Un rapport édifiant a été déposé par des sénateurs de la Délégation à la prospective, le 3 juin 2021 (Rapport d'information n° 673 (2020-2021) illustrant les possibles dérives du solutionnisme technologique.

Ils proposent la mise en place d'un Crisis Data Hub (CDH), une plateforme sécurisée de collecte et d’échange de données dont la fonction serait de répondre aux situations de crise (sanitaire ou autre), "lorsque des croisements de données massifs et dérogatoires deviennent indispensables, pour sauver des vies sans condamner le pays".

Le Crisis Data Hub, qui fait clairement référence au « Health Data Hub », qui recueille déjà les données de santé du SNDS, envisage d'optimiser l’utilisation de l’outil numérique pour sortir ou gérer au mieux la crise (lire notre article Faut-il craindre le Big Data Santé ? La protection des données de santé à l'heure du SNDS)

S'inspirant de modèles très intrusifs (Chine), il s'agirait d'une plateforme cloud sécurisée qui ne serait activée, nous assure-t-on, qu’en temps de crise, et qui permettrait, via une série d’API, de centraliser les données utiles et de les redistribuer aux acteurs qui en ont besoin : établissements de santé, sécurité civile, forces de l’ordre, collectivités, transports, prestataires etc.

Selon ce rapport, la France montrerait trop de « défiance à l’égard du numérique », les sénateurs déplorant que « le moindre croisement de fichiers suscite des polémiques infinies ». 

La Commission nationale de l’informatique et des libertés (CNIL) et son interprétation considérée comme trop frileuse du RGPD (Règlement général sur la protection des données),  serait à cet égard « bien plus conservatrice que chez nos voisins européens ».

Le Crisis Data Hub permettrait donc, en cas de crise, des « croisements de données massifs », en ayant recours à des technologies « intrusives mais très ciblées et limitées dans le temps », pour « une liberté retrouvée plus vite ». 

Il serait ainsi possible de « croiser les données médicales avec des données de géolocalisation » mais aussi avec les données des « opérateurs de téléphonie, entreprises de transport, établissements financiers, etc. ».

En cas de catastrophe naturelle ou industrielle, attaque terroriste ou bioterroriste, cela autoriserait par exemple l’« envoi automatique d’un SMS à tout individu qui s’éloignerait de son domicile pendant le couvre-feu », ou même « une information en temps réel des forces de l’ordre », ainsi qu'« une désactivation du titre de transport ou des moyens de paiement du contrevenant », ou encore « une amende prélevée automatiquement sur son compte bancaire ».

Alors texte provocateur ou prémonitoire du glissement progressif vers une société de surveillance sous couvert de protéger la santé en rognant singulièrement sur la protection des données personnelles de santé et les libertés individuelles ?

Le rapport pose cependant timidement quelques gardes fous: la CNIL pourrait ainsi établir une doctrine préalable d’autorisation de chaque dispositif en fonction de « scénarios ». Le juge pourrait se prononcer sans la pression de l’urgence. Une procédure de rescrit spécifique pourrait être créée.

Mais comment ne pas frémir à l'idée de la masse de données ainsi récoltées et centralisées générant une surveillance toujours plus prégnante et un danger pour la protection de la vie privée des individus, avec le risque de pérennisation des mesures coercitives autorisées pendant un état d'urgence ou de crise ? Sans compter sur les risques de fuites de données ou de piratage informatique.

D'autant que le dépôt de ce rapport intervient que les sénateurs ont voté le 29 juin le nouveau projet de loi relatif à la prévention d’actes de terrorisme et au renseignement prévoyant l'analyse par algorithmes (boites noires) de l’ensemble des métadonnées transitant sur les réseaux afin de détecter des comportements et pérennisant des mesures autorisées pendant l'état d'urgence.

Le texte devrait être présenté prochainement en séance plénière à l'Assemblée nationale.

Me Thierry Vallat a débattu de ce projet sur RT France le 30 juin 2021 avec son confrère Matthieu Quiniou.

Retrouvez le rapport Crises sanitaires et outils numériques : répondre avec efficacité pour retrouver nos libertés (senat.fr)

Le Projet de loi relatif à la prévention d'actes de terrorisme et au renseignement a été adopté par l'Assemblée nationale le 2 juin 2021

Ce texte banalise plusieurs mesures issues du droit d’exception de l’état d’urgence.  On peut par exemple évoquer les Micas, un système d’assignation à résidence qui permet au ministère de l’intérieur de contraindre une personne dont le « comportement constitue une menace d’une particulière gravité pour la sécurité et l’ordre publics »à ne pas sortir d’un périmètre donné pendant trois mois renouvelables avec une obligation de pointage, sans qu' aucune infraction de nature à déclencher une procédure judiciaire ne lui être reprochée.

Par ailleurs, la technique de l’algorithme qui permet le traitement automatisé des données de connexion pour détecter les menaces, est en voie d’être pérennisée et même étendue dans le projet de loi de lutte antiterroriste présenté ce mercredi en Conseil des ministres.

L’article L 851-3 du code de sécurité intérieure, introduit par la loi de 2015 sur le Renseignement, prévoit que le Premier ministre peut, après avis de l’autorité administrative indépendante, la Commission de contrôle des techniques de renseignement (CNCTR) « imposer aux opérateurs de communications électroniques et aux fournisseurs de services sur internet la mise en œuvre sur leurs réseaux de traitements automatisés (algorithme) destinés à détecter des connexions susceptibles de révéler une menace terroriste.

Les algorithmes ne peuvent porter que sur des données de connexion et ne doivent pas permettre l’identification des personnes auxquelles ces données se rapportent.

Si un faisceau de comportements suspects, comme la connexion à certains sites ou applications,  est repéré, l’anonymat de la personne sera levé. 

