Par Serge Slama, Professeur de droit public, Université Grenoble-Alpes, co-directeur du Master droits des libertés, et Bastien Le Querrec[1], Doctorant en droit public, Université Grenoble-Alpes, membres du CRJ

Par un décret du 11 mars 2021, pris dans le cadre de l’état d’urgence sanitaire, le Premier ministre a autorisé le recours dans les transports publics à des dispositifs d’analyse algorithmique des images à des fins, d’une part, statistiques et, d’autre part, d’adaptation des mesures de sensibilisation pour évaluer le nombre de personnes qui ne portent pas de masques. Le Gouvernement, par la voix de son ministre délégué aux Transports Jean-Baptiste Djebbari, dans un tweet depuis effacé, s’est réjoui que grâce à ce texte « des caméras intelligentes peuvent désormais être installées dans les transports en commun. Elles permettent de compter les personnes portant le masque, sans identification individuelle ». Pourtant en dehors de tout cadre légal, une expérimentation de vidéosurveillance automatisée (VSA) avait déjà eu lieu en mai 2020 au sein de la station de métro et de RER Châtelet-Les Halles, à Paris, dans le cadre d’un partenariat mené avec la start-up cannoise Datakalab et critiqué par la CNIL en juin 2020. On peut dès lors s’interroger sur le recours à cette technique biométrique.

Que permet précisément le décret du 11 mars 2021 ?

Ce décret autorise les exploitants de services de transport public collectif de voyageurs ainsi que les gestionnaires des espaces affectés à ces services qui utilisent des systèmes de vidéosurveillance à intégrer « un traitement logiciel spécifique permettant l’analyse en temps réel du flux vidéo ». Il s’agit donc de la mise en œuvre de dispositifs de vidéosurveillance « intelligente » (parfois aussi appelée « vidéosurveillance automatisée », ou VSA) qui analysent les images captées par des caméras fixes de vidéoprotection, mises en place conformément aux articles L. 251-1 et suivants du code de la sécurité intérieure (CSI). Ces caméras se situent aussi bien dans les véhicules de transport (métro, bus, RER, tramway, trains) que les espaces accessibles au public affectés au transport public de voyageurs (gares, stations). Selon le décret, ces images sont « instantanément transformées en données anonymes afin d’établir le pourcentage de personnes s’acquittant de l’obligation de port d’un masque de protection ».

Concrètement, par une analyse algorithmique, les visages de personnes circulant dans les transports seront analysés automatiquement pour déterminer si un masque est porté afin d’établir des statistiques sur ce port et les exploitants ou gestionnaires pourront diffuser des messages d’alerte en temps réel afin de rappeler à l’ordre les récalcitrants par la diffusion de messages d’informations ou de sensibilisation du public. On sait que, déjà, grâce à la vidéosurveillance, il arrive à la SNCF ou à la RATP de diffuser des annonces afin d’alerter le public qu’« il y a des pickpockets actuellement dans la rame » ou que la gare est un espace non-fumeur…

Dans quel cadre est adopté ce texte ?

Le cadre dans lequel s’inscrit ce texte est ambigu. Le décret vise les textes régissant l’état d’urgence sanitaire reproclamé par le décret n° 2020-1257 du 14 octobre 2020. En application de l’article L. 3131-15 CSP, le Premier ministre a bien imposé à toute personne de onze ans ou plus qui accède ou demeure dans les véhicules ou dans les espaces accessibles au public et affectés au transport public de voyageurs de porter un masque de protection (article 15 du décret n° 2020-1262 du 16 octobre 2020). Mais ces textes légaux ne prévoient pas de création d’un traitement de données à caractère personnel pour s’assurer de l’effectivité de l’obligation de port d’un masque.

Et s’agissant de l’article L. 251-2 CSI, le comptage, à des fins statistiques, des contrevenants, n’est pas une finalité prévue par la loi…

Ainsi il nous semble qu’aucun texte légal n’a autorisé cette nouvelle finalité des systèmes de vidéo-surveillance dans les transports publics…

Le décret autorise-t-il un traitement de données biométriques ?

De prime abord, on pourrait penser que ce n’est pas le cas. Le décret précise expressément que le produit du traitement « ne porte que sur le nombre de personnes détectées et le pourcentage de ces personnes qui portent un masque, à l’exclusion de toute autre donnée permettant de classer ou de réidentifier les personnes ». Dans son avis du 17 décembre 2020, la CNIL prend acte de ce que « ces dispositifs n’ont pas pour finalité, ni ne peuvent permettre techniquement, l’identification des personnes et n’ont donc pas vocation à traiter des données biométriques » (§8). Pourtant, on peut raisonnablement avoir des doutes sur la réalité de cette affirmation.

