DOSSIER DE FOND : les challenges de la reconnaissance faciale

La technologie de la reconnaissance faciale est aujourd’hui sur toutes les lèvres. Elle inquiète autant qu’elle fascine, et la sphère juridique peine encore à l’appréhender de manière tout à fait certaine. Nous allons étudier les deux principaux challenges que doit relever la reconnaissance faciale pour que cette dernière puisse se développer de manière responsable, harmonieuse, et dans un cadre réglementaire adapté. Il faut en effet dans un premier temps reconnaître que la reconnaissance faciale est une technologie encore en développement, à laquelle il faut laisser le temps de mûrir, et que sa mise en œuvre précipitée aurait des conséquences désastreuses. Il s’agit du premier challenge technique qui doit être relevé : laisser le temps à une reconnaissance faciale encore balbutiante le temps de se développer (1.). Le second challenge est, lui, plutôt réglementaire. Une fois que la technologie de la reconnaissance faciale aura mûrit, sa relation avec les droits fondamentaux devra être clarifiée pour concilier le droit des individus avec cette technologie. LegalUP Consulting vous propose d’analyser les principaux droits en friction, et d’avancer des pistes pour tenter d’éviter les potentiels dangers que la reconnaissance faciale peut soulever aujourd’hui (2.).

1. Challenge technique : une technologie qui doit encore mûrir

Les technologies de reconnaissance faciale ont pour but l’identification ou l’authentification d’individus en comparant le visage capturé par la caméra avec une base de données de visages connus et en recherchant une correspondance. Le logiciel de reconnaissance faciale fournit pour cela un pourcentage de traits du visage similaires, et à partir d’un certain pourcentage, la personne est considérée identifiée ou authentifiée. Des algorithmes d’intelligence artificielle sont utilisés pour apprendre des millions de visages qui sont souvent traités par ce même logiciel, afin d’améliorer la précision des correspondances.

Mais à partir de là, des questions d’ordre pratique se posent : la reconnaissance faciale est-elle, au jour d’aujourd’hui, une technologie 100% fiable ? Quels seraient les risques si le logiciel “se trompe” et produit une correspondance erronée ? Nous verrons dans quelle mesure les technologies de reconnaissance faciale doivent encore mûrir, et que les risques engendrés par son déploiement hâtif seraient conséquents. Nous nous baserons notamment sur une étude menée par Big Brother Watch en mai 2018¹ portant sur l’utilisation de la reconnaissance faciale automatique par les polices de Londres et du sud du Pays de Galles.

La Grande-Bretagne est en effet une des pionnières dans l’utilisation de la reconnaissance faciale par les forces de police. La police de Londres et du sud du Pays de Galles ont déployé cette technologie notamment dans des centres commerciaux, des festivals, des événements sportifs, des concerts, ou lors de manifestations pacifiques. L’objectif affiché est toujours sécuritaire : il s’agit d’identifier des criminels afin de les arrêter, ou même parfois d’identifier des personnes présentant des troubles mentaux afin de les écarter de l’événement. Le produit de reconnaissance faciale utilisant l’intelligence artificielle mobilisé par ces deux forces de police se nomme “Neoface Watch” et a été développé par la société japonaise NEC.

Les statistiques transmises par les polices de Londre et du sud du Pays de Galles à Big Brother Watch² sont sans appel : la technologie de reconnaissance faciale doit encore être développé avant de pouvoir être déployée.

