Quand la reconnaissance faciale en France avance masquée

La reconnaissance faciale en temps réel n’est toujours pas autorisée en France. De nombreuses expérimentations ont pourtant déjà lieu, et des sociétés se positionnent, avec dans leur viseur les Jeux olympiques de Paris en 2024, et à la clé un marché de sept milliards d’euros.

Imaginez : le 26 juillet 2024. Les Jeux olympiques de Paris débutent. Une foule compacte se presse devant les grilles d’entrée du Stade de France. À l’entrée sud, une file semble avancer plus vite que les autres. En effet, certains spectateurs ont accepté que leur visage soit scruté et analysé par des caméras afin d’accéder plus rapidement aux lieux. C’est-ce que l’on appelle la comparaison faciale.

Ce futur hypothétique se prépare en France. Plusieurs expérimentations de ce type ont déjà eu lieu ou sont programmées. Avec une question centrale, celle du consentement des personnes.

Reconnaissance faciale : des expérimentations encadrées

En 2020, en France comme en Europe, la reconnaissance faciale en temps réel sur la voie publique n’est pas autorisée. Depuis 2012, seule la reconnaissance a posteriori est permise, notamment par la police, à l’aide du fichier de traitement des antécédents judiciaires (TAJ). D’après un rapport de l’Assemblée nationale publié en 2018, plus de 18 millions de personnes, dont 8 millions avec photos, sont recensées dans le TAJ.

C’est la CNIL (Commission nationale de l’informatique et des libertés) qui contrôle et rend un avis pour des expérimentations très encadrées. « Il y a un ensemble de règles qui s’appliquent, confirme Patrice Navarro, avocat au cabinet Hogan Lovells. Il faut qu’il y ait consentement des personnes, et que ce soit pour un motif particulièrement fort et proportionné d’intérêt public ou de sécurité publique. »

Mais plusieurs exercices qui se rapprochent de la reconnaissance faciale ont déjà été effectués.

À Nice (Alpes-Maritimes), en février 2019, lors du carnaval, un logiciel israélien a permis d’identifier de supposés fichés S. Il s’agissait en réalité de volontaires figurants parmi des centaines de personnes consentantes, qui ont fourni leur photo, qui se savaient filmés et reconnus facialement.

Un système de reconnaissance faciale est testé lors du carnaval de Nice, le 18 février 2019.• Crédits : PHOTOPQR / NICE MATIN / Sébastien Botella - Maxppp

Une autre tentative dans la même ville a fait polémique. Il s’agissait cette fois-ci d’analyser les émotions des passagers d’un tramway, sans les identifier, afin d'anticiper les problèmes potentiels. L’essai n’a finalement pas fonctionné à cause d’un problème technique de transmission d'images. 

À Cannes (Alpes-Maritimes), pendant le confinement, la mairie a voulu vérifier si la population portait bien un masque en allant au marché. Pour cela, elle a fait appel à un prestataire, la start-up Datakalab. Un dispositif également installé dans la station de RER Châtelet-Les Halles à Paris. 

Pour le directeur de Datakalab, Xavier Fischer, il ne s’agissait pas d’identifier les gens, mais seulement de compter les personnes portant un masque. Mais la CNIL n’a pas vu les choses ainsi. Elle a estimé que les personnes ne pouvaient exercer leur droit d’opposition puisqu'elles ne savaient pas qu’on analysait leur visage. Résultat, à Cannes, l’opération s’est arrêtée naturellement avec le déconfinement, et à Châtelet, la CNIL a mis un terme à l’essai.

Un système prêt à être utilisé à Metz 

A Metz (Moselle), l’avancée en la matière semble plus concrète. Après des débordements lors d’un match de Ligue 1 de football en 2016 contre Lyon, des supporters ont été interdits de stade. Comme l’autorise la loi Larrivé relative à la lutte contre le hooliganisme, le FC Metz a mis en place un fichier de ces supporters ultras avec leurs photos, et a investi dans un logiciel de reconnaissance faciale, prêt à être utilisé le cas échéant. 

Des supporters se sont d’ailleurs demandé si ce logiciel n’a pas déjà été testé sur eux. Cette hypothèse a d’abord été émise par le journaliste Olivier Tesquet, dans son livre À la trace (Premier Parallèle, 2020). Ces supporters ont ensuite fait le rapprochement avec d’étranges consignes données un soir de match.