Le texte va étendre la surveillance algorithmique, ainsi que la surveillance en temps réel des personnes aux adresses URL. Cependant, le chiffrement des connexions va limiter drastiquement les informations accessibles aux algorithmes qui ne pourront par exemple pas casser le protocole https:// et vérifier la nature des informations vues sur un site par la personne pistée.

Le projet de loi porte également à deux mois, contre un seul aujourd’hui, la durée autorisée pour recueillir des données informatiques, qui pourront être conservées pendant cinq ans .

La question de la proportionnalité du recours aux algorithmes devrait être au cœur des débats lors de l’examen du projet de loi au Sénat dès le 16 juin 2021.

(crédits dessin: Cabinet Thierry Vallat)

Sérieux camouflet pour la surveillance globale.

Par sa décision n°2021-817 DC du 20 mai 2021, le Conseil constitutionnel s'est en effet prononcé sur la loi pour une sécurité globale en retoquant douze articles de cette loi (sept sur les 22 soumis à sa censure et cinq d'office comme cavaliers législatifs)

Notamment sont censurés, comme attendu, les articles très polémiques 47 et 48, ainsi que le l'article 52 &er paragraphe (ex art 24).

Le texte est donc censuré sur le recours à la surveillance par des drones. Tout en validant son principe même, le Conseil constitutionnel juge que cette technique est ouverte trop largement et sans garanties suffisantes.

idem pour le recours aux "caméras embarquées" à bord de véhicules et aéronefs des forces de l'ordre, faute de limite temporelle et spatiale d'usage, ainsi que de régime d'autorisation et d'information.

Sont notamment déclarées inconstitutionnelles les dispositions de l'article 47 déterminant les conditions dans lesquelles certains services de l'État et la police municipale peuvent procéder au traitement d'images au moyen de caméras installées sur des aéronefs circulant sans personne à bord.

En application de ces dispositions, les services de l'État et de police municipale peuvent mettre en œuvre des opérations de captation, d'enregistrement et de transmission d'images sur la voie publique dès lors qu'elles ne visualisent pas les images de l'intérieur des domiciles ni, de façon spécifique, celles de leurs entrées. Les images captées peuvent être transmises en temps réel au poste de commandement du service utilisateur. Le public est informé par tout moyen approprié de la mise en œuvre du dispositif de captation d'images sauf lorsque les circonstances l'interdisent ou lorsque cette information entrerait en contradiction avec les objectifs poursuivis.

Le Conseil constitutionnel a jugé à cet égard que, pour répondre aux objectifs de valeur constitutionnelle de prévention des atteintes à l'ordre public et de recherche des auteurs d'infractions, le législateur pouvait autoriser la captation, l'enregistrement et la transmission d'images par des aéronefs circulant sans pilote à bord aux fins de recherche, de constatation ou de poursuite des infractions pénales ou aux fins de maintien de l'ordre et de la sécurité publics. Toutefois, eu égard à leur mobilité et à la hauteur à laquelle ils peuvent évoluer, ces appareils sont susceptibles de capter, en tout lieu et sans que leur présence soit détectée, des images d'un nombre très important de personnes et de suivre leurs déplacements dans un vaste périmètre. Dès lors, la mise en œuvre de tels systèmes de surveillance doit être assortie de garanties particulières de nature à sauvegarder le droit au respect de la vie privée.

Or, le Conseil constitutionnel a relevé que, en matière de police judiciaire, il peut être recouru à ce dispositif pour toute infraction, y compris pour une contravention. En matière de police administrative, il peut y être recouru pour la prévention des atteintes à la sécurité des personnes et des biens, pour la sécurité des rassemblements de personnes sur la voie publique ou dans les lieux ouverts au public, pour la prévention d'actes de terrorisme, la protection des bâtiments et installations publics exposés à des risques d'intrusion ou de dégradation, la régulation des flux de transport, la surveillance des frontières et le secours aux personnes. S'agissant des services de police municipale, ils peuvent y recourir aux fins d'assurer l'exécution de tout arrêté de police du maire, quelle que soit la nature de l'obligation ou de l'interdiction qu'il édicte, et de constater les contraventions à ces arrêtés.

Il a également relevé que le législateur n'a lui-même fixé aucune limite maximale à la durée de l'autorisation de recourir à un tel moyen de surveillance, exceptée la durée de six mois lorsque cette autorisation est délivrée à la police municipale, ni aucune limite au périmètre dans lequel la surveillance peut être mise en œuvre et que n'a pas été fixé le principe d'un contingentement du nombre d'aéronefs circulant sans personne à bord équipés d'une caméra pouvant être utilisés, le cas échéant simultanément, par les différents services de l'État et ceux de la police municipale.

Par ces motifs, notamment, le Conseil constitutionnel a jugé que le législateur n'avait pas assuré une conciliation équilibrée entre les objectifs de valeur constitutionnelle de prévention des atteintes à l'ordre public et de recherche des auteurs d'infractions et le droit au respect de la vie privée.

2/ Article 48: captation et transmission des images des caméras embarquées

L'article 48 permettant aux forces de sécurité intérieure et à certains services de secours de procéder à la captation, à l'enregistrement et à la transmission d'images au moyen de caméras embarquées équipant leurs véhicules, aéronefs, embarcations et autres moyens de transport, à l'exception des aéronefs circulant sans personne à bord.

À cet égard, le Conseil a relevé, d'une part, que ces dispositions prévoient que les caméras embarquées équipant les moyens de transport précités peuvent capter, enregistrer et transmettre des images au sein de ces véhicules, sur la voie publique ou dans des lieux ouverts au public, y compris, le cas échéant, de l'intérieur des immeubles ainsi que de leurs entrées. D'autre part, outre une information générale du public par le ministre de l'intérieur, le législateur n'a prévu pour seule information spécifique du public que l'apposition d'une signalétique lorsque les véhicules sont équipés de caméras. Cette dernière information n'étant pas donnée lorsque « les circonstances l'interdisent » ou lorsqu'elle « entrerait en contradiction avec les objectifs poursuivis », le Conseil a observé que de telles exceptions permettent de déroger largement à cette obligation d'informer et, plus particulièrement, en matière d'investigations pénales dès lors qu'une telle information est le plus souvent en contradiction avec l'objectif de recherche des auteurs d'infractions et de constatation de ces dernières.

