Nice - Reco faciale pendant le Carnaval
-
1. En février 2019, la mairie de Nice a testé un dispositif de reconnaissance faciale sur la voie publique lors du Carnaval.
Selon cet article sur 20minutes, il s'agissait d'une expérimentation testée les 16, 19 et 20 février, fondée sur le consentement de personnes volontaires (avec une possibilité pour les personnes ne voulant pas participer à l'expérimentation de passer par un endroit où le dispositif n'est pas installé). L'expérimentation a été réalisée avec l'aide de 6 caméras de vidéosurveillance, relié au logiciel d'analyse Any Vision, développé par une start-up de Monaco Confidentia.
Toujours selon l'article, le test a été réalisé le samedi 16 février sur 5 personnes, dont une pour laquelle la photo datait de 30 ans. Le test aurait marché pour les 5 personnes.
La ville s'est engagée à envoyer les conclusions de son test dans les 2 mois à la CNIL et aux parlementaires (car Estrosi voudrait faire passer une loi facilitant l'utilisation de ce type de dispositifs - il l'a ainsi annoncé au même moment sur Twitter).
2. Le 18 février, Christian Estrosi annonce en effet sur Twitter que « Nous avons reçu le 15 février, pour la première fois, l’autorisation d’expérimenter la reconnaissance faciale ». Il annonce 3 objectifs : améliorer les contrôles d'accès, détecter une personne d'intérêt au milieu d'une foule, retrouver une personne d'intérêt sur la voie publique lors des passages au portique
Le 19 février, la CNIL réagit sur Twitter. Elle rappelle que depuis l'entrée en vigueur du RGPD, elle n'a plus à donner son autorisation préalable pour de telles expérimentations. Elle critique le calendrier serré que lui a imposé Nice. Elle rappelle le cadre légal : en gros vu que là, le traitement n'est fait que pour tester le dispositif, on est dans le cadre du RGPD, donc on peut se baser sur le consentement. Par contre, si un tel dispositif était utilisé à des fins de sécurité/prévention, il y a aurait application de la directive police/justice et donc le dispositif, selon la CNIL, « serait donc soumis, à minima, à l’intervention d’un décret en Conseil d’Etat ou d’une loi ».
3. Nous (LQDN) avons fait une demande CADA à la CNIL concernant cette expérimentation. Elle nous a répondu le 7 mars 2019 en envoyant trois documents :
- le courrier envoyé par Estrosi à la présidente de la CNIL (disponible ici) - 12 février 2019
Il commence par légitimer sa compétence à expérimenter un tel dispositif (art. L2212-2 du CGCT - compétence de la police municipale de maintenir du bon ordre lors de grands rassemblements).
Il détaille aussi, et c'est intéressant, que la reconnaissance faciale s'inscrit dans les actions de prévention en matière d'atteinte à la sécurité des personnes, finalités visées par L251-2 du Code de Sécurité Intérieure, relatifs à la vidéoprotection. En gros, il essaie de dire que la reconnaissance faciale est parfaitement compatible avec le cadre légal de vidéosurveillance, ce qui est plus que discutable.
Il détaille ensuite un peu le projet : logiciel de la société Confidentia testé sur 3 caméras, sur une seule entrée du carnaval, avec deux entrées possibles (une avec RF et une autre sans), et fondé sur le consentement des personnes. Il mentionne également une réunion avec la CNIL le 7 février.
- la réponse de la CNIL à Estrosi (disponible ici) le 15 février 2019
On apprend déjà que la CNIL n'a été informée du dispositif que le 1er février.
Elle reprend ce qu'elle dira dans son tweet : le dispositif n'est pas interdit par la loi, l'expérimentation en cause est encadrée par le RGPD (et non par la directive police-justice où le consentement ne serait pas suffisant). Elle détaille un peu le consentement (qui doit être explicite et libre - d'où la possibilité de passer par une entrée où il n'y a pas de reconnaissance faciale), remarque que les mineurs sont exclus de l'expérimentation.
Enfin, concernant l'analyse d'impact, elle note que celle qui lui a été transmis doit être mise à jour "afin de prendre en compte ces garanties substantielles de nature à réduire le niveau de risque identifié pour les personnes concernées" (durée de conservation des gabarits des personnes concernées limitée à la durée du test, sécurisation des données...).
- enfin, la réponse de la CNIL à notre courrier (disponible ici)
C'est assez intéressant et plutôt problématique. Elle indique ne pas pouvoir nous transmettre l'analyse d'impact. Car les versions transmises par Nice, et la dernière version du 12 février, n'était pas achevée (donc pas communicable) car ne prenait pas en compte les dernières modifications dont parle la CNIL dans son courrier du 15 février. Or, la CNIL ne s'est pas vue communiqué cette nouvelle analyse d'impact. Elle précise même que "en application de l'article 36 du RGPD, le responsable de traitement n'est tenu de procéder à cette communication que lorsque l'AIPD effectuée indique que le traitement présenterait un risque élevé pour les personnes concernées".
Elle nous dit du coup qu'elle a transmis notre demande à la ville de Nice le 6 mars 2019, et que seulement s'il n'y avait pas de nouvelle version de l'AIPD, la CNIL pourrait nous communiquer la dernière version existante...
4. Ce qu'on peut faire : il faut creuser cette histoire de transmission d'analyse d'impact. Je ferai cette analyse plus tard (là je dois partir pour un rdv :) ) mais c'est un peu bizarre. D'un côté, elle dit dans son courrier à Nice que "compte tenu du dispositif envisagé, il est impératif que l'analyse d'impact réalisée soit mise à jour..", pour prendre en compte la durée de conservation, la sécurisation des données. Et de l'autre, elle nous dit à nous : je n'ai pas eu la dernière version de l'analyse d'impact mais je n'étais pas obligée de l'avoir car le traitement ne présentait pas un risque élevé pour les personnes concernées... Il y a clairement un problème dessus et la CNIL ne paraît pas très à l'aise.
A creuser.
-
Merci pour toutes ces infos @Martin !
-
Petite news : on a eu le retour de la mairie de Nice qui nous a envoyé :
-
l'étude d'impact : PIA.pdf
Et les panneaux affichés lors de l'expérimentation, dispos ci-dessous :
-
-
Petit lien d'actu, LCI a publié un reportage sur la vidéosurveillance à Nice. A 19min30, ils parlent de l'expérimentation. Ils annoncent un résultat positif proche de 100%. Je tente une demande CADA à la personne qui a envoyé l'étude d'impact pour voir si on peut y avoir accès :
https://www.lci.fr/social/sept-a-huit-life-videosurveillance-les-yeux-de-nice-2119699.html