Selon le Règlement général de protection des données (RGPD), un traitement de données biométriques doit être spécifique et permettre d’identifier des personnes physiques (RGPD, art. 4, par. 14). Comme cela a été reconnu pour l’utilisation de drones de surveillance afin d’assurer le respect du confinement ou de dresser des contraventions (CE, ord., 18 mai 2020, Association La Quadrature du Net et autre, nos 440442, 440445) ou de surveiller des manifestations (CE, ord., 22 déc. 2020, LQDN, no 446155, Rec. T., pt. 7) par la préfecture de Police de Paris, il ne fait aucun doute que le décret autorise un traitement de données à caractère personnel (CJUE, 14 fév. 2019, Buivids, aff. C-345/17, § 31 ; CJUE, 11 déc. 2014, Ryneš, aff. C-212/13, § 22). En particulier, même en l’absence d’enregistrement et de transfert, la seule collecte constitue un tel traitement (RGPD, art. 4, par. 2). S’agissant de son caractère spécifique, le décret autorise expressément un « traitement logiciel spécifique permettant l’analyse en temps réel du flux vidéo ».

Surtout, le décret vise bien, nous le pensons, à autoriser un traitement spécifique de données biométriques puisqu’il implique de détecter la présence d’une ou plusieurs personnes puis, pour chacune d’elles, de déterminer si un masque est porté. Peu importe que le traitement envisagé ne permette pas de déterminer l’identité civile d’une personne : il vise à distinguer une personne d’une autre, un visage d’un autre, avant de pouvoir déterminer qui, pris individuellement (même si ensuite les chiffres sont agrégés), porte ou non un masque. Le Comité européen de la protection des données (CEPD) abonde en ce sens : « pour être qualifiées de données biométriques, telles que définies dans le RGPD, les données brutes qui font l’objet d’un traitement doivent comprendre une mesure des caractéristiques physiques, physiologiques ou comportementales d’une personne physique » (CEPD, Lignes directrices 3/2019 sur le traitement des données à caractère personnel par des dispositifs vidéo, version 2.0, 29 janvier 2020, § 74). En l’espèce, les traitements en question devront non seulement déterminer la présence d’une forme de visage (présence de cheveux, d’oreilles, d’yeux, sourcils, etc.) mais également, puisqu’il s’agit de compter, de pouvoir distinguer plusieurs visages (donc plusieurs ensembles de caractéristiques physiques) sur une même image, c’est-à-dire de pouvoir les discriminer.

Mais est-ce vraiment inquiétant ou problématique d’avoir des dispositifs automatisés comptabilisant le non-respect d’une obligation légale à des fins statistiques ?

Les dispositifs de VSA sont particulièrement contestés tant politiquement que devant les tribunaux (TA Marseille, 27 fév. 2020, LQDN, no 1901249 ; TA Marseille, ord., 11 mars 2020, LQDN, no2001080), et bien que plusieurs affaires soient toujours en cours et que le Conseil d’État ne se soit pas encore prononcé à leur sujet, ce décret — dont on peut interroger la légalité — est critiquable.

En particulier, le silence de la CNIL sur la proportionnalité du décret interpelle. Pourtant, en matière de traitement de données à caractère personnel, le « triple test » est exigé (CE, Ass., 26 oct. 2011, no 317827, Association pour la promotion de l’image (APIM), Lebon p. 505 ; CJUE, 11 déc. 2019, TK, aff. C-708/18, §§ 42 et s.) – même s’il n’est pas toujours mené de manière satisfaisante par le Conseil d’Etat (v. not. Cédric Roulhac, « La mutation du contrôle des mesures de police administrative – Retour sur l’appropriation du “triple test de proportionnalité” par le juge administratif », RFDA, 2018, p. 343). Et le ministre délégué aux Transports a lui-même affirmé début octobre que « le port du masque est totalement respecté » dans les transports en commun et que ceux-ci « ne sont pas un lieu de contamination particulier » (RTL, 6 octobre 2020).

Et si on admet aujourd’hui la possibilité de comptabiliser le non-port du masque dans les transports publics, pourquoi ne le ferait-on pas demain sur la voie publique ou dans d’autres espaces à usage collectif dans lesquels le masque est obligatoire ? Et, après-demain, déploiera-t-on le même type de dispositif pour comptabiliser le nombre de personnes qui fument dans les transports publics ou dans des lieux à usage collectif ou portent un voile intégral sur la voie publique ? Mais surtout, alors que la vidéoverbalisation est déjà prévue dans le CSI en matière de délits routiers (L. 251-2, 4° CSI), le risque de banalisation de la VSA ouvrant la voie à la verbalisation algorithmique est très important (utilisation du portable au volant, non port de la ceinture, etc.).

On peut s’interroger plus largement sur le développement sur la voie publique ou dans les transports publics de dispositifs de captations donnant lieu à des traitements algorithmiques (cf., par ex. Xavier Bioy, « Installation de micros à St-Etienne : une menace pour la vie privée ? », Blog Club des juristes, 15 mars 2019). Cela va souvent de pair avec un phénomène parallèle d’externalisation vers des prestataires privés de fonctions de surveillance ou de police (Léo Vanier, « Saving Private Radars », AJDA 2020 p.130). Ces questions devraient donner lieu à un vrai débat public et non à un décret publié en catimini…

 

[1] Déclaration d’intérêt : Membre de la Quadrature du Net, Bastien Le Querrec a pris part à certaines procédures mentionnées dans ce billet. Il s’exprime ici comme universitaire.