PROJET AUTOBLOG


La Quadrature du Net

Site original : La Quadrature du Net

⇐ retour index

Lycées Nice Marseille : première victoire contre la reconnaissance faciale

lundi 28 octobre 2019 à 21:00

La CNIL vient de rendre un avis déclarant que le système de reconnaissance faciale dans deux lycées de la région Sud « ne saurait être légalement mis en œuvre ». La CNIL ne propose pas de correctif et rejette par principe le dispositif. Cette première victoire contre la reconnaissance faciale en France ne peut que nous rendre optimistes dans la lutte qui nous oppose aux systèmes déjà existants (comme la reconnaissance faciale dans les aéroports via PARAFE) ou futurs (l’application d’identité numérique Alicem).

Nous en parlions encore la semaine dernière : en décembre 2018, le conseil de la région Sud a autorisé une expérimentation pour installer des portiques de reconnaissance faciale dans deux lycées, Les Eucalyptus à Nice et Ampère à Marseille. Cette expérimentation est entièrement financée par l’entreprise américaine Cisco qui profite ici de la politique sécuritaire des élus locaux pour tester ses technologies de surveillance sur les lycéens de l’établissement. L’objectif affiché par le conseil régional, et en particulier par son président Christian Estrosi, était d’étendre, au terme de cette expérimentation, ce dispositif à l’ensemble des lycées de la région.

En février 2019, La Quadrature du Net, la Ligue des Droits de l’Homme, CGT Educ’Action des Alpes-Maritimes et la Fédération des Conseils de Parents d’Élèves des écoles publiques des Alpes-Maritimes ont déposé un recours devant le tribunal administratif de Marseille pour demander l’annulation de cette délibération. Les arguments s’appuient essentiellement sur le règlement général sur la protection des données personnelles (RGPD) : absence d’analyse d’impact en amont du processus, absence de cadre juridique à la reconnaissance faciale, traitement des données biométriques manifestement disproportionné par rapport à l’objectif poursuivi…

C’est ce dernier argument qu’a repris la CNIL dans le cinglant avis qu’elle a rendu aujourd’hui : « Les dispositifs de reconnaissance faciale envisagés, quand bien même ceux-ci seraient mis en œuvre à titre expérimental et reposeraient sur le consentement des élèves, pour contrôler l’accès à deux lycées de votre région, ne sont pas conformes aux principes de proportionnalité ».

La CNIL considère en effet que la finalité de ce système de reconnaissance faciale, qui consiste soi-disant à « sécuriser et fluidifier les entrées au sein des deux lycées », aurait pu être « raisonnablement atteinte par d’autres moyens » tels que « la présence de surveillants à l’entrée des lycées ».

C’est le principe même de la reconnaissance faciale qui pourrait être ainsi rejeté : trop dangereux pour nos libertés, ces systèmes automatisés devraient toujours être écartés au profit de pratiques humaines1Même si la CNIL met en avant la présence de surveillants humains en alternative préférable à la reconnaissance faciale, il faut regretter qu’elle propose aussi, comme exemple d’alternative à la reconnaissance faciale, le recours à un système de badges qui causerait pourtant, lui aussi, une atteinte excessive et non nécessaire à la vie privée des lycéens.<script type="text/javascript"> jQuery("#footnote_plugin_tooltip_4398_1").tooltip({ tip: "#footnote_plugin_tooltip_text_4398_1", tipClass: "footnote_tooltip", effect: "fade", fadeOutSpeed: 100, predelay: 400, position: "top right", relative: true, offset: [10, 10] });.

Il ne s’agit ici que d’un avis de la CNIL : la région peut toujours décider de ne pas le respecter et de continuer son expérimentation. Néanmoins, il serait très risqué pour la Région de ne pas en tenir compte, et cela notamment au vu de la conclusion de l’autorité qui a clairement énoncé que : « il résulte de cet examen que ce dispositif ne saurait être légalement mis en œuvre ». Et même dans le cas où la Région passerait outre, nous ne manquerions pas d’utiliser cet avis dans le contentieux qui nous oppose à elle devant le tribunal administratif de Marseille.