La police de Londres, tout d’abord, a déployé sa technologie à l’occasion de divers événements, dont le Carnaval de Notting Hill en 2016 et en 2017, et le Remembrance Day en 2017. Le bilan de l’utilisation de la reconnaissance faciale lors de ces trois événements montre la maturité encore insuffisante de la technologie : la police de Londres rapporte 102 ‘faux-positifs’ – c’est-à-dire 102 personnes innocentes incorrectement identifiées par le système – contre seulement 2 identifications correctes. Les résultats des principales utilisations de la reconnaissance faciale par la police de Londres (y compris pour les trois événements cités ci-dessus) sont présentés dans le tableau qui suit :

Statistiques portant sur les principales utilisations de la reconnaissance faciale par la police de Londres entre août 2018 et février 2019

En tout, lors de ces différents événements, on dénote 140 faux positifs pour seulement 10 identifications correctes, ce qui représente un taux d’environ 92.85% de faux positifs, ce qui est bien sûr conséquent.

La police du sud du pays de Galles, ensuite, a déployé la même technologie de reconnaissance faciale à plus grande échelle. Le 29 mai 2017, cette dernière est utilisée lors de la final de l’UEFA Champions League. Elle est ensuite déployée à 17 autres reprises en moins d’un an, pour identifier des personnes avec un casier judiciaire, et surtout des délinquants de petite envergure.

Liste des principaux événements au cours desquels la police du Sud du Pays de Galle a utilisé la reconnaissance faciale

Les résultats sont encore une fois frappants. Lors du premier déploiement à la finale de l’UEFA Champions League le 29 mai 2017, la technologie de reconnaissance faciale a permis d’identifier correctement 173 personnes, mais a produit 2 554 faux positifs, qui ont mené à 5 interventions de police injustifiées sur des personnes innocentes. Les statistiques relatives à l’utilisation de la reconnaissance faciale lors de ces différents événements sont présentées plus en détail ci-dessous :

On dénote donc en tout 2 788 faux positifs pour seulement 235 identifications correctes, soit un taux d’environ 91,57% de faux positifs, un chiffre encore une fois très important.

Ces expérimentations montrent donc que la reconnaissance faciale est encore une technologie devant être améliorée car pas assez fiable en l’état. Ce qui est un premier élément nous invitant à la manier avec prudence, d’autant plus que les conséquences d’une fausse identification peuvent être importantes : dans le cas étudié ci-dessus, on voit que les faux-positifs ont mené à d’assez nombreuses interventions de police sur des personnes innocentes. Ces interpellations injustifiées sont, selon les juridictions, susceptibles de constituer des infractions sans parler des atteintes aux libertés fondamentales.

Finissons par noter qu’un autre obstacle pratique doit être considéré lorsque est abordé le sujet de la reconnaissance faciale à des fins de sécurité et d’identification de délinquants. Les bases de données de la police par rapport auxquelles les images capturées par les caméra sont comparées peuvent comporter une part non-négligeable d’individus innocents. L’exemple de la Grande Bretagne est encore une fois intéressant : la Police National Database (PND) contenait en 2017 environ 19 millions de photographies faciales³, dont plusieurs centaines de milliers concernent des individus innocents⁴. En effet, suite à une arrestation, les forces de police prennent des clichés anthropométriques qui peuvent donc concerner des personnes qui n’ont pas encore été jugées. Ces clichés restent ensuite dans la Police National Database pour près de 6 ans. On peut légitimement se demander si une telle pratique n’entrera pas en conflit avec un principe fondamental du droit et réaffirmé régulièrement par de nombreuses juridictions (comme la CEDH) : la présomption d’innocence. Peut-on vraiment permettre le profilage d’individus qui n’ont pas encore été jugés, et qui sont donc encore légalement considérés comme innocents ?

Ainsi, même si la technologie de reconnaissance faciale fonctionnait parfaitement (ce qui est loin d’être le cas comme nous l’avons vu), les risques d’arrestation d’individus innocents seraient importants considérant le contenu des bases de données auxquelles les images de vidéosurveillance sont comparées. Il s’agit d’un exemple d’un autre obstacle pratique qui nous pousse encore une fois à la prudence en ce qui concerne le déploiement de la technologie de reconnaissance faciale, qui ne peut se faire de manière débridée et hâtive. La technologie doit encore mûrir, et une utilisation raisonnée doit en être fait du point de vue technique, notamment en relation avec les bases de données mobilisées aux fins d’identification des individus. L’utilisation de la reconnaissance faciale doit, en tout état de cause, être mobilisée pour le moment avec prudence et seulement dans un cadre expérimental réduit. Il s’agit également de la position de la CNIL sur ce sujet.

