Technologies biométriques : l'impératif respect des droits fondamentaux - Technologies biométriques : l'impératif respect des ...
←
→
Transcription du contenu de la page
Si votre navigateur ne rend pas la page correctement, lisez s'il vous plaît le contenu de la page ci-dessous
—
Défenseur des droits Rapport
Technologies
TSA 90716 - 75334 Paris Cedex 07
Tél. : 09 69 39 00 00
biométriques :
defenseurdesdroits.fr
—
l’impératif respect des
Toutes nos actualités :
droits fondamentaux
defenseurdesdroits.fr
Face au droit, nous sommes tous égaux
© 07-2021 | Défenseur des droits
Rapport
Technologies biométriques :
l’impératif respect des droits fondamentaux
Rapport | Technologies biométriques : l’impératif respect des droits fondamentaux 2021
Propos liminaires
Au cours des dernières années, le déploiement Au-delà de ces aspects, les risques doivent
de dispositifs biométriques s’est fortement également être considérés sous l’angle de leur
accéléré en France comme dans toute impact sur les droits fondamentaux dont le
l’Europe. Secteurs public et privé confondus, Défenseur des droits assure la protection dans
ces technologies sont désormais mobilisées l’ensemble de ses champs de compétence :
dans des domaines aussi variés que le lutte contre les discriminations, respect de la
recrutement et la gestion de ressources déontologie par les personnes exerçant des
humaines, l’accès aux biens et services, activités de sécurité, protection des droits
la sécurité, ou encore l’éducation. Cette de l’enfant, accès aux droits et aux services
multiplication des usages est étroitement publics.
liée aux dernières avancées des algorithmes
En mai 2020, le Défenseur des droits
d’apprentissage sur lesquels ces technologies
appelait, conjointement avec la CNIL, à une
s’appuient largement et dont les puissances
mobilisation collective pour prévenir les biais
de calcul permettent désormais une
discriminatoires des algorithmes, dénoncer
exploitation massive de grands ensembles de
les risques considérables de discrimination
données, promettant optimisation et gains de
que peut faire peser sur chacun et chacune
productivité.
d’entre nous l’usage exponentiel de ceux-
Allant du simple déverrouillage d’un téléphone ci dans toutes les sphères de la vie sociale
portable à la supposée analyse des émotions et renforcer le cadre juridique applicable2.
d’un candidat à l’embauche, ces technologies Les conséquences de ces biais étant
ont toutes pour point commun de traiter des particulièrement prégnantes en matière
données biométriques telles que les traits de biométrie, il est apparu essentiel de
du visage, la voix ou les caractéristiques poursuivre cette réflexion afin d’anticiper les
comportementales des individus, dans le but futures saisines de l’institution et d’appeler
d’authentifier, d’identifier ou d’évaluer ces les pouvoirs publics comme les utilisateurs
derniers. Désormais, il est possible de réaliser du secteur privé à interroger davantage les
une transaction avec la paume de sa main conséquences pour les droits et libertés du
comme d’identifier automatiquement un déploiement des technologies biométriques.
suspect dans une foule, ou encore de proposer
À l’heure où des propositions pour renforcer
de la publicité ciblée à un individu en fonction
l’encadrement de ces technologies sont
de son apparence physique.
étudiées tant à l’échelle européenne qu’en
Quand bien même ces technologies peuvent France, le Défenseur des droits souhaite
présenter un certain nombre d’avantages, elles adresser une liste de recommandations qui lui
sont particulièrement intrusives et comportent paraissent indispensables pour s’assurer du
un certain nombre de risques pour la respect des droits des individus au-delà de la
protection des données et de la vie privée, ce seule et nécessaire protection des données à
que la Commission Nationale de l’Informatique caractère personnel.
et des Libertés (CNIL) a pu relever à plusieurs
reprises1.