Hélas, l’autorisation de la CNIL n’est plus requise depuis le RGPD pour autoriser de tels systèmes, et nous devrons saisir la justice chaque fois qu’une région ou une administration décidera de violer la loi de nouveau. Toutefois, il faut anticiper que le gouvernement pourra difficilement se satisfaire de cette situation et qu’il devra réagir. L’avis de la CNIL conteste largement la légalité de sa stratégie en matière de reconnaissance faciale, qu’il s’agisse de son projet d’identification en ligne Alicem ou même de systèmes plus anciens, telle que la reconnaissance faciale dans les aéroports (via PARAFE) contre laquelle s’appliqueraient à l’identique les reproches retenus aujourd’hui par la CNIL contre les lycées.

Certes, la décision d’aujourd’hui semble tardive : elle n’intervient qu’après de multiples appels des défenseurs des libertés. La CNIL n’a eu qu’à rappeler la lettre du RGPD, chose qu’on attendrait plus souvent de sa part. Mais cette décision est suffisamment ferme pour stopper les velléités de recourir à la reconnaissance faciale et pour contraindre l’État à légiférer s’il veut poursuivre sa stratégie. La bataille sera ardue, et nous sommes nombreu·ses à l’attendre de pied ferme.

Rejoignez nous sur Technopolice.fr pour documenter et lutter contre l’usage policier des nouvelles technologies.

References   [ + ]

1. Même si la CNIL met en avant la présence de surveillants humains en alternative préférable à la reconnaissance faciale, il faut regretter qu’elle propose aussi, comme exemple d’alternative à la reconnaissance faciale, le recours à un système de badges qui causerait pourtant, lui aussi, une atteinte excessive et non nécessaire à la vie privée des lycéens.
<script type="text/javascript"> function footnote_expand_reference_container() { jQuery("#footnote_references_container").show(); jQuery("#footnote_reference_container_collapse_button").text("-"); } function footnote_collapse_reference_container() { jQuery("#footnote_references_container").hide(); jQuery("#footnote_reference_container_collapse_button").text("+"); } function footnote_expand_collapse_reference_container() { if (jQuery("#footnote_references_container").is(":hidden")) { footnote_expand_reference_container(); } else { footnote_collapse_reference_container(); } } function footnote_moveToAnchor(p_str_TargetID) { footnote_expand_reference_container(); var l_obj_Target = jQuery("#" + p_str_TargetID); if(l_obj_Target.length) { jQuery('html, body').animate({ scrollTop: l_obj_Target.offset().top - window.innerHeight/2 }, 1000); } }

Pour imposer la reconnaissance faciale, l’État et les industriels main dans la main

vendredi 25 octobre 2019 à 16:43

Nous republions la tribune de Félix Tréguer et Martin Drago parue dans Le Monde du 25 octobre 2019.

L’inévitable débat sur la reconnaissance faciale arrive enfin en France, et le gouvernement esquisse sa réponse. Dans un entretien paru dans Le Monde du 15 octobre, le secrétaire d’Etat au numérique Cédric O, ancien cadre du groupe Safran, a notamment estimé qu’« expérimenter » la reconnaissance faciale était « nécessaire pour que nos industriels progressent ».

Mais cette prise de parole au plus haut niveau politique n’est que la partie émergée de l’iceberg. Car depuis des mois, notes et rapports officiels se succèdent pour souligner le défi que constitue l’« acceptabilité sociale » de ces technologies. Pour leurs auteurs, l’objectif est clair : désarmer les résistances à ces nouvelles modalités d’authentification et d’identification biométriques dont la prolifération est jugée inéluctable, et permettre à des industriels français comme Thales ou Idemia [une entreprise de sécurité numérique] de se positionner face à la concurrence chinoise, américaine ou israélienne.

L’enjeu est d’autant plus pressant que, contrairement à ce que laisse entendre Cédric O, les dispositifs de reconnaissance faciale sont déjà en place sur le territoire français. Depuis plusieurs années, des entreprises développent et testent ces technologies grâce à l’accompagnement de l’Etat et l’argent du contribuable. Le tout sans réel encadrement ni transparence.

La campagne participative de recherche-action Technopolice.fr, lancée début septembre par des associations de défense des libertés, a commencé à documenter les projets lancés au niveau national et local – à Paris, Nice, Marseille, Toulouse, Valenciennes et Metz notamment. Outre la reconnaissance faciale, d’autres applications greffées aux flux de vidéosurveillance et fondées elles aussi sur des techniques d’« intelligence artificielle » font également l’objet d’expérimentations, comme l’analyse des émotions ou la détection de « comportements suspects ».