Il a également constaté que les dispositions contestées peuvent être mises en œuvre pour prévenir les incidents au cours des interventions, faciliter le constat des infractions et la poursuite de leurs auteurs par la collecte de preuves, assurer la sécurité des rassemblements de personnes sur la voie publique ou dans des lieux ouverts au public, faciliter la surveillance des littoraux, des eaux intérieures et des zones frontalières ainsi que le secours aux personnes et la lutte contre l'incendie, et réguler les flux de transport.

Enfin, le Conseil a considéré, d'une part, que si ces mêmes dispositions n'autorisent la mise en œuvre de ces caméras embarquées que pour la durée strictement nécessaire à la réalisation de l'intervention, le législateur n'a lui-même fixé aucune limite maximale à cette durée, ni aucune borne au périmètre dans lequel cette surveillance peut avoir lieu. D'autre part, la décision de recourir à des caméras embarquées relève des seuls agents des forces de sécurité intérieure et des services de secours. Elle n'est soumise à aucune autorisation, ni même à l'information d'une autre autorité.

Pour ces raisons, le Conseil constitutionnel a jugé que le législateur n'a pas assuré une conciliation équilibrée entre les objectifs de valeur constitutionnelle de prévention des atteintes à l'ordre public et de recherche des auteurs d'infractions et le droit au respect de la vie privée.

Le Conseil constitutionnel a par ailleurs censuré d'office comme « cavaliers législatifs », c'est-à-dire comme adoptés selon une procédure contraire aux exigences de l'article 45 de la Constitution, les articles 26, 57, 63, 68 et 69 de la loi déférée.

Le très décrié paragraphe I de l'article 52 (ex article 24) de la loi réprimant de cinq ans d'emprisonnement et de 75 000 euros d'amende « la provocation, dans le but manifeste qu'il soit porté atteinte à son intégrité physique ou psychique, à l'identification d'un agent de la police nationale, d'un militaire de la gendarmerie nationale ou d'un agent de la police municipale lorsque ces personnels agissent dans le cadre d'une opération de police, d'un agent des douanes lorsqu'il est en opération ». ne passe pas non plus le cap du Conseil constitutionnel car trop imprécis.

Le ministre de l'intérieur vient d'ores et déjà d'annoncer une réécriture des articles retoqués.

Retrouvez la décision du 20 mai 2021: https://www.conseil-constitutionnel.fr/decision/2021/2021817DC.htm

et notre article Loi Sécurité globale adoptée le 15 avril 2021

(source: Conseil constitutionnel)

(crédits dessin: Cabinet Thierry Vallat)

Après avoir été expérimentées par les forces de l’ordre, les polices municipales et les agents des services internes de sécurité de la RATP et de la SNCF, les caméras individuelles peuvent désormais être expérimentées par les agents assermentés des exploitants de services de transport.

Par le Décret n° 2021-543 du 30 avril 2021, publié au journal officiel du 2 mai dernier, il a été en effet instauré une expérimentation jusqu'au 1er juin 2024 des caméras individuelles dans les transports publics par les agents assermentés mentionnés au 4° du I de l'article L. 2241-1 du code des transports 

Ceux-ci sont donc autorisés à procéder à un enregistrement audiovisuel de leurs interventions dans les conditions prévues à l'article 113 de la loi n° 2019-1428 du 24 décembre 2019 d'orientation des mobilité.

Cet article précise que les agents assermentés des transports de personnes ferroviaire, guidé ou routier (SNCF, RATP...) peuvent procéder en tous lieux, au moyen de caméras individuelles, à un enregistrement audiovisuel de leurs interventions lorsque se produit ou est susceptible de se produire un incident, eu égard aux circonstances de l'intervention ou au comportement des personnes concernées.

L'enregistrement peut être déclenché pour l'un des motifs suivants :
1° La personne manifeste, de manière physique ou verbale, un comportement menaçant, agressif ou violent, ou susceptible de le devenir ;
2° La personne concernée en fait la demande ;
3° Le nombre d'agents assermentés présents est manifestement inférieur à celui des personnes impliquées ou susceptibles de l'être ;
4° L'intervention se déroule dans un lieu qui présente en lui-même, par sa configuration, un risque particulier d'atteintes aux personnes ou aux biens ;
5° Les agents assermentés agissent conformément aux dispositions de l'article 73 du code de procédure pénale (crimes ou délits flagrants)

L'enregistrement n'est pas permanent.

Les enregistrements ont pour finalités la prévention des incidents au cours des interventions des agents assermentés mentionnés au même 4°, le constat des infractions et la poursuite de leurs auteurs par la collecte de preuves ainsi que la formation et la pédagogie des agents. Lorsque la sécurité des agents est menacée, les images captées et enregistrées au moyen de caméras individuelles peuvent être transmises en temps réel au poste de commandement du service concerné.

Les caméras sont portées de façon apparente par les agents . Un signal visuel spécifique indique si la caméra enregistre. Le déclenchement de l'enregistrement fait l'objet d'une information des personnes enregistrées, sauf si les circonstances l'interdisent.

Une information générale du public sur l'emploi de ces caméras est organisée par le ministre chargé des transports. Elle est délivrée sur le site internet du ministère chargé des transports, sur le site internet de l'exploitant de services de transport concerné ainsi que par voie de panneaux d'affichage dans les gares et dans les véhicules de transports concernés.

Les personnels auxquels les caméras individuelles sont fournies ne peuvent avoir accès directement aux enregistrements auxquels ils procèdent.

