Projet de Loi n° 1087 / identification biométrique à distance
Rapport de synthèse projet de Loi n° 1087 relative à l’utilisation de la vidéoprotection et de la vidéosurveillance des lieux accessibles au public pour la détection, la recherche et l’identification des personnes recherchées ou signalées au moyen de système d’identification biométrique à distance.
Aucun usage de la reconnaissance faciale n’est totalement neutre eu égard aux libertés publiques. Cette assertion trouve sa pleine expression lorsqu’il s’agit d’utiliser l’identification biométrique à distance en temps réel dans l’espace public. La mise en œuvre d’une identification biométrique en temps réel doit donc être l’aboutissement d’une réflexion poussée entre ses bénéfices attendus et les risques qu’elle comporte relativement aux droits et libertés fondamentaux. Aussi, l’APDP estime que le texte doit s’inscrire dans un contexte légal maitrisé. Or, en Principauté :
- Les lieux ouverts au public sont concernés par deux législations, la Loi n° 1.430 relative à la préservation de la sécurité nationale et la Loi n° 1.565 relative à la protection des données personnelles, source d’insécurité juridique pour les acteurs concernés ;
- L’APDP ne peut accéder à des données provenant des techniques de renseignements ou couvertes par le secret de l’article 18 de la Loi n° 1.430. Elle ne peut donc pas contrôler la liste « article 9 » de la Loi n° 1.430, et la manière dont elle est utilisée ;
- Les traitements de la DSP pouvant servir de sources pour caractériser les personnes ayant vocation à être inscrites sur les listes d’alerte ne disposent parfois pas d’une base légale ou, quand c’est le cas, les Arrêtés Ministériels instaurant les traitements ne sont pas toujours disponibles sur Legimonaco (uniquement au Journal de Monaco). En outre, les différents traitements devant être exploités distinctement par la DSP sont en réalité confondus en un seul traitement aux durées de conservation étendues. La DSP n’est pas nécessairement informée des décisions réhabilitant ou relaxant les personnes qui y sont inscrites, et qui demeurent donc fichées indûment ;
- Les traitements police/justice sont dispensés d’analyse d’impact par la Loi n° 1.565, de ce fait le système d’identification biométrique à distance peut donc être soumis à avis de l’APDP sans qu’au préalable les risques juridiques et techniques de la technologie choisie, ainsi que les moyens à mettre en œuvre pour les limiter, aient été analysés ;
- Un risque d’extension par voie règlementaire de l’utilisation de l’identification biométrique à distance ne peut être écarté (drones, décisions ministérielles comme lors de la crise sanitaire, ou utilisation de l’article 6 de la Loi n° 1.430).
Concernant le dispositif même, le projet de Loi ne permet pas d’appréhender des cas d’usage en temps réel ou a posteriori, les modalités d’utilisation de la technologie en fonction des listes d’alertes concernées. Ce texte ressemble à un « texte chapeau » inadapté et lacunaire destiné uniquement à doter l’identification biométrique à distance d’une base légale, alors qu’il est censé encadrer de manière claire et non sujette à interprétation la mise en œuvre effective d’un tel système. D’autant plus si à Monaco, à l’inverse des pays européens réfléchissant à introduire ce type de technologie dans leurs droits internes, son déploiement n’est pas déclenché au besoin en cas de nécessité absolue dans un périmètre géographique restreint, mais est utilisé de manière continue sur l’ensemble du territoire, permettant un contrôle permanent de la vie des personnes identifiées quand elles évoluent dans la sphère publique. En outre, les modalités de contrôle du dispositif sont insuffisantes, et les sanctions encourues en cas d’utilisation prohibée peu importantes ou absentes. En effet, le projet de Loi n° 1087 :
- Ne définit pas la notion d’identification biométrique à distance, ni la notion d’utilisation en temps réel ou a posteriori, si bien qu’il est impossible de dire que le projet de Loi se limite à la seule technologie de reconnaissance faciale, ni de savoir quels cas d’usage s’inscrivent réellement dans une utilisation en temps réel ou a posteriori ;