2. Challenge juridique : droits fondamentaux et reconnaissance faciale

Outre les obstacles pratiques que nous venons d’envisager, les frictions entre l’utilisation de la reconnaissance faciale et le respect des droits fondamentaux représentent un obstacle juridique au déploiement de la reconnaissance faciale. Nous allons d’abord envisager le rapport de cette technologie au droit à la vie privée et à la problématique des données sensibles (a), ensuite à la liberté d’expression (b), puis enfin au droit à la non-discrimination (c).

a. Droit à la vie privée et à la protection des données personnelles

De nombreux experts affirment qu’une utilisation débridée et non-encadrée de la reconnaissance faciale représenterait un traitement dangereux de données personnelles qui pourrait potentiellement être problématique vis-à-vis de deux droits fondamentaux : le droit à la vie privée et le droit à la protection des données personnelles.

En effet, le droit au respect à la vie privée et familiale est notamment garanti à l’article 8.1 de la Convention Européenne des Droits de l’Homme (CEDH)⁵. Or, du point de vue de la Cour Européenne des Droits de l’Homme, qui applique et interprète la Convention, le droit à la protection des données personnelles “joue un rôle fondamental pour l’exercice du droit au respect de la vie privée et familiale consacré par l’article 8 de la [CEDH]. La législation interne doit donc ménager des garanties appropriées pour empêcher toute utilisation de données à caractère personnel qui ne serait pas conforme aux garanties prévues dans cet article“⁶. Le droit à la protection des données personnelles et le droit à la vie privée sont donc intimement liés et reconnus par la Cour Européenne des Droits de l’Homme. Depuis l’entrée en vigueur du traité de Lisbonne en décembre 2009, la Convention européenne des droits de l’Homme a intégré le droit de l’Union. La Charte des droits fondamentaux de l’Union européenne, qui lie les institutions de l’Union ainsi que les États membres dans l’exécution du droit de l’Union, comprend comme la CEDH une disposition relative à la protection de la vie privée en général (à son article 7), mais aussi un article qui protège spécifiquement les données personnelles à son article 8.

Il est donc établi aujourd’hui, tant du point de vue de la CEDH que de la Charte des droits fondamentaux de l’Union européenne, qu’un traitement problématique de données personnelles viole simultanément deux droits fondamentaux interdépendants : le droit au respect de la vie privée et le droit à la protection des données personnelles.

Or une utilisation non-encadrée de la reconnaissance faciale pourrait constituer un tel traitement problématique. En effet, nous l’avons vu, la reconnaissance faciale est un système automatisé qui permet d’identifier et/ou d’authentifier une personne grâce à son image. Cette technologie représente dans ce cadre un traitement automatisé de l’image d’une personne, laquelle constitue une donnée personnelle. Plus précisément, l’image d’une personne est une donnée biométrique : les « données biométriques » sont définies par l’article 4 du RGPD comme les données à caractère personnel résultant d’un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d’une personne physique, qui permettent ou confirment son identification unique. A ce titre, de telles données sont considérées comme sensibles. La réglementation sur le traitement des données sensibles pose un principe d’interdiction (art.9.1 du RGPD). Elle précise que sont interdits les traitements de données biométriques aux fins d’identifier une personne physique de manière unique. La reconnaissance faciale étant un traitement de données biométriques permettant d’identifier une personne physique de manière unique, elle représente par principe un traitement de données problématique et est donc interdite afin de préserver le droit à la vie privée et le droit à la protection des données personnelles.