3Rapport | Technologies biométriques : l’impératif respect des droits fondamentaux 2021
Technologies biométriques :
un terme générique
englobant une pluralité
d’usages
Techniques informatiques de reconnaissance Authentification : déterminer si une
et/ou d’évaluation physique, biologique
ou comportementale des individus3, les personne est bien celle qu’elle affirme
technologies biométriques partent toutes
être
d’un même procédé : les caractéristiques
biométriques collectées sont traitées L’authentification consiste à vérifier l’identité
selon des procédures standardisées et le revendiquée par quelqu’un en comparant les
résultat de ce processus est stocké dans données biométriques d’une personne à un
des enregistrements de données appelés instant T à celles de l’identité attestée qu’elle
signatures, modèles ou gabarits. Ceux-ci revendique6.
concentrent sous format numérique les
caractéristiques physiques uniques des La fonction de déverrouillage par
personnes permettant de les différencier4. reconnaissance faciale d’un téléphone
portable où la photographie de l’utilisateur
Les premières utilisations de technologies est comparée à celle qu’il a préalablement
biométriques remontent en France au début enregistrée sur l’appareil lors de son
du XXe siècle. En 1902, les services de police paramétrage7, ou encore le dispositif européen
ont commencé à collecter les empreintes de contrôle du passage aux frontières
digitales des personnes soupçonnées d’avoir PARAFE8 où les gabarits stockés dans les
commis un crime5, et, pendant longtemps, passeports biométriques des voyageurs sont
ces technologies se sont cantonnées à comparés à ceux que réalisent des portiques
quelques cas d’usage bien définis tels que dédiés9 relèvent, par exemple, d’un objectif
l’établissement d’un passeport respectant d’authentification.
certaines normes de sécurité, ou l’analyse d’un
échantillon ADN afin d’établir la paternité d’une En pratique, les technologies biométriques
personne. d’authentification permettent de comparer
les gabarits d’une personne stockés sur un
Sous l’effet des avancées scientifiques dans support sécurisé (un badge, un passeport,
le champ des algorithmes d’apprentissage, un téléphone) à la partie du corps ou à une
ces usages se sont aujourd’hui multipliés. caractéristique du corps de cette prétendue
Reconnaissance faciale, vocale, évaluation même personne (traits du visage, bout
des émotions, les utilisations de nos données des doigts, iris de l’œil, forme de la main,
biométriques sont désormais légion. échantillon de voix, etc.) afin de déterminer
On distingue aujourd’hui trois types de s’il existe effectivement une correspondance
systèmes biométriques : les systèmes entre les deux.
d’authentification, les systèmes d’identification
et les systèmes d’évaluation.
4Rapport | Technologies biométriques : l’impératif respect des droits fondamentaux 2021
Ces systèmes peuvent être utilisés pour Les techniques d’identification les plus
sécuriser l’accès physique à un bâtiment, récentes ont pour particularité de pouvoir
effectuer un paiement, passer une frontière, potentiellement s’appliquer à un nombre
etc. En termes de droit au respect de la illimité d’individus sans qu’ils en aient même
vie privée, leur avantage est qu’ils restent conscience. La Commission européenne s’est
généralement sous le contrôle exclusif des penchée sur ces systèmes d’identification
personnes et leur bon fonctionnement n’exige biométriques à distance14 : ils peuvent
pas d’avoir recours à une base de données opérer « en temps réel » à partir de données
centralisée. Pour reprendre les exemples collectées et analysées instantanément,
précités, lors du paramétrage de la fonction comme a posteriori, à partir d’images tirées
de déverrouillage du téléphone ou de la de caméras de vidéosurveillance ou d’autres
création du passeport biométrique, les gabarits données préexistantes. Quels que soient la
contenant les caractéristiques importantes technologie, les procédés ou types de données
du visage (distance entre les yeux, forme du biométriques employés, l’identification
menton) sont chiffrés puis stockés localement implique la collecte de données sensibles15
sur le téléphone ou sur la puce implantée dans parfois à une échelle extrêmement
le passeport. De fait, les personnes restent importante, sans savoir au préalable si la
généralement libres de les utiliser ou non. personne recherchée figurera parmi les
personnes examinées16.