- Dispose que les vidéosurveillances « sont mises à disposition de la Direction de la Sûreté Publique », semblant forcer l’interconnexion des caméras du secteur privé avec l’identification biométrique à distance, sans que puissent-être anticipées les raisons de cette interconnexion en l’absence de cas d’usage définis sur un système déployé en continu, ni la durée de cette interconnexion ;
- Prévoit que les personnes inscrites sur les listes ne sont pas nécessairement recherchées mais simplement signalées, notion non définie qui peut permettre, en ayant une appréciation extensive, d’inclure dans les listes et de suivre les déplacements de toute personne citée dans une procédure concernant une infraction punie a minima d’un an d’emprisonnement. Les listes d’alerte sont encadrées par des Arrêtés Ministériels dont on ne connait pas le contenu ;
- Entend justifier le recours à l’identification biométrique à distance pour des « finalités de sécurité impérieuse » mais permet son utilisation à l’encontre de personnes en lien avec des infractions encourant un an d’emprisonnement, soit en réalité plus de 80% du Code Pénal ;
- N’érige aucune sanction quant à une utilisation indue par un personnel de la DSP de l’identification biométrique à distance, et les sanctions à l’encontre des personnes privées utilisant un tel système malgré l’interdiction qui leur en est faite encourent des sanctions inférieures à celles prévues par la Loi n° 1.565 ;
- Ne permet pas de circonscrire les personnes concernées par les recherches des causes de la mort, ce qui pourrait conduire à une utilisation extensive de la biométrie à l’encontre de toute personne ayant croisé le défunt lorsqu’il était encore en vie ;
- Ne définit pas comment la DSP peut gérer le cas des personnes vulnérables atteintes d’un handicap mental, et ne s’interroge pas sur la proportionnalité de cette mesure dont le suivi ne dépend pas de cette Direction, pouvant conduire à un contrôle permanent et injustifié de ces personnes ;
- Ne prévoit pas la mise en œuvre de garanties restreignant l’utilisation du dispositif à une autorisation préalable d’un Magistrat, ou de la Commission Spéciale de Sécurité Nationale (CSSN) pour la mise en œuvre de ce qui devrait s’apparenter à une technique de renseignement. En l’état du projet, ni l’APDP ni la CSSN ne peuvent contrôler, a priori ou a posteriori, la liste d’alerte contenant des informations en lien avec l’article 9 de la Loi n° 1.430 ;
- Ne lie pas son utilisation à des critères de nécessité et de subsidiarité, ne limite pas son utilisation dans le temps ou dans un espace géographique donné, et ne prévoit pas de réelles modalités de supervision de son utilisation ;
- Ne prévoit pas d’obligation d’informer les personnes concernées qu’elles entrent dans un espace géographique soumis à un système d’identification biométrique à distance, et encore moins selon quelles modalités elles en auront connaissance ;
- Ne définit pas les standards attendus en termes de qualité de photographies permettant un recours sans risque à l’identification biométrique et les éventuelles interconnexions avec des informations INTERPOL apparaissent facultatives et discrétionnaires (pas de cas d’usage défini, par exemple des informations selon lesquelles un individu donné serait susceptible de perpétrer des méfaits en Principauté) ;
- Prévoit l’utilisation de photographies pour la recherche de personnes disparues, dont les mineurs, mais il n’y a pas d’encadrement en la matière en Principauté.
Conclusion : la biométrie déployée et ses usages ne sont pas définis ni encadrés, la qualité des personnes portées sur les listes est incertaine, les listes concernent 80% des infractions monégasques, les risques intrinsèques au dispositif ne sont pas étudiés et aucune garantie de nécessité, de limitation dans le temps ou dans l’espace n’existe. Le texte offre une base légale à l’identification biométrique à distance qui pourrait permettre son utilisation de manière extensive à l’encontre d’un nombre important d’individus, sans ou avec peu de contrôle, uniquement a posteriori et d’une efficacité, dans ce contexte, illusoire. Il s’agit pour l’APDP d’un texte lacunaire et inadapté aux enjeux que cette technologie représente, et elle estime nécessaire qu’une réelle réflexion soit menée en amont afin d’introduire et encadrer, par une ou plusieurs Loi (y compris d’expérimentation) une utilisation de la reconnaissance faciale la plus respectueuse possible des droits et libertés fondamentaux des personnes concernées.