Le déclenchement de l'enregistrement fait l'objet d'une information des personnes enregistrées, délivrée oralement par l'agent porteur de la caméra. L'information peut être différée dans les cas suivants, à condition d'être réalisée dès que les circonstances la rendent possible :
1° La situation laisse craindre un risque immédiat d'atteinte à la vie ou à l'intégrité d'une personne ;
2° Les agents assermentés agissent conformément aux dispositions de l'article 73 du code de procédure pénale.

L'enregistrement ne peut avoir lieu hors des emprises immobilières nécessaires à l'exploitation des services de transport ou des véhicules de transport public de personnes qui y sont affectés.

Lorsque les agents assermentés ont procédé à l'enregistrement d'une intervention, les données enregistrées par les caméras individuelles sont transférées sur un support informatique sécurisé dès leur retour au service.

Les enregistrements audiovisuels, hors le cas où ils sont utilisés dans le cadre d'une procédure judiciaire, administrative ou disciplinaire, sont effacés au bout de six mois. Les données extraites, dans le délai de six mois, et transmises pour les besoins d'une procédure judiciaire, administrative ou disciplinaire, sont conservées selon les règles propres à chacune de ces procédures.

Le décret d'application précise les conditions dans lesquelles les exploitants de services de transport peuvent mettre en place des traitements de données à caractère personnel : l'exploitant de services de transport qui décide de mettre en œuvre un tel traitement est le responsable de ce traitement.

Les catégories de données à caractère personnel et informations enregistrées dans les traitements sont :
1° Les images et les sons captés par les caméras individuelles utilisées par les agents assermentés, dans les circonstances et pour les finalités prévues à l'article 113 de la loi du 24 décembre 2019 susvisée ;
2° Le jour et la plage horaire d'enregistrement ;
3° L'identification de l'agent porteur de la caméra lors de l'enregistrement des données ;
4° Le lieu où ont été collectées les données.

Il doit être effectué une analyse d'impact relative à la protection des données à caractère personnel, dans les conditions prévues à l'article 90 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. Les traitements ont pour finalités la prévention des incidents au cours des interventions des agents assermentés, le constat des infractions et la poursuite de leurs auteurs par la collecte de preuves et la formation et la pédagogie des agents assermentés.

(crédits dessin: Cabinet Thierry Vallat)

Le comité d’éthique de la défense a rendu le 29 avril 2021 un avis sur les systèmes d’armes létaux autonomes (SALA), une première marche vers le développement d'armes robotisées pilotées par l’homme, même s'il exclu pour le moment le recours à des  "robots tueurs" totalement autonomes.

Rappelons que la France s’est dotée en 2019 d’une structure de réflexion permanente sur les enjeux éthiques des nouvelles technologies dans le domaine de la défense.

La France confirme donc qu’elle ne développera et n’emploiera pas de systèmes d’armes létaux pleinement autonomes

Le rapport s’attache à identifier ce que recouvre la notion d’autonomie et présente les définitions existantes.

Au terme de cette analyse, le Comité a choisi d’établir une stricte distinction entre les SALA et les Systèmes d’armes létaux intégrant de l’autonomie (SALIA) mais incapables d’agir seuls, sans contrôle humain, de modifier leurs règles d’engagement et de prendre des initiatives létales. 

Au terme de cette analyse initiale, le Comité d’éthique de la défense a choisi d’établir une stricte distinction entre :

• - Les Systèmes d’armes létaux autonomes (SALA), qui sont des systèmes d’armes létaux programmés pour être capables de faire évoluer leurs règles de fonctionnement, d’échapper au contrôle humain et de redéfinir tout seuls leur mission ;
• - les Systèmes d’armes létaux intégrant de l’autonomie (SALIA) qui sont des systèmes comportant des fonctions automatisées, mais sous contrôle humain, dans des conditions qui garantissent :
  • le respect du principe constitutionnel de nécessaire libre disposition de la force armée,
  • le respect du principe de continuité de la chaîne de commandement de l’ordre à son application, 

  Un SALIA ne pourrait prendre d’initiatives létales - sans contrôle humain. Il ne pourrait pas modifier seul ses conditions de fonctionnement.

• Ainsi, il existe une différence de nature entre les SALA, et la notion de SALIA introduite par le Comité, qui désigne un système ne pouvant pas être déployé sans intervention humaine, l’humain étant supposé rester au cœur des décisions d’usage de la force létale.

Néanmoins, on peine à croire à une totale interdiction, alors que l'on assiste à une véritable course à de tels armements des USA à Israël en passant par la Russie, avec les robots Big Dog de Boston Dynamics (logistique), Andros (ouverture de feu), Telemax (deminage), Guardian (reconnaissance)  ou nEUROn (drone).

Et dans l'armée française? Les robots militaires ont commencé à être livrés , en vue d'intégrer l'armée de Terre dans le cadre du programme terrestre Scorpion. 

La Direction générale de l’armement (DGA) a ainsi réceptionné en décembre 2019 cinq premiers micro-robots de reconnaissance étendue Nerva®-LG. Ces robots sont capables d’évoluer de manière autonome pour écouter, voir et enregistrer sur le champ de bataille. Ces robots faisaient partie d’une première commande globale de 56 micro-robots passée par la DGA à la société Nexter associée à la société ECA. D’autres robots ont été livrés en 2020 : 5 Nerva®-LG complémentaires, 10 Nerva®-S de reconnaissance de faible encombrement (3 kg), et 36 Nerva®-XX / Caméléon®-LG du génie (12 kg).

En mars 2021, les élèves officiers de l’école militaire de Saint-Cyr Coëtquidan ont pu s’entraîner avec Spot, le chien robot de Boston Dynamics, mais aussi la mule de transport Ultro.

Grâce aux avancées de la recherche en matière d'intelligence artificielle notamment, une trentaine d'entreprises dans le monde sont en train de mettre au point des robots tueurs qui pourraient choisir leur cible sans même qu'un humain n'intervienne pour les piloter.

Ceci pose de nombreux problèmes éthiques, moraux, mais aussi juridiques : qui traduire par exemple en justice si des armes autonomes commettent des crimes contre l'humanité?

