La Présidente de la CNIL a adressé un avertissement à un club sportif qui envisageait de recourir à un système de reconnaissance faciale afin d’identifier automatiquement les personnes faisant l’objet d’une interdiction commerciale de stade. Ce projet n’est en effet pas conforme au RGPD et à la loi Informatique et Libertés.

https://www.cnil.fr/fr/reconnaissance-faciale-et-interdiction-commerciale-de-stade-la-cnil-adresse-un-avertissement-un-club

Suite à cette communication de la CADA, la LFP m'a recontacté directement et m'a envoyé les deux documents évoqués par l'avis de la CADA :

• Le compte-rendu de sa Commission Sûreté et Sécurité du 23 mai 2019.
• Les échanges de courriers électroniques avec Two-I, qui se résument à un mail.

Les voici :

Il semblerait donc bien que le projet étudié au FC Metz avec Two-I ait un peu refroidi la LFP, qui ne s'est pas plus engagée dans cette voie. Il faudrait donc avoir accès aux documents du FC Metz : @bldh, as-tu fait cette demande CADA finalement ?

Et pour @rosa_braconnier :

Est-ce que par hasard, tu as eu des contacts avec le journaliste Denis Robert ?

Non, je ne savais même pas que c'était un sujet qui l'intéressait !

Après avoir pris connaissance des observations de la présidente de la ligue, la commission comprend qu'elle ne dispose, à l'exception d'un échange de courriels avec la société Two-I relatif au suivi de l’expérience menée par cette société auprès du Football Club de Metz et le compte rendu de réunion avec la société Two-I, d’aucun autre document (dossiers, rapports, études, procès-verbaux de réunions) relatifs à la reconnaissance faciale dans les stades des compétitions qu'elle organise, que ce soient des déploiements actuels ou des tests en cours ou des documents transmis à la Commission nationale de l’informatique et des libertés (CNIL) ou établis par elle, notamment concernant les garanties apportées à la protection des données personnelles.

Par suite, la commission émet un avis favorable à la communication des seuls échanges de courriers électroniques et compte rendu et déclare sans objet la demande d’avis sur tout autre document.

Du coup je pense que je vais relancer la LFP pour demander ces échanges avec Two-I !

• à la société TWO I qui a effectué un test sur ses salariés volontaires. (Il semble que la société ne compte que quelques salariés). Je demandais aussi à connaitre le nombre de volontaires et éventuellement le document par qui leur permettait de se porter volontaires.
• à la directrice du FC METZ qui est interviewée et qui déclare dans le RL que des tests ont eu lieu, mais pas dans le stade, pas sur les spectateurs....
  J'ai de plus envoyé une lettre de signalement à la CNIL :
• demandant si les tests avaient fait l'objet d'une déclaration,
• signalant mon étonnement quant au descriptif qui a été fait de ce test dans la presse et de quant à son intérêt (la société TWO I compte à notre connaissance moins de 20 salariés).
  Je n'ai pas de réponse pour le moment.

Pas de réponses de la ville de Metz, mais une réponse négative de la LFP :

Bonjour,
Nous faisons suite à votre demande de communication de documents administratifs relatifs à la reconnaissance faciale dans les stades du samedi 25 janvier 2020 et nous vous informons que la LFP n’a mis en place aucun dispositif de reconnaissance faciale dans le cadre des compétitions qu’elle organise.
Aussi, nous ne pouvons pas donner suite à votre demande dans la mesure où nous n’avons pas de document à vous transmettre sur ce sujet, si tenté que les dispositions que vous citez dans votre demande trouvent à s’appliquer dans le cas d’espèce.
Nous restons à votre disposition pour toute question.
Bien cordialement,
Pierre RIGOUTAT
Ligue de Football Professionnel – Data Protection Officer

J'ai relancé en citant la directrice générale du FC Metz qui indique des échanges avec la LFP, mais je n'y crois pas trop.

@bldh As-tu pu faire la demande de documents au FC Metz ?

Bonne idée la demande de CADA sur cette expérimentation pilote pour laquelle de nombreux autres club semblent s’intéresser.

Je pense toutefois qu'il est possible de demander les documents relatifs à cette expérimentation directement à la société SASP FC Metz. Le club semble chargé par le législateur d'une mission de service public de maintien de l'ordre dans les stades (article L. 211-11 du code de la sécurité intérieure). Vous en pensez quoi?

Ca vaut toujours le coup de faire une demande CADA ! Hésitez jamais :) on avait fait un petit guide ici : https://technopolice.fr/blog/guide-se-renseigner-sur-la-surveillance-dans-sa-

Merci, je tente de regarder ça ce week-end. Ça vaut peut-être le coup de demander à la LFP s'ils ont des documents sur le sujet.

Sinon 20 Minutes a repris le sujet dans cet article, et on en apprend un peu plus encore :

Concrètement, des caméras filmeraient les entrées et seraient reliées à un fichier contenant les photos des personnes concernées. Et « uniquement » elles, insiste la dirigeante. « En aucun cas nous aurons un fichier avec tous nos abonnés, tous nos clients ou pire encore, toutes les personnes qui entrent un jour au stade. Ça, c’est vraiment de la science-fiction, affirme-t-elle. Je comprends la peur et l’angoisse de certaines personnes, qui peuvent se dire que le club saura le détail de leurs déplacements dans le stade. Mais pas du tout. La base de données du logiciel ne sera alimentée que par des gens interdits de stade. »

Et Two-I confirme que d'autres clubs sont intéressés :

On a discuté avec d’autres clubs, reconnaît Guillaume Cazenave, le directeur général de Two-I. Ils nous ont dit qu’ils ne voulaient pas se mettre les supporters à dos. Certains ont peur de leur réaction, peut-être par manque de connaissance sur le sujet. C’est légitime qu’il y ait débat, mais il faut qu’il soit informé. »

Ça doit valoir le coup d'envoyer une demande CADA non ?

