Lycées Nice Marseille : première victoire contre la reconnaissance faciale

La CNIL vient de rendre un avis déclarant que le système de reconnaissance faciale dans deux lycées de la région Sud « ne saurait être légalement mis en œuvre ». La CNIL ne propose pas de correctif et rejette par principe le dispositif. Cette première victoire contre la reconnaissance faciale en France ne peut que nous rendre optimistes dans la lutte qui nous oppose aux systèmes déjà existants (comme la reconnaissance faciale dans les aéroports via PARAFE) ou futurs (l’application d’identité numérique Alicem).

Nous en parlions encore la semaine dernière : en décembre 2018, le conseil de la région Sud a autorisé une expérimentation pour installer des portiques de reconnaissance faciale dans deux lycées, Les Eucalyptus à Nice et Ampère à Marseille. Cette expérimentation est entièrement financée par l’entreprise américaine Cisco qui profite ici de la politique sécuritaire des élus locaux pour tester ses technologies de surveillance sur les lycéens de l’établissement. L’objectif affiché par le conseil régional, et en particulier par son président Christian Estrosi, était d’étendre, au terme de cette expérimentation, ce dispositif à l’ensemble des lycées de la région.

En février 2019, La Quadrature du Net, la Ligue des Droits de l’Homme, CGT Educ’Action des Alpes-Maritimes et la Fédération des Conseils de Parents d’Élèves des écoles publiques des Alpes-Maritimes ont déposé un recours devant le tribunal administratif de Marseille pour demander l’annulation de cette délibération. Les arguments s’appuient essentiellement sur le règlement général sur la protection des données personnelles (RGPD) : absence d’analyse d’impact en amont du processus, absence de cadre juridique à la reconnaissance faciale, traitement des données biométriques manifestement disproportionné par rapport à l’objectif poursuivi…

C’est ce dernier argument qu’a repris la CNIL dans le cinglant avis qu’elle a rendu aujourd’hui : « Les dispositifs de reconnaissance faciale envisagés, quand bien même ceux-ci seraient mis en œuvre à titre expérimental et reposeraient sur le consentement des élèves, pour contrôler l’accès à deux lycées de votre région, ne sont pas conformes aux principes de proportionnalité ».

La CNIL considère en effet que la finalité de ce système de reconnaissance faciale, qui consiste soi-disant à « sécuriser et fluidifier les entrées au sein des deux lycées », aurait pu être « raisonnablement atteinte par d’autres moyens » tels que « la présence de surveillants à l’entrée des lycées ».

C’est le principe même de la reconnaissance faciale qui pourrait être ainsi rejeté : trop dangereux pour nos libertés, ces systèmes automatisés devraient toujours être écartés au profit de pratiques humaines¹Même si la CNIL met en avant la présence de surveillants humains en alternative préférable à la reconnaissance faciale, il faut regretter qu’elle propose aussi, comme exemple d’alternative à la reconnaissance faciale, le recours à un système de badges qui causerait pourtant, lui aussi, une atteinte excessive et non nécessaire à la vie privée des lycéens..

Il ne s’agit ici que d’un avis de la CNIL : la région peut toujours décider de ne pas le respecter et de continuer son expérimentation. Néanmoins, il serait très risqué pour la Région de ne pas en tenir compte, et cela notamment au vu de la conclusion de l’autorité qui a clairement énoncé que : « il résulte de cet examen que ce dispositif ne saurait être légalement mis en œuvre ». Et même dans le cas où la Région passerait outre, nous ne manquerions pas d’utiliser cet avis dans le contentieux qui nous oppose à elle devant le tribunal administratif de Marseille.

Hélas, l’autorisation de la CNIL n’est plus requise depuis le RGPD pour autoriser de tels systèmes, et nous devrons saisir la justice chaque fois qu’une région ou une administration décidera de violer la loi de nouveau. Toutefois, il faut anticiper que le gouvernement pourra difficilement se satisfaire de cette situation et qu’il devra réagir. L’avis de la CNIL conteste largement la légalité de sa stratégie en matière de reconnaissance faciale, qu’il s’agisse de son projet d’identification en ligne Alicem ou même de systèmes plus anciens, telle que la reconnaissance faciale dans les aéroports (via PARAFE) contre laquelle s’appliqueraient à l’identique les reproches retenus aujourd’hui par la CNIL contre les lycées.

Certes, la décision d’aujourd’hui semble tardive : elle n’intervient qu’après de multiples appels des défenseurs des libertés. La CNIL n’a eu qu’à rappeler la lettre du RGPD, chose qu’on attendrait plus souvent de sa part. Mais cette décision est suffisamment ferme pour stopper les velléités de recourir à la reconnaissance faciale et pour contraindre l’État à légiférer s’il veut poursuivre sa stratégie. La bataille sera ardue, et nous sommes nombreu·ses à l’attendre de pied ferme.

Rejoignez nous sur Technopolice.fr pour documenter et lutter contre l’usage policier des nouvelles technologies.