Reconnaissance biométrique : un tournant législatif pour l’espace public ?

Qu’est-ce que la reconnaissance biométrique ?

La reconnaissance biométrique englobe les technologies permettant d’identifier et d’authentifier les individus en fonction de leurs caractéristiques physiques, biologiques, voire comportementales uniques. Ces caractéristiques peuvent inclure des éléments tels que les empreintes digitales, la structure de l'iris, les traits du visage, la géométrie de la main, la signature vocale, etc. La reconnaissance faciale fait partie de ces technologies.

Dans quel contexte s’inscrit la proposition de loi ?

Le droit des données personnelles et le RGPD(1) régissent déjà les technologies de reconnaissance biométriques, dont les données sont considérées comme sensibles et ne peuvent être traitées sans le consentement des personnes concernées ou « sur la base d’un intérêt public important » comme le rappelle la CNIL(2). Concernant la reconnaissance faciale à des fins d’authentification, la CNIL a ainsi relevé qu’elle était déjà utilisée, notamment dans des dispositifs de contrôles aux frontières (Parafe) et dans des outils d’identité en ligne (Alicem). La ville de Nice, par exemple, a expérimenté la reconnaissance faciale pour la surveillance du carnaval en 2019.

Le 23 mars 2023, l’Assemblée a adopté l’article 7 du projet de loi sur les Jeux Olympiques qui autorise l’emploi de la vidéosurveillance algorithmique (VSA) pour surveiller les objets et les comportements suspects via l’analyse automatique en temps réel, d’images captées par caméras ou drones. Cet article propose l’expérimentation de la VSA en France pour trois ans jusqu’au 30 juin 2025. Avant même le vote de cette loi, la VSA était déjà utilisée dans de nombreuses villes, comme Nîmes, sous condition d’autorisation préfectorale.

Un cadre expérimental

La proposition de loi du Sénat, votée le 12 juin 2023, envisage une législation spécifique pour la reconnaissance biométrique. Elle vise à réguler l’usage de la reconnaissance biométrique, en particulier faciale, dans l’espace public afin de « faire obstacle à une société de surveillance ». La reconnaissance faciale, en particulier, serait de facto interdite sans l'accord de la personne concernée.

Une phase d’expérimentation de trois ans a été fixée pour que les enquêteurs judiciaires et les services de renseignement puissent étudier ces technologies dans un cadre précis et délimité.

Deux cas de figure

La proposition de loi distingue deux types d’utilisations des traitements des données biométriques :

• en temps réel : réservés aux services de renseignement dans le cadre de la lutte contre le terrorisme et aux enquêteurs judiciaires pour des cas graves, comme les enlèvements d’enfant. Son autorisation est limitée à 48 heures et doit provenir du premier ministre, du procureur ou d’un juge d’instruction.
• a posteriori : utilisés dans des enquêtes judiciaires graves ou pour identifier des suspects en fuite. Ils nécessitent une autorisation d'un mois et se basera sur des vidéos de surveillance.

L’AI Act risque de changer la donne

La reconnaissance biométrique en temps réel reste un sujet sensible et il faudra surveiller avec attention les négociations entre pays membres de l’UE sur l’AI Act d’ici la fin de l’année. Le vote de la proposition de loi sur la surveillance biométrique par le Sénat est en effet survenu quelques jours avant l’adoption par le Parlement européen de leur position de négociation sur la loi sur l'IA (AI Act). Le texte interdit notamment les systèmes d’identification biométrique en temps réel et à distance, comme la reconnaissance faciale, sans prévoir d’exceptions dans le cadre de la lutte contre le terrorisme ou la recherche de personnes disparues. Les pourparlers ont commencé avec les pays de l'UE au sein du Conseil sur la forme finale de la loi, avec l'objectif de parvenir à un accord d'ici la fin de l'année.

(1) RGPD : Règlement général sur la protection des données

(2) CNIL : Commission nationale de l'informatique et des libertés