Les systèmes de vidéoprotection se multiplient, permettant d’identifier ou d’authentifier les personnes grâce à leur image. Couplés à un système d’analyse automatisé, ils sont qualifiés d’ « augmentés ». Déployés dans les villes connectées et pour assurer la sécurité des événements à forte affluence, quel est le cadre juridique applicable ? Quid du dispositif qui sera utilisé à l’occasion des Jeux Olympiques de Paris 2024 ?

Un ensemble de textes.

Assurer la sécurité des lieux ouverts au public est légitime, mais s’accompagne de risques d’intrusivité, de discrimination ou de prise de décision erronée. Au-delà des risques individuels, la mise en œuvre d’une surveillance généralisée est une menace. La nécessité de concilier l’objectif de sauvegarde de l’ordre public et l’impératif de protection des libertés et droits fondamentaux s’appuie sur des principes éthiques, politiques et juridiques.

La CNIL estime que les dispositifs de vidéo augmentée ne constituent pas un simple prolongement technique des caméras existantes. Ils modifient la nature des caméras existantes par leur capacité de détection et d’analyse automatisée et posent, par conséquent, des questions nouvelles.

S’il n’existe pas de loi dédiée spécifiquement à la vidéoprotection ou vidéosurveillance [1] , un ensemble de textes encadrent ces pratiques.

Comme les images montrant des personnes sont naturellement des données à caractère personnel (caractéristiques physiques, physiologiques ou comportementales), le RGPD s’applique au traitement de vidéoprotection augmentée ou algorithmique. De plus, si les données collectées sont biométriques, le RGPD considère que ce traitement est interdit, sauf exceptions comme le consentement des personnes ou des motifs d’intérêt public [2].

La CNIL a publié sa position, le 19 juillet 2022 sur les caméras dites « augmentées » dans les espaces publics [3]. La Commission précise que « le déploiement de ces dispositifs dans les espaces publics, où s’exercent de nombreuses libertés individuelles (liberté d’aller et venir, d’expression, de réunion, droit de manifester, liberté de culte, etc.) présente incontestablement des risques pour les droits et libertés fondamentaux des personnes et la préservation de leur anonymat dans l’espace public ». La CNIL préconise l’adoption d’une loi pour certains dispositifs et une vigilance spécifique quant au droit d’opposition des personnes concernées.

De plus, la directive européenne 2016/680 dite « Police-Justice », et son ordonnance de transposition du 12 décembre 2018 [4] , s’appliquent en matière pénale. Il s’agit par exemple de la prévention et de la constatation de certaines infractions à l’occasion des déplacements des passagers ou encore des traitements permettant la gestion des mesures d’application des peines prononcées par l’autorité judiciaire. Dans ce contexte, le responsable de traitement doit outre le respect des obligations issues du RGPD, se conformer à des obligations spécifiques comme la nécessité du traitement pour la réalisation d’une mission effectuée par une autorité compétente.

Le Sénat s’est penché, en mai 2022, sur la question de l’identification biométrique dans l’espace public et élabore 30 propositions pour écarter le risque d’une société de surveillance [5].
Même si l’usage des caméras biométriques est différent de celui des caméras augmentées, les analyses y sont complémentaires : « À l’heure où une législation sur l’intelligence artificielle est en cours d’élaboration au niveau européen, il est indispensable de construire une réponse collective à l’utilisation des technologies de reconnaissance biométrique afin de ne pas être, dans les années à venir, dépassés par les développements industriels ».

En avril 2023, l’Assemblée Nationale publie un rapport d’information sur les enjeux de l’utilisation d’images de sécurité dans le domaine public dans une finalité de lutte contre l’insécurité [6] . L’objectif est d’analyser les enjeux afin de proposer un cadre réglementaire pour fixer, de façon souple et claire, les grands principes qui concourront à renforcer la sécurité, dans le respect des libertés fondamentales.

Impacts du futur AI Act.