On voit bien dès à présent l’inévitable tension entre les deux droits fondamentaux qui nous intéressent ici et la reconnaissance faciale. Cette dernière manipule des données tellement sensibles qu’elle est considérée par principe comme un traitement de données problématique, et donc comme une violation des droits à la protection des données personnelles et à la vie privée. De manière plus concrète, on comprend la logique d’une telle interdiction de principe : la reconnaissance faciale transformerait les individus en cartes d’identité mouvantes, permettant de les identifier de manière unique et certaine, et empêchant tout anonymat dans l’espace publique.

L’incompatibilité entre la reconnaissance faciale avec les droits fondamentaux de protection des données personnelles et de respect de la vie privée n’est pas absolue. Il existe en effet des exceptions qui permettent d’écarter le principe général d’interdiction du traitement des données sensibles. Ainsi, un traitement de données sensibles est, entre autre, autorisé :

– Lorsque la personne a donné son consentement, à condition que ce consentement soit libre, spécifique, et éclairé.

– Lorsque le traitement est nécessaire pour des motifs d’intérêt public important (art. 9.2 du RGPD).

Ainsi, on en déduit que la reconnaissance faciale pourrait, dans ces deux hypothèses, ne pas constituer un traitement problématique et donc ne pas être incompatible avec les droits à la protection des données et à la protection de la vie privée. Il faut cependant être vigilant et encadrer l’utilisation de la reconnaissance faciale pour qu’elle se conforme à ces deux cas de figure.

b. Liberté d’expression

La liberté d’expression est un droit fondamental notamment défini dans la Déclaration universelle des droits de l’Homme de 1948, qui dispose que “Tout individu a droit à la liberté d’opinion et d’expression, ce qui implique le droit de ne pas être inquiété pour ses opinions et celui de chercher, de recevoir et de répandre, sans considération de frontières, les informations et les idées par quelque moyen d’expression que ce soit“. L’article 10 de la Convention européenne des droits de l’homme réaffirme la liberté d’expression en disposant que “Toute personne a droit à la liberté d’expression. Ce droit comprend la liberté d’opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu’il puisse y avoir ingérence d’autorités publiques et sans considération de frontière“.

La liberté d’expression regroupe donc un ensemble de libertés, dont la liberté de la presse, de l’enseignement, mais surtout les libertés collectives de diffuser des opinions (réunion, association, manifestation…) sans subir l’ingérence des autorités étatiques. L’utilisation de la reconnaissance faciale dans un but sécuritaire pour le compte de l’État entre en conflit direct avec la liberté d’expression ainsi définie. La surveillance biométrique et l’identification des individus dans les espaces publiques et à l’occasion d’événements peut avoir un effet dissuasif sur beaucoup d’individus, qui ne se sentiraient pas à l’aise lorsque assujetti à un tel dispositif. Or une telle dissuasion limite fortement la liberté d’expression de tout citoyen.

Quelques exemples illustrant la potentielle restriction de la liberté d’expression des individus au travers d’un dispositif de reconnaissance faciale peuvent être évoqués ici. En Écosse, un système de reconnaissance faciale a été introduit dès 2016 lors de matchs de football. Les supporters ont vivement protesté, affirmant qu’un tel système ferait fuir les spectateurs et viderait les stades.⁷

On peut par ailleurs très bien imaginer l’effet dissuasif de cette technologie lorsqu’elle est utilisée à l’occasion d’une manifestation politique, et les potentielles dérives que ce système peut entraîner.

Encore une fois, cette incompatibilité entre la reconnaissance faciale et la liberté d’expression n’est pas absolue. La liberté d’expression peut faire l’objet de limitations, sous certaines conditions, définies par exemple par la Cour Européenne des Droits de l’Homme (d’autres institutions telles que la Cour de Justice de l’Union Européenne appliquent un test identique) :

• Lorsque la restriction soit prévue par la loi et énoncée de manière claire, précise et prévisible pour permettre à un individu de régler sa conduite.