« Rassurer » l’opinion publique

Alors, face aux oppositions portées sur le terrain et jusque devant les tribunaux par les collectifs mobilisés contre ces déploiements, les représentants de l’Etat et les industriels font front commun. Leur but n’est pas tant d’expérimenter que de tenter de « rassurer » l’opinion publique, le temps d’œuvrer à la banalisation de ces technologies et de mettre la population devant le fait accompli.

Les garanties mises en avant dans la communication gouvernementale – instance de supervision sous l’égide de la Commission nationale de l’informatique et des libertés (CNIL), pseudo-consultation et adoption future de règles juridiques qui dessineraient un modèle « acceptable » de reconnaissance faciale « à la française » – sont tout bonnement illusoires. L’histoire récente l’illustre amplement. La loi « informatique et libertés », adoptée en 1978 en réaction aux premiers scandales liés au fichage d’Etat, n’a de toute évidence pas permis, comme c’était pourtant son objectif, de juguler l’avènement d’une société de surveillance.

Pire, dans ce domaine, la CNIL a vu ses pouvoirs systématiquement rognés depuis quinze ans, donnant le change à des présidents successifs ayant souvent contribué à cette impuissance. Quant à l’exemple des fichiers de police, il suffirait à démontrer que, même une fois inscrites dans la loi, les dispositions destinées à protéger les droits fondamentaux sont systématiquement contournées.

Or ces technologies biométriques augurent un changement de paradigme dans l’histoire de la surveillance. A terme, elles reviennent à instaurer un contrôle d’identité permanent et généralisé, exigeant de chaque personne qu’elle se promène en arborant une carte d’identité infalsifiable, qui pourra être lue sans qu’elle ne le sache par n’importe quel agent de police. L’histoire devrait nous servir de leçon : si nos grands-mères et nos grands-pères avaient dû vivre au début des années 1940 dans un monde saturé de tels dispositifs, ils n’auraient pas pu tisser des réseaux clandestins capables de résister au régime nazi.

Déshumaniser les rapports sociaux

En dépit de leurs effets politiques délétères, ces coûteuses machines seront incapables d’apporter la sécurité vantée par leurs promoteurs. Les milliards d’euros dépensés depuis plus de vingt ans au nom du « solutionnisme technologique » en vogue dans les milieux de la sécurité devraient là encore nous en convaincre : la technologie s’est avérée inopérante pour enrayer les formes de violence qui traversent nos sociétés. Sous couvert d’efficacité et de commodité, elle conduit à déshumaniser encore davantage les rapports sociaux, tout en éludant les questions politiques fondamentales qui sous-tendent des phénomènes tels que la criminalité.

C’est pourquoi, contre cette offensive concertée de l’Etat et des industriels qui, à tout prix, cherchent à imposer la reconnaissance faciale, nous devons dire notre refus. Aux Etats-Unis, après les mobilisations citoyennes, plusieurs municipalités, ainsi que l’Etat de Californie, ont commencé à en proscrire les usages policiers.

A notre tour, nous appelons à l’interdiction de la reconnaissance faciale.

Le Conseil d’État autorise la CNIL à ignorer le RGPD

jeudi 17 octobre 2019 à 13:51

Hier, le Conseil d’État a rejeté notre demande contre la CNIL en matière de consentement au dépôt de cookie. En sous-titre, le Conseil d’État pourrait désavouer la CNIL dans son rôle de protectrice des libertés, réservant ce rôle aux seuls juges judiciaires.

Ce revirement historique s’inscrit dans une série de démissions opérées ces derniers mois par la CNIL. Il est urgent d’exiger collectivement que celle-ci redevienne ce pour quoi elle a été créée : pour nous défendre du fichage d’entreprises et de l’État.

La décision

En juillet 2019, la CNIL publiait (enfin !) de nouvelles lignes directrice pour rappeler que le RGPD, en application depuis mai 2018, exige que le dépôt de cookie et autres traceurs se fasse avec notre « consentement explicite ». Les bandeaux du type « En poursuivant votre navigation sur ce site, vous acceptez d’être surveillé⋅e – Ok » sont illégaux. Toutefois, la CNIL annonçait en même temps qu’elle ne sanctionnerait cette illégalité qu’après mi-2020.

Nous avons attaqué cette décision devant le Conseil d’État, qui vient de rejeter notre demande. Il considère que la décision de la CNIL n’est pas une violation excessive du RGPD : le délai d’un an ne serait pas si long, et la CNIL continuerait de sanctionner d’autres atteintes au RGPD. Certes, mais le caractère explicite du consentement a été une des rares avancées du RGPD, qui se trouve de facto privée d’effet pendant deux ans (de mai 2018 à juillet 2020).