Un encadrement de l'utilisation des armes autonomes s'impose. Mais si le  26 septembre 2019, les ministres des Affaires étrangères français, allemand et de dizaines d’autres pays avaient  approuvé au siège des Nations Unies une déclaration sur les systèmes d’armes létales autonomes, l'adoption d'un nouveau traité international tarde à se concrétiser en raison notamment des oppositions américaines et russes.

Retrouvez également sur ce sujet notre article Les SALA ou Robots-tueurs: vers une nécessaire règlementation des robots tueurs

( Source: l'avis du 29 avril 2021 ou en fichier Pdf ci-dessous) 

(crédits dessin: Cabinet Thierry Vallat) 

Emmanuel Macron annonce ce 30 avril 2021 les "quatre étapes" de la levée des restrictions et fermetures imposées pour lutter contre l'épidémie de la Covid 19, ainsi qu'un décalage progressif de l'horaire du couvre-feu, dans un entretien accordé à plusieurs quotidiens régionaux.

Un pass sanitaire pourrait ainsi être nécessaire pour accéder à certains lieux ou événements à forte capacité, et ce dès le 9 juin. Mais il ne serait "jamais un droit d’accès qui différencie les Français", comme l'explique le Président Macron. Et de poursuivre : "Il ne saurait être obligatoire pour accéder aux lieux de la vie de tous les jours comme les restaurants, théâtres et cinémas, ou pour aller chez des amis. Par contre, dans des lieux où se brassent les foules, comme les stades, festivals, foires ou expositions, il serait absurde de ne pas l’utiliser".

Comment ce pass fonctionnerait-il ? Là également, le chef de l'État est très vague : on sait seulement que celui-ci "sera papier ou numérique, via l’application TousAntiCovid", et "permettra de montrer qu’on est vacciné ou testé négatif dans les deux jours qui précèdent".

Dans la perspective d'une réouverture des restaurants, des salles de sport ou des salles de spectacle, un décret du 12 février 2021 autorise les codes à scanner (QR code) permettant l'identification des personnes à partir de l'application TousAntiCovid. La CNIL estime que le dispositif respecte les règles de la protection des données personnelles.

Rappelons que le décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé « StopCovid » a créé un traitement de données à caractère personnel, nécessaire au fonctionnement de l'application mobile de suivi de contacts dénommée « StopCovid », qui permet à ses utilisateurs d'être informés lorsqu'ils ont été à proximité d'au moins un autre utilisateur diagnostiqué ou dépisté positif au virus du covid-19, grâce à la conservation de l'historique de proximité des pseudonymes émis via la technologie Bluetooth.

Née dans la douleur et la controverse, cette application de traçage numérique peine à démontrer son efficacité, sans parler des difficultés techniques et éthiques liées au dispositif centralisé choisi par le gouvernement et du transfert des données au sein du Health Data Hub, la plateforme des données de santé. (lire notre article StopCovid: l'application de traçage numérique du ...)

Le nombre de téléchargements de l'application a cependant décollé, atteignant désormais 12,5 millions.

Toutefois, dans sa délibération du 19 janvier publiée ce 21 janvier 2021, la Cnil "estime qu'il est indispensable de développer des initiatives et des indicateurs permettant d'évaluer pleinement l'effectivité sanitaire du dispositif." Délibération n° 2021-006 du 19 janvier 2021 portant avis sur un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 

Il s'agit donc d'intégrer de nouvelles fonctionnalités, dont un "cahier de rappel" numérique qui sera  mis en place lorsque les restaurants pourrons rouvrir.

Le  décret modifie tout d'abord la dénomination de l’application StopCovid qui devient officiellement TousAntiCovid (car si le nom de l'appli avait changé depuis octobre 2020, celui du fichier était resté le même).

Le texte ajoute de nouvelles finalités à cette application pour permettre aux utilisateurs de faire état de leur statut de « contacts à risque de contamination » aux fins de bénéficier d’un test ou d’un examen de dépistage de la covid-19 et d’accéder à des informations complémentaires sur la situation sanitaire ;

Il permet la collecte de la date du dernier contact avec une personne diagnostiquée ou dépistée positive au virus du covid-19 dans l’application et prolonge la durée de mise en œuvre de l’application jusqu’au 1er avril 2021.

Ce texte ouvre donc la voie à l'installation de QR codes à l'entrée de certains lieux publics considérés comme à risque par les autorités, en particulier les bars et les restaurants, mais aussi les salles de sport.

Les utilisateurs de TousAntiCovid pourront enregistrer leur présence en scannant ces codes-barres avec la caméra de leur téléphone pour être avertis par la suite s'ils ont été au contact d'une personne infectée par le coronavirus durant leur visite.

Le scan de QR codes ne sera pas obligatoire, mais les clients des lieux les plus à risque devront au moins se signaler sur les cahiers de rappel. Si l'application ne sera pas obligatoire, le fait de se signaler le sera et les lieux considérés les plus à risque auront  l'obligation de recueillir le signalement de leurs clients.

Comment vont fonctionner les QR codes à l'entrée des lieux publics ?

En scannant un QR code, un utilisateur s'enregistrera dans l'application de l'établissement visité sous la forme d'un identifiant pseudonymisé avec une date et une heure approximative de sa visite. 

Le QR Code est un code-barres en 2D qui permet de stocker des informations. Il peut être déchiffré par un logiciel de lecture approprié à partir d'un smartphone ou d'une tablette équipée d'un appareil photo, d'un lecteur de code-barres ou d'une webcam.

Le code QR (de l'anglais QR* Code) est composé de carré noir et blanc et peut contenir beaucoup d'informations : plus de 7 000 caractères numériques et 4 000 caractères alphanumériques

Sa particularité est d'être une sorte de pont entre l'espace physique et l'espace numérique. En effet, une fois scanné par un appareil mobile, il donne accès à un très grand nombre d'informations et de données personnelles. Il n'est pas obligatoirement relié à une base de données et n'est pas automatiquement mémorisé par le lecteur. 

