La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la Directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 1er et 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la demande d’autorisation déposée par la société VESALIS de mise en œuvre à titre expérimental d’un traitement de données à caractère personnel ayant pour objet la reconnaissance faciale en temps réel de personnes en environnement non contraint ;
Sur le rapport de M. Dominique RICHARD, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement.
Formule les observations suivantes :
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifié en août 2004, la Commission est saisie par la société VESALIS d’une demande d’autorisation de mise en œuvre à titre expérimental d’un traitement de données à caractère personnel ayant pour objet de tester un dispositif de reconnaissance faciale en temps réel des personnes volontaires dans un stade sportif en environnement « non contraint ».
Les membres de ce consortium sont des partenaires universitaires (laboratoires de recherche GIPSA Lab/DIS, LASMEA, EURECOM, IT-Sud Paris), des industriels (les sociétés VESALIS, EFFIDENCE, IBM, MAYA, SPIE), et des stades sportifs (le Parc des Princes de Paris et le stade Gabriel Montpied de Clermont-Ferrand). La gouvernance du consortium est assurée conjointement avec le ministère de l’Intérieur et le cabinet du Préfet de Police de Paris.
La demande d’autorisation concerne ainsi la mise en œuvre, dans un cadre de recherche applicative, d’un système biométrique de reconnaissance faciale en temps réel en environnement non contraint. A terme, l’application développée pourrait fonctionner sur la base d’analyse d’images provenant de systèmes de vidéosurveillance préexistants.
Sur les finalités poursuivies
La Commission rappelle tout d’abord que de façon générale, les applications de reconnaissance faciale constituent des traitements de données biométriques, que le législateur a entendu soumettre à un contrôle préalable particulier de la Commission, compte tenu du caractère sensible de ce type de données.
La Commission relève que la technologie devant résulter de l’expérimentation est destinée, à terme, à être mise en œuvre à grande échelle à des fins d’identification de personnes à des fins de sécurité publique.
La Commission considère ainsi que la mise en œuvre de systèmes de reconnaissance faciale qui ne nécessiteraient plus la coopération active des personnes concernées voire à leur insu, implique nécessairement l’augmentation très significative des potentialités d’identification et de localisation de personnes physiques, en particulier dans un contexte de fort développement, d’interopérabilité technique des dispositifs de vidéosurveillance de voie publique comme dans les lieux privés.
Elle estime aussi que ce type d’application comporte des risques importants d'atteinte à la vie privée et à la liberté d’aller et venir des personnes qu’il convient d’évaluer précisément.
La Commission rappelle que la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée le 6 août 2004 énonce en son article 1er que l’informatique doit être au service de chaque citoyen et qu’elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques.
La Commission souligne par conséquent que l’autorisation donnée pour la mise en œuvre de ce type de traitement dans un contexte expérimental, au vu des garanties juridiques et des mesures de sécurité techniques, ne préjuge en aucune façon de son appréciation ultérieure de la légitimité et de la proportionnalité de la mise en œuvre, en situation réelle et opérationnelle, de tels dispositifs.
Sur le déroulement de l’expérimentation
L'expérimentation consiste à vérifier si le système de reconnaissance faciale parvient, en exploitant la base de données comportant les données biométriques des personnes volontaires, à les identifier en temps réel parmi une foule de figurants dans un contexte expérimental.
La Commission relève que la durée de l’expérimentation est fixée à 36 mois.
En pratique, les caméras utilisées pour l'expérimentation seront des caméras installées sur site de façon temporaire spécialement à cet effet par les laboratoires, et non, comme cela était initialement prévu, des caméras de vidéosurveillance de dispositifs réels préexistants des stades sportifs partenaires.
Au total, 200 volontaires seront recrutés (sur la base d’un groupe de 50 volontaires tous les 9 mois). Parmi ces volontaires, seulement 10 personnes par groupe seront choisies pour être enrôlées dans la base de données.
Compte tenu du caractère sensible du traitement objet de l’expérimentation, ainsi que des finalités, à terme, poursuivies, la Commission demande à être tenue informée du déroulement de l’expérimentation et à avoir communication des bilans d’étape annuels ainsi que le bilan final détaillé de l’expérimentation.
Enfin, la Commission souhaite pouvoir, à l’issue des tests, mener une enquête auprès des personnes volontaires afin d’évaluer leur degré d’acceptabilité d’un tel dispositif.
Sur le recueil du consentement exprès des personnes volontaires
La Commission prend acte de ce que toutes les personnes volontaires seront informées de l’objectif poursuivi par cette expérimentation, de leurs droits, de la durée de conservation, ainsi que des coordonnées du responsable de traitement par une mention figurant sur le formulaire de consentement exprès, qu’elles seront amenées à signer pour donner leur accord à leur participation à l’expérimentation Biorafale.
La Commission relève par ailleurs que, les volontaires dont les données biométriques seront collectées et conservées en base de données signeront un formulaire spécifique à la collecte et au traitement de leurs données biométriques. Ces formulaires ne comporteront, hormis la signature manuscrite de la personne concernée, aucune autre donnée directement identifiante.
Sur la collecte de données biométriques
La collecte de données biométriques s’effectuera hors match, dans des conditions de laboratoire, à Clermont-Ferrand et à Paris. Au cours de cette phase, jusqu’à cinq photographies du visage de chaque personne, prises sous différents angles, pourront être ainsi collectées. Des gabarits biométriques seront ensuite calculés à partir de ces photographies.
Ces gabarits ainsi que l’image du visage des personnes enrôlées seront enregistrés dans l’une des deux bases de données distinctes qui seront constituées (une par stade participant à l’expérimentation) et hébergées sur un serveur sécurisé. Ces données seront conservées pendant 9 mois à compter de leur enregistrement.
Un numéro identifiant non signifiant constitué de 20 chiffres sera communiqué à chaque personne enrôlée par remise sur place en main propre ou par courrier électronique. Chaque personne concernée sera la seule à connaître son identifiant. Elle pourra notamment l’utiliser à des fins de mise à jour de ses données.
Sur les destinataires habilités à accéder aux données biométriques
La Commission relève que seront seuls habilités à accéder aux données les responsables de chaque laboratoire (LASMEA, GIPSA-LAB et EURECOM) et le responsable du projet VESALIS, qui signeront un engagement spécifique de confidentialité.
Sur les mesures de sécurité
La Commission estime que les mesures de sécurité et de confidentialité mises en œuvre par la société VESALIS dans le cadre de l’expérimentation peuvent être considérées satisfaisantes.
Elles comportent notamment le chiffrement des données du serveur de traitement, la sécurisation de leur transmission par un canal sécurisé, ainsi qu’un registre mentionnant les enregistrements réalisés et la date de destruction des images tenu par le responsable du projet.
Dans ces conditions, la Commission autorise la société VESALIS, à mettre en œuvre le traitement de données à caractère personnel à titre expérimental pour une durée de 36 mois à compter de la présente délibération.