Que dire à toutes les entreprises qui ont investi pour se mettre entièrement en conformité au RGPD dès 2018 ? Si ces règles sont systématiquement repoussées, comment faire peser une menace sérieuse contre toutes les autres entreprises qui, elles, n’ont jamais respecté le RGPD ? Rien. Le Conseil d’État ne répond même pas à ces questions.

Une autorité administrative est désormais capable de décider seule qu’une règle votée par des élu·es ne s’appliquera à personne pendant un an.

Le juge judiciaire, voie de secours

Le Conseil d’État ne détaille pas beaucoup son raisonnement dans sa décision, mais celle-ci suit fidèlement les conclusions présentées par son rapporteur public lors de l’audience du 30 septembre. Le rapporteur public est un membre du Conseil d’État qui assiste celui-ci en analysant les affaires et en lui proposant une solution, généralement suivie, comme c’est le cas ici.

À l’audience, donc, le rapporteur public a extensivement détaillé son raisonnement. Parmi les éléments qui l’ont convaincu de conclure au rejet de notre demande, et ce après de multiples hésitations clairement exprimées, il a invoqué un argument particulièrement surprenant et intéressant. Est-il vraiment si grave que la CNIL renonce à ses pouvoirs de sanction si, dans le même temps, l’autorité judiciaire peut aussi sanctionner les mêmes manquements ? Autrement dit, est-il grave qu’une autorité établie pour s’acquitter d’une tâche se donne le droit d’y renoncer si une autre autorité est compétente ?

En effet, le code pénal, par ses articles 226-16 à 226-24, sanctionne lourdement un certain nombre d’infractions qui, ensemble, couvrent une large partie des compétences de la CNIL. En plus du juge pénal, le juge civil est aussi compétent pour ordonner à une entreprise de cesser une atteinte au RGPD.

Somme toute, voilà un argument qui n’est pas si absurde : la CNIL peut bien renoncer à sa mission historique, qu’importe, nous pouvons toujours saisir la justice pour défendre nos libertés.

Mais quel abandon ! La CNIL a remis sa lettre de démission, nous l’avons contestée devant le Conseil d’État. Celui-ci l’a malheureusement acceptée, considérant que ses services n’étaient plus requis…

C’est d’ailleurs ce que vient confirmer une phrase très explicite de la décision du Conseil d’État qui considère que « l’exercice du pouvoir de sanction ne serait, en tout état de cause, pas susceptible de faire respecter plus rapidement » le RGPD. Comprendre : selon le Conseil d’État, le pouvoir de sanction de la CNIL ne serait pas requis pour faire respecter les droits auxquels elle a pourtant la charge de veiller.

Une série du démissions

Cette démission n’a rien de surprenant. Depuis un an, l’autorité enchaîne les renoncements à sa mission.

Notre plainte collective de plus de 10 000 personnes contre Google, après avoir entraîné une première et relativement faible sanction de 50 millions d’euros, semble au point mort. La CNIL est manifestement incapable de se décider à confier ou non l’affaire à son homologue irlandaise, alors même que celle-ci croule sous les affaires visant les géants du Web en dépit de ses effectifs encore plus réduits qu’en France.

Alors que la reconnaissance faciale commence à être expérimentée et installée un peu partout en France, la CNIL s’est empressée d’exiger un débat public sur la question, comme si elle renonçait par avance à mener ici la défense de nos libertés. Son renoncement s’est depuis confirmé. Quand la ville de Nice a annoncé déployer cette technologie au cours de son carnaval, au mépris de la loi, la CNIL s’est contentée d’un simple tweet réprobateur… Quand, à Nice ou à Marseille, la reconnaissance faciale a été annoncée pour s’imposer à des lycéens, elle s’est contentée de conseiller et d’accompagner.

Quand le gouvernement a adopté son décret Alicem en dépit de l’avis négatif de la CNIL, celle-ci s’en est tenue là (voir notre article). Elle a refusé d’utiliser le pouvoir que lui confère l’article 58, §5, du RGPD de saisir la justice pour faire annuler ce décret. À la place, elle a préféré laisser partir au front une petite association de six salarié⋅es (La Quadrature du Net) pour attaquer Alicem afin, ensuite, tel que nous l’avons appris avant-hier, de venir se greffer à la procédure en tant qu’« observatrice ».