Si un autre utilisateur se déclare malade dans l'application après avoir visité le même lieu dans la même plage horaire, les autres identifiants enregistrés durant cette période seront envoyés vers le serveur central pour prévenir les utilisateurs présents à ce moment-là. 

Les informations obtenues par le scan du QR-Code dans un lieu accueillant plusieurs personnes comme un établissement recevant du public ou dans un moyen de transport feront l’objet d’un traitement afin de prévenir les personnes utilisatrices qu’il existe un risque pour leur santé dans la mesure où elles ont pu être en contact avec une personne diagnostiquée positive à la Covid-19.

Ces modalités de recueil de données n’ont normalement pas pour objet, ni pour effet, de mettre en place une géolocalisation de l’utilisateur. Par ailleurs, elles ne devraient pas davantage permettre de fournir à l’utilisateur des informations à caractère personnel relatives aux autres personnes ayant fréquenté le même lieu et lors de la même plage horaire.

A noter que le dernier avis du 15 décembre 2020 du comité de contrôle et de liaison de TousAntiCovid  qui publie le projet de décret évoque "les espaces clos" et les lieux "accueillant plusieurs personnes comme un établissement recevant du public ou dans un moyen de transport", mais que le gouvernement semble déjà exclure les transports de l'utilisation des QR avis_du_ccl_du_15.12.20.pdf (solidarites-sante.gouv.fr)

Ce dispositif est déjà utilisé par différents pays pour lutter contre l'épidémie, notamment au Royaume-Uni et à Singapour.

Le décret du 12 février 2021 a donc modifié le nom de l'application Stopcovid qui devient TousAntiCovid. L'application a été téléchargée par 12,8 millions de personnes depuis sa création.

La Commission nationale de l'informatique et des libertés (CNIL) saisie du projet de décret avait rendu son avis le 17 décembre 2020. Cet avis a été rendu public le 15 février 2021. La CNIL s'est notamment prononcée sur l'introduction d'un dispositif d'enregistrement des visites dans certains établissements recevant du public (restaurants, salles de sport, salles de spectacles, etc.) au sein de l'application TousAntiCovid via un QR code

La Cnil relève qu’un certain nombre de précisions restent à définir concernant les QR codes. Il s’agit de :

• la liste précise des établissements recevant du public (ERP) concernés ;
• du caractère obligatoire ou facultatif du dispositif pour les établissements ;
• de l’obligation faite aux personnes concernées d’enregistrer leurs visites afin que celles-ci puissent être alertées en cas de risque de contamination.
• le dispositif soit limité aux seuls ERP présentant un risque élevé c’est-à-dire les lieux qui sont susceptibles de présenter un risque élevé d'exposition au virus, lorsque les personnes qui les fréquentent ne sont pas en mesure de s'assurer du respect des gestes barrières (salles de sport, restaurants, bars, etc.) ;
• l’utilisation de l’application TousAntiCovid ne soit pas une obligation pour fréquenter des ERP. Ces établissements peuvent par exemple mettre en place un cahier de rappel papier dans lequel les utilisateurs notent leurs coordonnées, comme cela se pratiquait avant la fermeture des restaurants et des bars ;
• les QR codes ne soient pas rendus obligatoires dans certains établissements, tels que les lieux de culte ou les lieux de réunion syndicale.

TousAntiCovid-Carnet est un dispositif déjà présent dans l'application TousAntiCovid depuis le 19 avril 2021 et qui permet de stocker sous forme numérique et sécurisée les résultats des tests Covid antigéniques et RT-PCR. Il permettra aussi de télécharger gratuitement, si vous avez été vacciné, une attestation de vaccination en format PDF dès le 29 avril. Cette attestation pourra servir de "pass vaccinal" pour faciliter les déplacements à l'étranger quand les vols et le tourisme reprendront.

À partir du 3 mai 2021, les personnes totalement vaccinées devraient recevront un nouveau format du certificat de vaccination, sur lequel figurera un QR Code, qui pourra lui aussi être scanné dans l'application et qui ne sera pas (espérons-le) communiquée à un serveur extérieur. Le stockage se fera localement, sur le smartphone.

Alors risque de discrimination et d'inégalité des français devant la vaccination et l'accès aux activités sociales, la question reste posée.

Nous reviendrons sur le fonctionnement du pass sanitaire une fois les annonces concrétisées par des textes et notamment le projet de loi présenté le 28 avril en conseil des ministres.

(crédits dessin: Cabinet Thierry Vallat)

Le nouveau projet de loi anti-terroriste présenté ce 28 avril 2021 au Conseil des ministres par Gérald Darmanin vise principalement à conférer "un caractère permanent" aux mesures expérimentées dans le cadre de la loi sur la sécurité intérieure et la lutte contre le terrorisme (Silt) votée en octobre 2017 pour sortir de l'état d'urgence en vigueur après les attentats de 2015.

Ce projet de loi relatif à la prévention d’actes de terrorisme et au renseignement intervient quelques jours après le drame de Rambouillet.

Les algorithmes, qui analysent les données des internautes, sont déjà expérimentés depuis cette date. L'échéance de l'expérimentation, prévue à l'origine jusqu'en 2018, a déjà été repoussée deux fois et doit désormais prendre fin le 30 juin 2021. 

Le texte propose de pérenniser la technique controversée d'utilisation d'algorithme, introduite à titre expérimental dans la loi renseignement de 2015 et qui permet le traitement automatisé des données de connexion pour détecter les menaces.