"Beaucoup d'entre eux ont dû retirer leurs lunettes, leurs casquettes ou leur écharpe à l’entrée du stade", raconte Pierre Barthélémy, avocat de l’Association nationale des supporters.

A-t-on vraiment testé la reconnaissance faciale en temps réel ce soir-là ? Guillaume Cazenave, directeur de la société messine Two-I, qui a vendu le matériel de vidéosurveillance au FC Metz, dit ne pas le savoir. "Nous ne sommes pas opérateur de système, se défend-il. À notre connaissance, il n'a pas été activé" .

Du côté du club, on dément fermement avoir fait un test. La directrice du FC Metz, Hélène Schrub, a assuré par écrit à la cellule investigation de Radio France que la reconnaissance faciale n’avait été ni décidée ni testée, même si elle reconnaît que le projet existe et que le matériel le permet. 

Des supporters de Saint-Etienne protestent contre la reconnaissance faciale en portant masques et lunettes de soleil, lors du match Metz/Saint-Etienne, le 2 février 2020.• Crédits : JEAN-CHRISTOPHE VERHAEGEN - AFP

Des caméras qui ne s’intéressent pas qu’aux visages 

À Marseille (Bouches-du-Rhône), la Cannebière est équipée d’une cinquantaine de caméras intelligentes. Elles ne reconnaissent pas formellement les gens, mais identifient des situations bien précises. "Ce projet a été mis en place 2019, détaille Felix Treguer, membre fondateur de l’association La Quadrature du net. Un algorithme d'analyse automatisée reconnaît des comportements et des événements suspects, et déclenche automatiquement des alertes et des suivis dans le centre de supervision" .

Concrètement, il s'agit de repérer des objets abandonnés, des individus au sol, des taggeurs ou de la destruction de mobilier urbain. "Une fois que les caméras ont filmé et que les vidéos sont archivées, la police peut utiliser des filtres, complète Martin Drago, juriste pour La Quadrature du net, c’est-à-dire repérer des visages ou des silhouettes, pour identifier les personnes".

Des projets retoqués par la CNIL 

Certaines communes ont tenté d’expérimenter d’autres dispositifs, tels que la reconnaissance sonore par exemple. C’est le cas à Saint-Etienne (Loire) où une filiale d’une société d’armement a proposé en 2019 à la mairie de coupler des caméras avec des micros pour identifier des bruits anormaux au sein d’un quartier sensible. "Les capteurs sonores peuvent déclencher une alerte qui permet l'envoi de drones automatiques pour voir ce qui se passe, décrit Martin Drago, avec ensuite la possibilité d’envoyer une patrouille humaine".

Ce projet a cependant été retoqué par la CNIL. Elle a considéré qu’il y avait un risque d’atteinte à la vie privée, la ville n’ayant pas apporté assez de garanties sur la possibilité ou non de reconnaître les voix des personnes.

"Les habitants sont sous-informés sur ces questions-là" 

Pour le journaliste Olivier Tesquet, c’est par ces différentes expérimentations dans les communes que le terrain se prépare : "Ces municipalités se sont transformées en showrooms sécuritaires, analyse-t-il. À Valenciennes, Huawei offre des caméras de vidéosurveillance à la commune. À Nice et à Marseille, c’est l’américain Cisco qui a approché la région Paca pour l'installation de portiques de reconnaissance faciale à l'entrée des lycées. Le problème, c’est qu’il n’y a pas d'appel d'offres, et les habitants sont assez cruellement sous-informés sur ces questions-là".

Le consentement : une question centrale

Au-delà de ces expérimentations temporaires, limitées ou retoquées, la loi autorise tout de même de faire de la reconnaissance faciale dans certains cas.

Le ministère de l’Intérieur développe actuellement une application d’identité numérique pour smartphones, Alicem. Reliée à FranceConnect, elle doit permettre, par comparaison faciale, d’ouvrir un compte pour renouveler ses papiers à distance (carte grise, permis de conduire, carte d’identité numérique, etc.). Cette technologie est déjà présente sur de nombreux appareils pour les déverrouiller.