Dans ce rapport parlementaire, les rapporteurs indiquent qu’« il est urgent que la représentation nationale se saisisse de ces enjeux, alors même que les institutions européennes examinent la proposition de règlement européen sur l’intelligence artificielle ».

En effet, l’AI Act ou proposition de Règlement européen visant à encadrer l’usage de l’intelligence artificielle a été adoptée le 13 mars 2024 par le Parlement européen. Elle reste en attente de publication [7] et sera applicable 2 ans après cette publication.

Le législateur européen propose l’AI Act avec l’ambition de promouvoir l’IA tout en encadrant son utilisation. L’approche de l’AI Act est fondée sur une identification de 4 niveaux de risques et d’obligations adaptées à ces niveaux. Les risques peuvent être qualifiés d’inacceptables (ex : scoring social à usage général), élevés (ex : scoring bancaire), limités (ex : filtre anti-spam) ou minimaux.

La vidéoprotection augmentée pourrait correspondre, selon ses usages, à des risques élevés. Dans ce cas, des mesures de mise en conformité du système seraient obligatoires by design, notamment l’enregistrement des activités, l’information des utilisateurs et l’intégration d’une surveillance humaine.

L’expérimentation de la vidéoprotection augmentée pendant les JO.

Pendant l’organisation des jeux olympiques et paralympiques de 2024, Paris accueillera plus de 15 000 athlètes, 100 chefs d’États et 15 millions de touristes.

Le défi sécuritaire est colossal et jusqu’à 45 000 forces de l’ordre seront mobilisées pendant les Jeux. La gouvernance s’articule autour de la coordination nationale de la sécurité des jeux qui assure la coordination des différents services du ministère de l’Intérieur, et représente le pôle sécurité auprès du délégué interministériel aux jeux, garant d’une approche globale des risques (sécurité, sûreté et secours) et de la coordination entre toutes les parties prenantes.

Le ministère de l’Intérieur utilisera la vidéoprotection algorithmique, notamment sur des drones. Les caméras seront capables de détecter en temps réel des mouvements de foule, des comportements suspects, des véhicules qui roulent trop vite, grâce à des algorithmes, toutefois sans permettre d’identifier une personne.

Cette obligation de réussite en matière de sécurité ne doit pas porter atteinte aux libertés publiques. Dès la préparation du projet de loi relatif des jeux Olympiques et Paralympiques de 2024, la CNIL a publié son avis, en décembre 2022, afin d’apporter à ce dispositif de sécurité les garanties permettant de limiter les risques d’atteinte aux données et à la vie privée des personnes.

Un ensemble de garanties sont ainsi prévues dans la loi olympique [8] :

• un déploiement expérimental ;
• limité dans le temps et l’espace ;
• pour certaines finalités spécifiques et correspondant à des risques graves pour les personnes ;
• l’absence de traitement de données biométriques ;
• l’absence de rapprochement avec d’autres fichiers ;
• l’absence de décision automatique : les algorithmes ne servent qu’à signaler des situations potentiellement problématiques à des personnes qui procèdent ensuite à une analyse humaine.

Un premier pas a été franchi avec l’adoption du projet de loi olympique, mais le cadre proposé n’est qu’expérimental. L’évaluation de l’expérimentation est l’un des éléments clefs pour le législateur. Celui-ci sera amené à décider ou non de la pérennisation de ce dispositif, selon le rapport de l’Assemblée Nationale précité, en ajustant ses modalités et son champ d’application au regard de ses conclusions.

Produit d’une sédimentation législative et règlementaire de près de trente ans, le cadre juridique de la vidéoprotection est fragmenté.

Il est non seulement complexe, mais aussi inadapté aux évolutions technologiques survenues au cours de la dernière décennie. L’objectif est d’anticiper les évolutions pour mettre l’intelligence artificielle au service de la sécurité.

Sabine Marcellin, Juriste du numérique Chargée de cours de droit de l’IA à Kedge Business School Lieutenant-colonel (RC) de la Réserve citoyenne de la cyberdéfense de la Gendarmerie