L'idée est d'étendre les recherches aux adresses URL et de permettre par exemple de déclencher une alerte si un individu consulte dans la même journée plusieurs sites djihadistes ou des vidéos de décapitation du groupe Etat islamique. Il s'agit donc de mettre à jour l'article 815-3 du CSI (Cf art 8 du projet de loi)

Risque cependant de se poser plusieurs difficultés:

- la décision du Conseil constitutionnel du 24 juillet 2015 qui avait précisé que les données de connexion ne pouvaient porter sur les informations consultées comme les URL

- la possibilité de surveiller les messageries cryptées comme Telegram ou WhatsApp ou les adresses web sécurisées en https 

- la compatibilité des dispositions de ce projet de loi avec l'arrêt de la Cour de justice de l'Union européenne d'octobre 2020 interdisant la conservation des données de connexion des utilisateurs dans le cadre de la lutte contre le terrorisme. La justice européenne a donc fixé les limites à la conservation et l'accès aux données numériques, en admettant la conservation des données pour une durée d'un an afin de répondre à des menaces graves mettant en jeu la sécurité nationale CJUE, 6 octobre 2020, Privacy International, aff. C-623/17 ; La Quadrature du Net e.a., French Data Network e.a., aff. C-511/18 et C-512/18 ; Ordre des barreaux francophones et germanophone e.a., aff. C-520/18.

Dans un arrêt du 21 avril 2021, le Conseil d'Etat a pourtant quant à lui validé, sous certaines réserves, la poursuite de la conservation généralisée des données. Il a jugé que la conservation généralisée des données est aujourd’hui justifiée par la menace existante pour la sécurité nationale. Il a relevé également que la possibilité d’accéder à ces données pour la lutte contre la criminalité grave permet, à ce jour, de garantir les exigences constitutionnelles de prévention des atteintes à l’ordre public et de recherche des auteurs d’infractions pénales https://www.conseil-etat.fr/actualites/actualites/donnees-de-connexion-le-conseil-d-etat-concilie-le-respect-du-droit-de-l-union-europeenne-et-l-efficacite-de-la-lutte-contre-le-terrorisme-et-la

Ce projet suscite donc de nouvelles craintes de surveillance massive des internautes sous couvert de lutte contre le terrorisme et de respect de la vie privée des internautes.

Voilà pourquoi Le Gouvernement envisage de présenter à un prochain Conseil des ministres une lettre rectificative qui complètera les dispositions du projet de loi  pour tenir compte de la décision « French Data Network » du Conseil d’État du 21 avril dernier, faisant suite à la décision de la Cour de justice de l’Union européenne en date du 6 octobre 2020 et enjoignant au Gouvernement de modifier, sous six mois, certaines des dispositions de la loi relative au renseignement. Outre l’adaptation du cadre légal pour tirer les conséquences de cette décision, il s’agira également d’apporter des ajustements au recours aux algorithmes, notamment concernant les garanties qui entourent leur mise en oeuvre pour protéger les libertés individuelles.

Retrouvez le compte rendu du Conseil des ministres du 28 avril 2021 Compte rendu du Conseil des ministres du 28 avril 2021 | Gouvernement.fr

(source; Nextinpact Télécharger le projet de loi relatif à la prévention d’actes de terrorisme et au renseignement)

Me Thierry Vallat a débattu de ce projet de loi sur Sud Radio le 28 avril 2021

(crédits dessin: Cabinet Thierry Vallat)

La Commission européenne propose de nouvelles règles concernant l'intelligence artificielle (IA) avec un projet de cadre juridique dévoilé le 21 avril 2021 Règlement établissant des règles harmonisées concernant l'intelligence artificielle

La nouvelle règlementation, fondée sur une nouvelle définition de l'IA développée dans le livre blanc de la Commission sur l'IA, publié en 2020, et devra être approuvée par le Parlement européen,  sera directement applicable dans tous les États membres.

Seraient notamment prohibés le recours à des intelligences artificielles dans le cadre d'une surveillance indiscriminée, ou encore les systèmes utilisés à des fins de notation sociale (article 4.1), mais l'utilisation de la reconnaissance faciale serait tolérée dans certains cas. 

Les règles préconisées suivent une approche fondée sur quatre niveaux de risques:

Risque inacceptable: Les systèmes d'IA considérés comme une menace évidente pour la sécurité, les moyens de subsistance et les droits des personnes seront interdits.

Il s'agit notamment des systèmes ou applications d'IA qui manipulent le comportement humain pour priver les utilisateurs de leur libre arbitre (par exemple, des jouets utilisant une assistance vocale incitant des mineurs à avoir un comportement dangereux) et des systèmes qui permettent la notation sociale par les États.

Risque élevé: Parmi les systèmes d'IA considérés comme à haut risque, on peut citer:

• les technologies d'IA qui sont utilisées dans les infrastructures critiques (par exemple les transports) et sont susceptibles de mettre en danger la vie et la santé des citoyens;

• les technologies d'IA utilisées dans l'éducation ou la formation professionnelle, qui peuvent déterminer l'accès à l'éducation et le parcours professionnel d'une personne (par exemple, la notation d'épreuves d'examens);

• les technologies d'IA utilisées dans les composants de sécurité des produits (par exemple, l'application de l'IA dans la chirurgie assistée par robot);

• les technologies d'IA utilisées dans le domaine de l'emploi, de la gestion de la main d'œuvre et de l'accès à l'emploi indépendant (par exemple, les logiciels de tri des CV pour les procédures de recrutement);

• les technologies d'IA utilisées dans les services privés et publics essentiels (par exemple, l'évaluation du risque de crédit, qui prive certains citoyens de la possibilité d'obtenir un prêt);

• les technologies d'IA utilisées dans le domaine du maintien de l'ordre, qui sont susceptibles d'interférer avec les droits fondamentaux des personnes (par exemple, la vérification de la fiabilité des éléments de preuve);

• les technologies d'IA utilisées dans le domaine de la gestion de la migration, de l'asile et des contrôles aux frontières (par exemple, la vérification de l'authenticité des documents de voyage);

• les technologies d'IA utilisées dans les domaines de l'administration de la justice et des processus démocratiques (par exemple, l'application de la loi à un ensemble concret de faits).