À ce jour, des usages de technologies
Identification : retrouver une personne biométriques d’identification à distance ont
été répertoriés en Europe essentiellement
parmi une multitude d’individus dans le domaine de la sécurité, par exemple
dans le cadre de la surveillance d’espaces
L’identification vise à retrouver une publics pendant des événements17, à l’occasion
personne au sein d’un groupe d’individus, d’enquêtes judiciaires18, à des fins policières19
dans un lieu, sur une image10, ou dans une ou encore de lutte contre l'immigrantion
base de données à partir notamment des illégale20.
traits du visage (reconnaissance faciale)11,
de la voix (reconnaissance du locuteur)12,
du comportement (reconnaissance de la
démarche)13 ou de tout autre type de donnée Évaluation : déduire les traits de
biométrique.
personnalité d’un individu et catégoriser
À l’instar de certaines technologies de
reconnaissance faciale, un système les personnes en fonction de leurs
d’identification permet de réaliser l’opération caractéristiques biométriques
suivante : le gabarit tiré des traits du visage
d’une personne est comparé au moyen Aux systèmes d’authentification et
d’un algorithme à une pluralité d’autres d’identification s’ajoute une troisième
gabarits stockés sur une base de données catégorie, plus récente, que nous appellerons
afin de déterminer l’identité de la personne. ici systèmes d’évaluation.
Cette même démarche s’applique aux
gabarits extraits d’autres parties du corps en Partant des données biométriques d’un
fonction du type de technologie biométrique ou de plusieurs individus, les technologies
d’identification considéré. En d’autres termes, d’évaluation visent à effectuer deux actions
les technologies d’identification croisent les majeures :
données biométriques de personnes filmées, • Identifier ou déduire des émotions, des traits
photographiées, ou enregistrées avec une liste de personnalité ou des intentions (on parle
de personnes recherchées. alors de systèmes de « reconnaissance
d’émotions » )21;
5Rapport | Technologies biométriques : l’impératif respect des droits fondamentaux 2021
• Inscrire la ou les personnes visées dans des Des échantillons de voix ou onomatopées32
catégories spécifiques, par exemple de sexe, comme des mouvements du visage33 ne
d’âge, de couleur de cheveux, de couleur suffiraient pas à caractériser des émotions
des yeux, d’origine ethnique ou d’orientation humaines, et encore moins à évaluer avec
sexuelle ou politique en vue de prendre rigueur les futures performances d’un
des mesures spécifiques (on parle alors de candidat à l’embauche… Or ces systèmes sont
systèmes de « catégorisation »22). régulièrement présentés à des services de
ressources humaines comme particulièrement
Aujourd’hui, certaines entreprises affirment,
efficients alors qu’ils sont en réalité très
par exemple, pouvoir analyser et mesurer
pauvrement corrélés à l’efficacité au travail,
automatiquement à partir de données
ainsi qu’en témoigne le cas des tests de
biométriques la nervosité d’un candidat ou
personnalité34. Les risques de discrimination
d’une candidate dans le cadre d’une procédure
ou d’atteintes aux libertés liés à leur utilisation
de recrutement23. D’autres systèmes
dans le champ de l’emploi comme dans
promettent de mesurer la concentration d’un
d’autres champs doivent être mieux connus et
étudiant24, la fatigue d’un automobiliste25,
soulignés plus clairement.
la dangerosité ou la propension d’une
personne à commettre une infraction dans A priori, les traitements de données
un environnement donné26, ou encore les biométriques aux fins d’évaluation ne relèvent
réactions d’un consommateur ou d’une pas de l’article 9 du Règlement général sur la
consommatrice à la présentation de biens ou protection des données (ci-après, RGPD) et
de services afin notamment de lui proposer ne constituent donc pas des traitements de
de la publicité ciblée27. Enfin, certains « catégories particulières » de données. Si une
se proposent de profiler les individus en telle interprétation n’est pas encore stabilisée,
fonction de leurs caractéristiques physiques le Défenseur des droits recommande que
apparentes afin de restreindre l’accès aux ces méthodes d’évaluation fassent l’objet de
biens et services qu’ils proposent à un public mesures de protection spécifiques car elles
spécifique28. mobilisent le même type de données que les
traitements aux fins d’identification et leurs
Les fondements scientifiques de ces
usages sont tout aussi risqués. Par ailleurs,
technologies font l’objet de vives critiques
des systèmes biométriques d’évaluation
de la part de la communauté scientifique, en
peuvent être combinés avec des systèmes
particulier s’agissant des technologies de
d’identification.
détection d’émotions ou de reconnaissance
de l’affect. De nombreuses personnalités
appellent à en encadrer strictement les
usages29.