Sur tous les fronts, la CNIL semble avoir abandonné son rôle de gendarme, ce que la décision du Conseil d’État confirme.

Quel avenir pour la CNIL ?

La tentation est grande d’oublier la CNIL et de ne plus se tourner que vers la justice pour faire appliquer le RGPD. L’option est clairement envisageable au moins en matière de cookies et de traceurs en ligne. Le rapporteur public du Conseil d’État nous y a clairement invité. Nous y reviendrons sûrement bientôt.

Toutefois, faut-il définitivement enterrer la CNIL ? Nous espérons qu’elle soit encore utile dans la bataille qui s’ouvre contre la reconnaissance faciale. Qu’elle soit utile pour faire appliquer le RGPD au sein de l’Union européenne, notamment pour imposer sa vision historiquement forte des libertés (en théorie du moins…) à ses homologues européens, dont certains seraient tentées de s’offrir en forum shopping aux GAFAM et ce contre quoi la justice seule ne peut rien. Dans tous les cas et quel que soit le sujet, mettre tous nos œufs dans l’unique panier judiciaire serait un pari bien risqué.

Si enterrer la CNIL n’est pas une option idéale, l’urgence serait donc de la sortir de sa torpeur. C’est ainsi, notamment, que nous avons accepté l’invitation de la CNIL de participer depuis deux mois à l’élaboration de ses nouvelles recommandations en matière de consentement aux cookies. Oui, ces mêmes recommandations qui détermineront la fin du « blanc-seing » que nous attaquions au même moment devant le Conseil d’État. Nous exigeons que les autorités mises en places pour faire respecter nos libertés fondamentales fassent leur travail et fassent appliquer la loi.

Si notre attitude peut sembler paradoxale, elle marque surtout notre refus d’accepter les pires situations. La lâcheté récurrente des dirigeant·es de la CNIL est aussi la conséquence des manques de moyens chroniques de l’administration et de la diminution récente de ses pouvoirs par la loi. Nous serons moins lâches que ses dirigeant·es et ne démissionnerons pas de notre volonté de la rappeler à l’ordre aussi régulièrement et fermement qu’il le faudra. Nous espérons que le contentieux qui vient de s’achever devant le Conseil d’État, même si nous l’avons formellement perdu, y aura contribué.

[RevueProjet] Okhin, hacker battant

mercredi 16 octobre 2019 à 13:00

Okhin est un « hacktiviste » : il détourne, contourne, défait les systèmes qui contreviennent aux libertés des citoyens sur Internet. Pour tenter de changer le monde avec des lignes de code. […]

Grand et fin, une casquette de la NSA sur sa crête de cheveux orangés, Okhin parle vite, très vite. Il dénote quelque peu dans les locaux sages de la Revue Projet. Entre deux gorgées de café, il raconte l’univers dans lequel il évolue depuis presque vingt ans, du ministère de l’Intérieur à la Quadrature du Net. Il parle de ses engagements, de ses victoires, de ses coups durs… Bienvenue dans le monde des pirates informatiques ! […]

https://www.revue-projet.com/articles/2019-09-de-mullenheim-okhin-hacker…

[NDLRP : Soutenons notre internet, La Quadrature a besoin de vos dons.]

[LaReleveetlaPeste] Un logiciel de reconnaissance faciale déployé par le gouvernement va arriver en France

mercredi 16 octobre 2019 à 12:00

Conçue par le ministère de l’Intérieur, Alicem est une application mobile destinée à s’identifier via une photo ou vidéo pour faire ses démarches administratives. […]

« Sur Alicem, la CNIL (le gendarme des données personnelles) a bien dit que le décret n’est pas conforme à la loi, donc illégal. Pourtant, le gouvernement a quand même lancé son utilisation. Et la CNIL, plutôt que de saisir le Conseil d’Etat, n’a rien fait. Elle n’a pas rempli sa mission. C’est pourquoi la Quadrature du Net a déposé un recours devant le Conseil d’Etat pour demander l’annulation du décret en juillet. » explique Arthur Messaud, juriste pour La Quadrature du Net, à La Relève et La Peste. […]

https://lareleveetlapeste.fr/un-logiciel-de-reconnaissance-faciale-deplo…

[NDLRP : Soutenons notre internet, La Quadrature a besoin de vos dons.]