Mais est-elle vraiment sûre ? "Pour lutter contre l'usurpation d'identité, on a de la reconnaissance faciale, mais également ce qu'on appelle de la reconnaissance du vivant, rassure Jérôme Letier, directeur de l’Agence nationale des titres sécurisés. On demande aux gens de bouger, pour être capable de distinguer une simple photographie ou un montage grossier du véritable visage de la personne".

L'application pour smartphone Alicem, en cours de développement par l’Agence nationale des titres sécurisés, utilise la reconnaissance faciale pour valider son identité. Elle sera disponible d’ici 2022.• Crédits : PHOTOPQR / L'ALSACE / Jean-François FREY - Maxppp

Le développement de l’application a pu être autorisé car elle ne fonctionne qu’avec le consentement de l’utilisateur : si vous utilisez Alicem, cela veut dire que vous en acceptez le principe. Pour Jérôme Letier, les questions éthiques soulevées par la surveillance en temps réel dans la rue ne se posent pas ici.

Un QR code sur son billet dans les aéroports

La question du consentement, essentielle donc, est étudiée par les autorités pour équiper les infrastructures sportives ou touristiques d’équipements légaux de reconnaissance faciale. 

Sont principalement concernés : les Jeux olympiques de Paris en 2024, ainsi que les aéroports. La société Idemia a déjà effectué des essais d’embarquement sur des vols avec des volontaires.

Les conditions générales de vente des billets pourraient contenir une clause de consentement qui permette de mettre en place un système de files différenciées, grâce à un QR code individuel qui incorpore une transcription de la photo d'identité, pour gagner du temps et de ne plus être obligé de présenter ses papiers à chaque étape. Guillaume Cazenave, de la société Two-I, rassure : "Si la personne ne donne pas son consentement, et c'est son droit qu’il est important de le respecter, il y aura toujours une file avec filtrage humain et manuel" .

Un appel d’offres a officiellement été lancé par l’Agence nationale de la recherche.

Le système Parafe, de la société Gemalto (filiale de Thales), permet de passer plus rapidement la police aux frontières (PAF) grâce à la reconnaissance faciale, ici à l’aéroport de Paris-Orly, en 2018.• Crédits : ERIC PIERMONT - AFP

La CNIL n'exclut pas de rendre un avis favorable pour les JO

Globalement, ce nouveau marché est évalué à sept milliards d’euros en France. Les Jeux de 2024, dont l’enjeu sécuritaire est très fort, ainsi que la Coupe du monde masculine de rugby en 2023, devraient être le laboratoire de ces technologies. "La filière industrielle française en matière de sécurité est en train de se positionner, analyse Félix Treguer, sociologue et fondateur de La Quadrature du net. Des sociétés comme Atos, Dassault Systèmes, Capgemini, sont en lien avec le ministère de l’Intérieur, via un comité, pour rafler les marchés publics autour des JO de 2024".

La CNIL n’exclut pas de rendre un avis favorable à la reconnaissance faciale pour les Jeux olympiques de Paris. "C’est envisageable, indique Marie-Laure Denis, présidente de la CNIL, à la cellule investigation de Radio France. Soit sur la base d'un consentement réel, soit par un texte qui autorise pour une durée limitée et sur un périmètre défini l'utilisation de ces pratiques. Tout cela est anticipable et faisable. Il s'agit encore une fois de concilier la protection des Français et la protection de leurs libertés, ce qui est également important."

Faire à l’étranger ce qui est interdit en France

Comme la France ne peut pas tester à grande échelle ces futurs équipements sur son territoire, certaines sociétés en profitent pour exporter du matériel à l’étranger, où les réglementations en la matière sont plus souples. La société Idemia équipe par exemple les services du FBI aux États-Unis.

Le ministère de l’Intérieur, via la préfecture de police de Paris, teste à l’étranger des dispositifs interdits en France. Toujours dans l'optique des JO, ils ont expérimenté une solution de reconnaissance à grande échelle, avec Idemia. "La CNIL a émis une fin de non-recevoir à cette expérimentation en France, raconte Félix Tréguer. Du coup, le ministère de l'Intérieur a passé une convention avec Interpol et le gouvernement de Singapour pour qu’elle puisse avoir lieu dans une plateforme de transports de la cité-État".

