Alice Salaün, Kroll : Jeux olympiques, vidéosurveillance et intelligence artificielle : les enjeux éthiques de la protection des données personnelles

La loi relative aux Jeux olympiques et paralympiques de 2024 (JOP) a été promulguée le 19 mai 2023, et autorise "à titre expérimental et jusqu’au 31 mars 2025" le traitement algorithmique d’images de vidéosurveillance et drones, afin d’assurer la sécurité de manifestations sportives, récréatives ou culturelles de grande ampleur. En d’autres termes est autorisée l’utilisation de l’intelligence artificielle au sein de la vidéosurveillance, notamment au travers de caméras dites "augmentées", également appelée vidéosurveillance algorithmique (VSA).

Les JOP sont un terrain d’expérimentation qui laisse place à de nombreux questionnements d’ordre éthiques, sociétaux et philosophiques concernant l’utilisation et la protection de nos données personnelles.

Le recours à ces traitements sera autorisé par décret après avis de la Commission nationale de l’informatique et des libertés (Cnil), l’autorité de protection des données personnelles française, qui jouera également un rôle d’accompagnement et de contrôle. Les caméras augmentées font par ailleurs partie de ses thématiques prioritaires de contrôles en 2023.

Marie-Laure Denis, présidente de la Cnil, a précisé dans une interview à France Info qu’il s’agissait de pouvoir détecter des "comportements suspects, des incidents, des colis abandonnés, des mouvements de foule". Le gouvernement avait en effet annoncé fin 2022 travailler "sur des algorithmes intelligents, mais anonymisés, pour gérer les mouvements de foule dans les transports"¹ (Amélie Oudéa-Castéra, ministre des Sports et des Jeux olympiques et paralympiques). Avec presque 16 millions de visiteurs cumulés attendus (estimation de l’Office du tourisme de Paris), la sécurisation des JOP est cruciale.

La loi précise que ces traitements de données personnelles "ne traitent aucune donnée biométrique et ne mettent en œuvre aucune technique de reconnaissance faciale"². La frontière entre VSA et reconnaissance faciale est pourtant fine. En effet, quand la première isole et reconnaît des corps, des mouvements ou des objets, la seconde permet de détecter un visage.

La biométrie est l’analyse des caractéristiques physiques, physiologiques ou comportementales uniques à une personne : on pense immédiatement à l’ADN, aux empreintes digitales, aux iris, mais également à la voix ou aux dimensions du visage. Le Règlement européen de protection des données (RGPD) classe les données biométriques parmi les données "sensibles", qui bénéficient d’une attention juridique renforcée : leur traitement est par principe interdit sauf consentement explicite de la personne, à moins que le traitement ne soit "nécessaire pour des motifs d’intérêt public important"³ et doit alors faire l’objet d’une autorisation par loi ou décret, ce qui est le cas avec la loi sur les JOP.

La VSA repose sur l’intelligence artificielle et plus précisément sur le machine learning, c’est-à-dire des algorithmes dont les performances s’améliorent au contact de nouvelles données. Concrètement, le logiciel est alimenté de centaines de milliers d’images et vidéos afin de créer un schéma récurrent (ou pattern) à reconnaître. Ceci permet la création d’un modèle de classification selon des comportements suspects, le logiciel pouvant alors automatiquement catégoriser les événements. Ce travail est essentiellement réalisé par des humains à l’heure actuelle, au sein de centres de supervision urbains.

Ces sets de données d’entraînement ne sont pourtant connus que du fournisseur, souligne l’expert en cybersécurité chez Kroll, Jean-Georges Valle : "Les modèles de données sont fournis par les fournisseurs de solutions, ce sont des solutions clef en main. On n’a aucune idée du type de données qui permettent d’entraîner les logiciels. Les data sets ne sont pas connus des utilisateurs." L’expert s’interroge par ailleurs sur la sécurité de ces solutions technologiques et le risque de cyberattaques.

La Cnil estimait dans sa position sur les caméras augmentées de juillet 2022 que "le déploiement de ces dispositifs dans les espaces publics, où s’exercent de nombreuses libertés individuelles (…), présente incontestablement des risques pour les droits et libertés fondamentaux des personnes et la préservation de leur anonymat dans l’espace public". Elle s’est exprimée sur le projet de loi à travers un avis rendu le 8 décembre 2022, en soulignant que "le déploiement, même expérimental, de ces dispositifs de caméras augmentées est un tournant qui va contribuer à définir le rôle qui sera confié dans notre société à ces technologies, et plus généralement à l’intelligence artificielle". Au sein de cet avis, la Cnil a relevé que le projet de loi "prend en compte une large partie de ses recommandations" et "prévoit un déploiement expérimental et limité dans le temps et dans l’espace des traitements algorithmiques".

Les associations de défense des droits et libertés sur Internet, comme la Quadrature du Net, dénoncent l’opacité de ces technologies de VSA et le risque de profilage des individus et s’inquiètent que l’exception ne devienne le droit commun, altérant la protection conférée par le RGPD.  Ainsi, la loi sur les JOP vient instaurer un cadre exceptionnel pour le traitement des données personnelles. Un rapport d’évaluation de la mise en œuvre de l’expérimentation devra être remis au Parlement et à la Cnil le 30 juin 2025 au plus tard, notamment sur les résultats obtenus au regard des impacts sociétaux, et sur "l’opportunité de sa pérennisation". Les JOP charrient avec eux des enjeux nationaux et internationaux (économiques, écologiques, attractivité de la France, etc.), et en creux, le difficile équilibre entre liberté et sécurité.

¹ Libération, 23/11/2022, https://www.liberation.fr/societe/police-justice/jo-de-paris-2024-le-gouvernement-abandonne-la-reconnaissance-faciale-20221123_EHRSOTEHVRHS7G6QBWLQR72C2I/

² https://www.senat.fr/leg/tas22-093.html

³ RGPD, art. 9

 

LES POINTS CLÉS

• La loi sur les JOP 2024 prévoit que les images collectées au moyen de vidéosurveillance ou de drones pourront faire l’objet de traitements algorithmiques (analyse systématique et automatisée) afin de détecter en temps réel certains événements prédéterminés (sac abandonné, comportement suspect, etc.).
• Les caméras pourront être placées dans les lieux accueillant des manifestations sportives, récréatives ou culturelles,
  à leurs abords et dans les transports en commun.   
• La loi exclut la reconnaissance faciale et le traitement de données biométriques, qui font l’objet d’une protection juridique renforcée.         
• La Commission nationale de l’informatique et des libertés (Cnil), gendarme français des données personnelles,
  jouera un rôle d’accompagnement et de contrôle. 

 

SUR L'AUTEUR

Alice Salaün est manager chez Kroll, au sein du service forensic investigations and intelligence de Paris. Elle s’est spécialisée en conformité et protection des données personnelles. Alice Salaün a travaillé chez Deloitte et pour le cabinet d’intelligence économique Adit. Elle a étudié le droit international public, et est diplômée du master 2 administration internationale d’Assas.