Ca vaut toujours le coup de faire une demande CADA ! Hésitez jamais :) on avait fait un petit guide ici : https://technopolice.fr/blog/guide-se-renseigner-sur-la-surveillance-dans-sa-ville/

Et il y a un point intéressant peut-être. Ils disent avoir fait le test que sur des employés et avec leur consentement. Pourquoi pas. Mais normalement, il faut avoir le consentement de toutes les personnes "traitées" par l'algo, ceux qui peuvent être identifiés parce qu'ils ont donné leur photo et font partie de l'expérimentaiton, mais aussi ceux que la caméra essaie d'identifier mais ne trouve pas parce qu'ils ne font pas partie du truc. Bref, je ne sais pas si je suis très clair mais c'est une piste à vérifier !

Du coup, pour avoir un peu plus d'informations, je me demandais s'il était possible de faire une demande CADA à la ville de Metz. C'est un peu particulier, puisque le stade appartient à la ville, mais elle a conclu un bail emphytéotique administratif de 50 ans avec la SAS Immobilière Saint-Symphorien : j'ignore donc si on peut récupérer des documents administratifs à ce sujet.

Ça doit valoir le coup d'envoyer une demande CADA non ? À moins que la ville n'ait pas grand chose et que tout se passe au niveau de la SAS ? Qu'en pensent les juristes ?

« On n’a pas fait de tests dans le stade mais avec nos employés, chez nous et avec leur consentement », explique Guillaume Cazenave, dirigeant de Two-I. « En aucun cas, on ne cherche à démocratiser la reconnaissance faciale sur les foules, de manière automatique. C’est contre la loi. »

« Moi, je suis surpris que ce soit assumé publiquement par le FC Metz », rebondit Me Pierre Barthélémy, avocat de l’Association nationale des supporters (ANS). « On peut donner tous les noms qu’on veut. Dans tous les cas, on va se retrouver sur un système de fichiers contenant des données personnelles avec un croisement entre des données nouvelles et des données collectées par les caméras par exemple. La loi n’interdit pas, par principe, la reconnaissance faciale mais elle exige des procédures préalables dans un cadre très strict. »

Hélène Schrub ne dit rien d’autre. « Déjà, en aucun cas, on n’a de fichiers sur nos abonnés », répond la directrice générale du club qui évoque des « tests techniques » menés sur des « personnels volontaires de la start-up en vue d’une éventuelle application ultérieure ». « Et si on décide de l’appliquer », poursuit-elle, « on fera tout ce qu’il faut d’un point de vue juridique et cela ne s’appliquera qu’aux personnes interdites de stade. »

Fin de la polémique ? Pas sûr… Car la méthode ne manquerait pas de détracteurs. « Encore une fois, on va prendre les supporters pour des rats de laboratoire et ce sport comme terrain d’expérimentation », se désole Ronan Evain, directeur exécutif de Football Supporters Europe. « On est en train de jouer les apprentis sorciers avec une technologie perfectible, dans un cadre légal encore flou. Si c’est pour vérifier que 50 personnes ne sont pas en tribune, je trouve que c’est disproportionné. » Ce sera un autre débat. On n’y est pas. Pas encore…

Et un autre article ce matin, avec les réactions officielles du club, par la voix d'Hélène Schrub, la directrice générale. Extraits :

Le FC Metz pratique-t-il la reconnaissance faciale dans son stade ?

Hélène Schrub : « Bien sûr que non. D’abord, il ne faut pas croire qu’on a un fichier avec la photo de chacun de nos supporters ou abonnés. C’est de la science-fiction. On a rencontré la société messine Two-I voici plusieurs mois et elle nous a présenté une solution technologique pour une éventuelle mise en place ultérieure. On a testé ce logiciel sur des personnels volontaires de la start-up avec leurs photos et leur consentement. À terme, si nous validons cette technologie, elle permettra de pallier un contrôle humain aléatoire et difficile à mettre en place. Mais on veut déjà être sûr que cette technologie fonctionne parfaitement. Et, bien sûr, tout sera fait dans un cadre légal. On fera tout ce qu’il faut. Pour rappel, notre système de vidéosurveillance est déjà déclaré en préfecture. Et les gens sont avertis de son existence à l’entrée du stade. »

À quelles fins, menez-vous ces tests ?

H.S. : « La détection d’armes, d’armes par destination ou de colis abandonnés notamment. Et pour faire respecter les interdictions contractuelles de stade que les clubs peuvent prononcer grâce à la loi Larrivé. Si on a la possibilité d’avoir la photo, par les abonnements par exemple, des personnes qui ont enfreint le règlement intérieur du stade ou eu un comportement violent, elle sera entrée dans une base de données. Avec la comparaison faciale, ce logiciel intelligent dira si cette personne entre à Saint-Symphorien. Mais, encore une fois, si on met en place cette technologie. On n’en est qu’aux tests techniques pour le moment. »

Et pour finir, la phrase qui me fait peur :

Ne craignez-vous pas d’être taxé de zèle sécuritaire ?

H.S. : « Les instances dirigeantes nous encouragent à le faire. La LFP (Ligue de football professionnel) et la DNLH (Division nationale de lutte contre le hooliganisme) sont très positives sur notre expérimentation.

Les clubs semblent donc encouragés dans cette voie par les instances dirigeantes, c'est bien !