“Idéologie poussiéreuse“, “blocages idéologiques d’un autre temps“, “bloquée au 20e siècle“, “principes dépassés” ou encore “rejet de toute forme d’évolution“… autant de qualificatifs non pas employés pour parler du fait de porter des chaussettes dans ses sandales, mais bien de la CNIL ! Dépassée la CNIL ? Pas si sûrs.
#BigBrotherPACA
À l’origine de ces huées, un projet de la région PACA : l’expérimentation de la reconnaissance faciale des élèves à l’entrée de deux lycées. Le but est ainsi d’assurer la sécurité des lycéens en garantissant que seuls ces derniers puissent entrer dans l’enceinte de l’établissement sans contrôle. Le projet visait également à permettre un “suivi des trajectoires” de toute personne pénétrant dans le lycée, mais ce deuxième volet complémentaire n’a pas fait l’objet d’une analyse d’impact communiquée à la CNIL, et cette dernière ne s’est donc pas prononcée sur sa licéité.
Dans une lettre pédagogique, la CNIL explique que le projet ne peut être mené de manière licite, même s’il ne s’agit que d’une expérimentation. Comme l’explique la Commission, la reconnaissance faciale implique le traitement de données biométriques, intimement liées à la personne : “la donnée biométrique compromise reste attachée à son identité, mais ne peut, contrairement à un badge ou un mot de passe, être révoquée”. Or, le RGPD impose un principe de minimisation des données et de proportionnalité des traitements par rapport à leurs finalités : en l’espèce, il est indéniable que le contrôle des entrées dans le lycée peut être effectué par des moyens moins intrusifs que la reconnaissance faciale, ce qui légitime la position de la CNIL.
C’est a fortiori le cas car les données en cause sont doublement sensibles. Il s’agit tout d’abord de données qualifiées par le RGPD de “particulières“, en ce que, par leur nature même, elles révèlent plus d’éléments intimes sur la personne que d’autres données. Ainsi, la biométrie ou l’orientation sexuelle font l’objet d’une protection renforcée par rapport au nom et au prénom d’une personne. Il s’agit par ailleurs de traitements effectués sur une catégorie particulière de personnes, des mineurs, qui font également l’objet d’une protection renforcée par le texte. C’est l’ensemble de ces éléments qui a justifié la position de la CNIL.
Époussetage
Reste à déterminer si cette position est poussiéreuse. Il suffira pour ce faire de se rappeler les conditions de la création de la Commission nationale de l’informatique et des libertés. En 1974, le Monde fit découvrir à la France que l’administration avait centralisé au sein d’un “Système automatisé pour les Fichiers Administratifs et le Répertoire des Individus” (SAFARI) l’ensemble des répertoires d’identification régionaux, permettant ainsi une interconnexion entre toutes les données de l’administration sur un individu à partir de son numéro de sécurité sociale. Cette révélation fut à l’origine d’un scandale politique et d’une polémique publique, qui aboutit à l’adoption de la loi informatique et libertés le 6 janvier 1978, afin de rétablir la confiance dans l’administration. Cette relation de confiance a par la suite été renforcée par l’adoption de la loi “CADA” relative à l’accès aux documents administratifs (17 juillet 1978) et la loi d’accès aux archives (3 janvier 1979) pour garantir aux citoyens une véritable transparence administrative.
La logique de lutte contre la surveillance est également celle qui a, partiellement du moins, sous-tendu l’adoption du RGPD : bien que ce dernier soit aujourd’hui surtout mobilisé à l’encontre des géants du net, il est essentiel de se souvenir que ses négociations ont été entamées à la suite des révélations d’Edward Snowden sur la surveillance de masse conduite par l’administration américaine. Comme la loi informatique et libertés, le RGPD a ainsi été conçu dès son origine comme un instrument de lutte contre les abus de l’administration. En empêchant une administration de procéder à une surveillance non proportionnée aux objectifs poursuivis, la CNIL est donc parfaitement dans son rôle. Bien loin d’embrasser une idéologie poussiéreuse, elle met en œuvre des principes réaffirmés très récemment justement dans ce but. La pratique est à ce point dans l’ère du temps que les États-Unis semblent se diriger dans la même direction pour se doter d’un équivalent de la CNIL.
Le point essentiel dans cette petite échauffourée est que la CNIL ne remet nullement en cause la légitimité du but poursuivi par la région PACA : la sécurité des lycéens est primordiale, et il convient de mettre en œuvre tous les moyens pour parvenir à ce but – tous les moyens proportionnés. Tout l’enjeu repose sur ce dernier mot, qui cristallise les tensions entre sécurité et liberté : la valeur ajoutée pour la sécurité de la surveillance par la reconnaissance faciale est largement moindre que l’atteinte aux libertés qui en résulte. Paradoxalement, on pourrait même dire que la CNIL a plus œuvré pour la sécurité des lycéens en question que le projet de la région PACA, puisque leurs droits et libertés en sortent renforcés, y compris contre de potentielles atteintes par la puissance publique. Alors que l’on pointe du doigt les pratiques chinoises en la matière, il serait malvenu de se perdre et d’oublier à quel point la protection des données personnelles, loin d’être dépassée, est bien dans l’ère du temps, y compris (voire surtout) lorsqu’elle s’applique à l’encontre de l’administration.
