr, les acteurs privés ont également un intérêt direct pour influencer et orchestrer l’utilisation et la politique européenne de reconnaissance faciale : lobbying auprès de l’UE, géant technologique IBM a fait la promotion de sa technologie de reconnaissance faciale aux gouvernements comme « peut-être sauver des vies » et même financer des recherches qui écartent les préoccupations au sujet des répercussions éthiques et humaines de l’IA comme des « craintes exagérées. »

Comme l’admet Interpol, « des normes et des pratiques exemplaires [pour la reconnaissance faciale] sont encore en cours de création. » Malgré cela, la reconnaissance faciale continue d’être utilisée dans les espaces publics et commerciaux de l’UE – contrairement aux États-Unis, où quatre villes, dont San Francisco, ont interdit de façon proactive la reconnaissance faciale pour les services de police et d’autres usages de l’État, et un cinquième, Portland, a entamé des procédures législatives pour interdire la reconnaissance faciale à des fins publiques et privées – l’interdiction la plus large à ce jour.
La nécessité de poser les grandes questions sociétales

Encore une fois, ces exemples reviennent à l’idée que le problème n’est pas technologique, mais sociétal : voulons-nous la surveillance de masse de nos espaces publics? Appuyons-nous les méthodes qui automatiseront les pratiques policières et de surveillance actuelles, ainsi que les préjugés et la discrimination qui en découlent inévitablement? Quand l’utilisation de la technologie est-elle vraiment nécessaire, légitime et consensuelle, plutôt que simplement sexy et excitante? De nombreuses études ont montré que, malgré les allégations des organismes d’application de la loi et des entreprises privées, il n’y a aucun lien entre la surveillance et la prévention du crime. Même lorsque des études ont conclu que la vidéosurveillance « au mieux » peut contribuer à dissuader les petits délits dans les garages de stationnement, cela n’a été possible qu’avec une utilisation exceptionnellement étroite et bien contrôlée, et sans la nécessité d’une reconnaissance faciale. Et comme nous l’avons vu dans notre article précédent, il y a des preuves accablantes selon lesquelles plutôt que d’améliorer la sécurité publique, la reconnaissance faciale crée un effet paralysant sur un éventail choquant de droits de la personne.

Comme dans le cas de l’école de Nice, la reconnaissance faciale ne peut être considérée comme nécessaire et proportionnée lorsqu’il existe de nombreuses autres façons d’atteindre le même objectif sans violer les droits. La FRA convient que les raisons générales de la « prévention du crime ou de la sécurité publique » ne sont ni des justifications légitimes ni des justifications juridiques en soi, de sorte que la reconnaissance faciale doit être assujettie à des critères de légalité stricts.

Les droits de la personne existent pour aider à remédier au déséquilibre des pouvoirs entre les gouvernements, les entités privées et les citoyens. En revanche, la nature très intrusive de la surveillance faciale ouvre la porte à des abus massifs du pouvoir de l’État. Les APD et la société civile doivent donc continuer à exercer des pressions sur les gouvernements et les autorités nationales pour qu’ils mettent fin au déploiement illégal et à l’utilisation incontrôlée de la surveillance des tailles dans les espaces publics européens. Les gouvernements et les APD doivent également adopter une position ferme à l’égard du développement par le secteur privé de technologies de surveillance des tailles, en exigeant et en faisant respecter le RGPD et les droits de la personne à chaque étape.

Reconnaissance faciale et droits fondamentaux 101 (04.12.2019)
https://edri.org/facial-recognition-and-fundamental-rights-101/

Dans l’UE, la reconnaissance faciale dans les écoles obtient un F en protection des données (10.12.2019)
https://www.accessnow.org/in-the-eu-facial-recognition-in-schools-gets-an-f-in-data-protection/

Les services de police axés sur les données : le fil conducteur des pratiques policières discriminatoires en Europe (05.11.2019)
https://www.enar-eu.org/IMG/pdf/data-driven-profiling-web-final.pdf

Technologie de reconnaissance faciale : considérations relatives aux droits fondamentaux dans le contexte de l’application de la loi (27.11.2019)
https://fra.europa.eu/sites/default/files/fra_uploads/fra-2019-facial-recognition-technology-focus-paper.pdf

Serbie : Surveillance vidéo illégale de reconnaissance faciale à Belgrade (04.12.2019)
https://edri.org/serbia-unlawful-facial-recognition-video-surveillance-in-belgrade/

Au moins 10 forces de police utilisent la reconnaissance faciale dans l’UE, révèle Algorithmwatch (11.12.2019)
https://algorithmwatch.org/en/story/face-recognition-police-europe/

(Contribution de Ella Jakubowska, stagiaire Edri)

Ni Dieu, ni maître, à bas la calotte et vive la sociale!