• Lorsque la restriction poursuive un objectif légitime.

• Lorsque la restriction soit “nécessaire dans une société démocratique” (notion qui correspond en fait à la notion de proportionnalité).

Ainsi, un cadre législatif, organisationnel et technique précis pourrait permettre certaines utilisations de la reconnaissance faciale sans être entièrement incompatible avec la liberté d’expression.

c. Droit à la non-discrimination

L’interdiction de la discrimination est un principe fondamental et absolu, proclamé par toutes les normes internationales relatives aux droits humains. L’article n° 14 de la Convention européenne des droits de l’homme (CEDH) est intitulé “Interdiction de discrimination” et proclame le respect des droits de la Convention sans considération “sur le sexe, la race, la couleur, la langue, la religion, les opinions politiques ou toutes autres opinions, l’origine nationale ou sociale, l’appartenance à une minorité nationale, la fortune, la naissance ou toute autre situation“. L’article 21 de la Charte des droits fondamentaux de l’Union Européenne énonce un principe extrêmement similaire.

L’utilisation de la technologie de reconnaissance faciale peut poser problème par rapport à ce principe de non-discrimination. En effet, alors même que les conséquences sur les droits des personnes sont importantes, les algorithmes de reconnaissance faciale traitent bien souvent différemment différentes ethnies ou sexes, sans justification légitime. Un certain nombre d’études ont en effet montré que les identifications incorrectes effectuées par les algorithmes de reconnaissance faciale touchaient les personnes noires et les femmes de manière beaucoup plus importante. Une étude du Massachusetts Institute of Technology (MIT) sur les systèmes commerciaux d’intelligence artificielle a en effet démontré que les algorithmes de reconnaissance faciale avaient un taux d’erreur 43 fois supérieur pour les femmes de couleur que pour les hommes blancs⁸.

Ce biais fondamental aboutit à un risque plus grand pour ces populations d’être injustement soumis à une intervention de police, à devoir prouver leur identité, et donc leur innocence. Sous le prétexte d’une objectivité technique, les personnes de couleur et les femmes pourraient être plus fortement réprimés, sans justification légitime, ce qui va à l’encontre du droit de chacun à la non-discrimination.

La lutte contre les biais démographiques dans les algorithmes de reconnaissance faciale doit donc être une priorité pour la mise en œuvre de cette technologie de manière responsable.

En conclusion, nous avons vu que la reconnaissance faciale, sujet brûlant, devait répondre à un certain nombre de challenges tant techniques que juridiques afin qu’elle soit déployée de manière responsable, harmonieuse, et conforme aux droits fondamentaux. D’un point de vue technique, la technologie devrait encore être perfectionnée avant de pouvoir être mise en œuvre de manière efficace. Trop de précipitation aurait des conséquences très négatives pour les droits des individus, et pour la crédibilité de la reconnaissance faciale. D’un point de vue juridique, un encadrement réglementaire adapté doit être trouvé pour s’assurer que la technologie ne prenne pas le pas sur les droits et libertés fondamentaux. Un tel équilibre peut cependant être trouvé à partir des textes en vigueur. Identifier ces différents enjeux est une étape préalable fondamentale afin de permettre un développement harmonieux de la reconnaissance faciale, nous rappelant que les mondes de la technologie et du droit sont en interaction constante, et doivent être conciliés pour aboutir à une innovation responsable.

Le baromètre sur la reconnaissance faciale que Renaissance Numérique a élaboré semble aller dans le sens des principaux points abordés dans ce travail. Un temps de réflexion est plébiscité pour permettre à ces technologies de se développer, et au cadre juridique de se renforcer. L’urgence aujourd’hui est donc d’attendre: d’un point de vue technique comme juridique, la reconnaissance faciale doit être implémentée de manière prudente, étape par étape.

Valérie Chavanne & Quentin Roland