"Ces technologies ne sont pas encore parfaitement au point"

De nombreuses études montrent pourtant que beaucoup de ces solutions ne sont pas fiables.

Aux États-Unis, le National Institute of Standards and Technology (NIST) a démontré des biais et des erreurs d’identification, notamment raciaux. "J’ai fait le test sur mon visage, et plusieurs fois, on m'a présenté comme une personne noire, s’étonne le journaliste (blanc) Olivier Tesquet. Certaines personnes étaient catégorisées par des adjectifs extrêmement stigmatisants, comme l'appellation ‘négroïde’ (sic). En termes de résolution des biais algorithmiques, on a encore beaucoup de chemin à faire".

Pour l’avocat Patrice Navarro, le problème est que les algorithmes sont "entraînés" sur des bases de données qui comportent essentiellement des photos d'hommes caucasiens. "D'où la présence de nombreux faux positifs et de biais liés à l'ethnie ou au sexe, ce qui prouve qu'aujourd'hui ces technologies ne sont pas encore parfaitement au point. On capte des images de mauvaise qualité de gens en train de bouger, qui peuvent porter des casquettes, des lunettes de soleil... Tout ceci peut très bien fonctionner si c’est correctement encadré, et cela peut avoir beaucoup d'intérêt. Mais encore faut-il que cela fonctionne".

D’autres critères sont testés afin de les croiser avec les informations du visage, comme l’iris, l’oreille, ou encore les mouvements du corps et la démarche, caractéristique difficile à dissimuler aux caméras. 

Des caméras de sécurité utilisant la reconnaissance faciale sont présentées à l’Exposition internationale sur la sécurité publique à Pékin (Chine), en octobre 2018.• Crédits : NICOLAS ASFOURI - AFP

Des craintes à propos de la possible mutualisation des fichiers et des réseaux

De plus en plus de voix se font entendre pour exprimer leurs craintes quant à un possible fichage général de la population. Avec la mise en place de la carte d’identité numérique, obligatoire en Europe à l’horizon 2021, le risque d’un maillage global existe, selon Olivier Tesquet : "Le site d’investigation américain The Intercept (article en anglais), a révélé qu'une dizaine de pays européens, sous l'impulsion de l'Autriche, songent à mutualiser leurs bases de données de reconnaissance faciale, un peu comme on échange déjà des fichiers de police dans le cadre d'Europol" .

La crainte des anti-reconnaissance faciale est qu’à terme la technologie permette de mailler les réseaux de caméras. La SNCF, sur la Côte d’Azur, est déjà équipée en caméras intelligentes. Or, selon Martin Drago de La Quadrature du net, elles sont parfaitement compatibles avec d’autres. "On pourra avoir une imbrication des différents outils liés à différents marchés de collectivités, d’entreprises publiques ou privées, avec à la fin un maillage de surveillance algorithmique de l'espace public assez impressionnant".

"L'usage va créer le besoin, et le besoin va créer un nouvel usage"

D’où la mise en garde lancée par le député Modem Philippe Latombe, membre du groupe de travail sur les droits et libertés constitutionnels à l'ère numérique de l’Assemblée nationale. Selon lui, un tel outil placé entre de mauvaises mains pourrait dériver vers une surveillance de masse à des fins autres que sécuritaires : "Tout le monde se dit qu’on pourrait utiliser la reconnaissance faciale afin de retrouver par exemple une personne atteinte d'Alzheimer qui a disparu. Sauf que les Chinois ont aussi commencé par ça, en contrôlant dans leur population des criminels qui avaient donné l'autorisation de faire de la comparaison. Au fur et à mesure, ils ont fait grossir le fichier jusqu'à avoir la totalité de la population, pour leur donner des notes de crédit social".

L'usage va créer le besoin, et le besoin va créer un nouvel usage. C'est une chaîne sans fin. Philippe Latombe, député Modem

Pour l’heure, le RGPD (règlement européen sur la protection des données) offre une protection aux citoyens européens, et en France, la CNIL veille à son application. Mais le RGPD n’a pas de régulateur, et la seconde n’intervient qu’a posteriori, alors que dans le même temps, les fabricants de matériel comptent bien s’engouffrer dans la brèche, grâce au soutien d’élus locaux réceptifs à leur demande, avec à la clé des enjeux financiers considérables.