Les systèmes d'IA à haut risque devront être conformes à obligations strictes pour pouvoir être mis sur le marché:

• systèmes adéquats d'évaluation et d'atténuation des risques;

• qualité élevée des ensembles de données alimentant le système afin de réduire au minimum les risques et les résultats ayant un effet discriminatoire;

• enregistrement des activités afin de garantir la traçabilité des résultats;

• documentation détaillée fournissant toutes les informations nécessaires sur le système et sur sa finalité pour permettre aux autorités d'évaluer sa conformité;

• informations claires et adéquates à l'intention de l'utilisateur;

• contrôle humain approprié pour réduire au minimum les risques;

• niveau élevé de robustesse, de sécurité et d'exactitude.

En particulier, les systèmes d'identification biométrique à distance fondés sur l'IA sont considérés comme à haut risque et sont donc soumis à des exigences strictes.

Leur utilisation en temps réel dans l'espace public aux fins du maintien de l'ordre est en principe interdite. Il existe des exceptions restreintes à ce principe, qui sont strictement définies et réglementées (par exemple, lorsque cela est strictement nécessaire pour rechercher un enfant disparu, prévenir une menace terroriste spécifique et imminente ou détecter, localiser, identifier ou poursuivre l'auteur ou le suspect d'une infraction pénale grave).

L'utilisation de ces systèmes doit alors être autorisée par une instance judiciaire ou un autre organe indépendant et est soumise à des limitations appropriées concernant la durée, la portée géographique et les bases de données consultées.

Risque limité, c'est-à-dire les systèmes d'IA auxquels s'appliquent des obligations spécifiques en matière de transparence: lorsqu'ils utilisent des systèmes d'IA tels que des chatbots, les utilisateurs doivent savoir qu'ils interagissent avec une machine ou un robot conversationnel afin de pouvoir décider en connaissance de cause de poursuivre ou non.

Risque minime: La proposition législative autorise l'utilisation libre d'applications telles que les jeux vidéo ou les filtres anti-spam reposant sur l'IA. La grande majorité des systèmes d'IA relèvent de cette catégorie. Le projet de règlement ne prévoit pas d'intervention dans ce domaine, car ces systèmes ne représentent qu'un risque minime, voire nul, pour les droits ou la sécurité des citoyens.

En ce qui concerne la gouvernance, la Commission propose que les autorités nationales compétentes de surveillance du marché veillent au respect des nouvelles règles dont la mise en œuvre sera facilitée par la création d'un comité européen de l'intelligence artificielle qui sera également chargé de stimuler l'élaboration de normes pour l'IA. En outre, la proposition prévoit des codes de conduite facultatifs pour les systèmes d'IA ne présentant pas de risque élevé, ainsi que des «bacs à sable réglementaires» afin de faciliter l'innovation responsable.

Par ailleurs, la directive «Machines», qui définissait des exigences en matière de santé et de sécurité dans le secteur des machines., sera remplacée par un nouveau règlement sur les machines et équipements, Ce nouveau règlement relatif aux machines devra garantir l'intégration  des systèmes d'IA dans les machines. Les entreprises ne devront procéder qu'à une seule évaluation de la conformité. 

La Commission européenne a donc manifestement mis de l'eau dans son vin numérique.

Alors que le livre blanc de 2020 envisageait en effet de décréter l’interdiction temporaire des technologies de reconnaissance faciale utilisées à la fois dans les secteurs public et privé, la Commission européenne propose désormais un texte, certes interdisant certaines utilisations des systèmes d’intelligence artificielle, notamment le recours par les forces de l’ordre à des outils d’identification biométrique à distance en temps réel, comme les technologies de reconnaissance faciale, dans les lieux publics, mais cette utilisation serait autorisée en cas de « nécessité stricte » à certaines fins précises et l’utilisation de systèmes d’identification biométrique dans d’autres lieux n’est pas interdite mais seulement considérée comme « risquée ».

Or, on connait les risques technologiques, éthiques, sociétaux, liés à cette technologie qui sont inhérents à la nature biométrique de la reconnaissance faciale : les données extraites des visages touchent au corps, à l’intimité des personnes. Toute violation de données, tout mésusage ferait peser des risques importants (blocage d’accès à un service, usurpation d’identité, etc.). La reconnaissance faciale repose en outre sur une probabilité, et non une certitude absolue, de correspondance entre les visages comparés et le « gabarit » de référence. Les variations de performance peuvent donc avoir des conséquences très importantes pour les personnes mal reconnues

Ces dispositifs ne sont en effet pas suffisamment fiables et comportent notamment des biais pouvant entrainer une discrimination. On se souvient par exemple qu'en janvier 2020, une erreur d'un système de reconnaissance faciale avait provoqué l'arrestation d'un homme Afro-Américain à Détroit qui a passé 30 heures en détention parce que l'algorithme avait jugé identique la photo de son permis de conduire et l'image d'un voleur de montres capturée par des caméras de surveillance. <plus la carnation des personnes est foncée, plus le taux d'erreur grimpe en flèche: le maximum est atteint pour les femmes noires, avec un taux d'erreur pouvant s'élever jusqu'à 35%. ! 

Il aurait sans doute été plus judicieux que l’utilisation des techniques de reconnaissance faciale par des acteurs publics ou privés dans des espaces publics soit interdite pour période définie (3 à 5 ans par exemple), durant lesquels une méthodologie rigoureuse destinée à évaluer l’impact de cette technologie et d’éventuelles mesures de gestion des risques pourraient être identifiées et développées .

Le débat qui doit s'ouvrir devant ce décevant projet ne doit donc pas se résumer à un examen technique des potentialités d’usage et de l’efficacité de ces technologies intrusives. Pour la protection de tous, il ne peut davantage avoir pour simple objectif de savoir comment rendre acceptable par les citoyens une technologie dont la nécessité s’imposerait de manière évidente.

(source: communiqué du 21 avril annonçant le projet de règlement sur l’IA)

(crédits dessin: Cabinet Thierry Vallat)