La littérature scientifique existante démontre
en effet que ces technologies sont très
biaisées et commettent de nombreuses
erreurs30. Pour les chercheurs, détecter les
émotions d’une personne avec précision et
fiabilité dépendrait d’un contexte allant au-delà
du visage et du corps31.
6Rapport | Technologies biométriques : l’impératif respect des droits fondamentaux 2021
Des risques considérables
d’atteintes aux droits
fondamentaux
Si certains systèmes biométriques présentent Un risque inhérent d’atteinte au droit
des avantages indéniables dans la lutte contre
la criminalité, pour garantir la sécurité publique au respect de la vie privée et à la
ou dans d’autres circonstances où une
protection des données
identification sûre et fiable des personnes est
nécessaire, ces technologies ne sauraient en Consacrés par la Convention européenne des
aucun cas être considérées comme purement droits de l’homme (CEDH)35 ainsi que par la
inoffensives. Charte des droits fondamentaux de l’Union
Le fonctionnement de ces systèmes repose européenne36, le droit au respect de la vie
sur l’exploitation de données particulièrement privée et le droit à la protection des données
sensibles qui pourrait porter atteinte au droit à caractère personnel visent à protéger
au respect de la vie privée comme au droit de l’autonomie et la dignité des individus37, en
la protection des données. les protégeant de toute intrusion injustifiée
dans leur sphère privée. L’utilisation de
Qu’il s’agisse d’authentifier, d’identifier
technologies biométriques implique la collecte,
ou d’évaluer les individus, ces systèmes
la comparaison et/ou l’enregistrement de
sont par nature probabilistes (ils ne
données dites sensibles dans un système
peuvent estimer qu’un « pourcentage
informatique aux fins d’authentification,
» de correspondance ou de risque) et la
d’identification ou d’évaluation. Elle constitue
fiabilité de leurs résultats ne saurait donc
dès lors une ingérence dans l’exercice de ces
être considérée comme absolue. Ainsi,
droits.
non seulement les algorithmes sur lesquels
ils reposent peuvent comporter, dès leur En effet, comme l’a jugé la Cour de justice
conception, des biais discriminatoires mais ils de l’Union européenne (CJUE), « l’image
peuvent générer des erreurs d’allocation ou de d’une personne enregistrée par une caméra
sélection, aux conséquences particulièrement constitue une donnée à caractère personnel
importantes pour les individus concernés. […] dans la mesure où elle permet d’identifier
la personne concernée »38. Au même titre,
Enfin, certains usages, en particulier en
l’enregistrement vocal d’une personne contient
matière d’identification et d’évaluation,
nécessairement des données à caractère
peuvent engendrer un effet dissuasif dans
personnel. Comme l’explique la CNIL dans son
l’exercice de certains droits fondamentaux
Livre blanc sur les assistants vocaux,
(liberté d’expression, d’aller et venir,
« [l]a voix contient des marqueurs spécifiques
d’assemblée, d’association, et, plus largement,
à une personne, combinaisons de facteurs
dans l’accès aux droits).
physiologiques et comportementaux. C’est
ce qui en fait un attribut biométrique à part
entière, qui peut être utilisé pour l’identifier »39.
De fait, les technologies biométriques réalisent
des opérations de traitement de données à
caractère personnel.
7Rapport | Technologies biométriques : l’impératif respect des droits fondamentaux 2021
Pour être autorisées, celles-ci doivent en un support individuel à la libre disposition des
France respecter les grands principes et personnes (carte à puce, smartphone, etc.) ne
conditions strictes prévus par le Règlement soulève pas les mêmes enjeux que celui d’une
général sur la protection des données (ci- technologie biométrique passive stockant les
après, RGPD)40 et la loi Informatique et gabarits qu’elle traite sur une base de données
libertés41. Parmi les principes phares de centralisée, en particulier lorsque cet usage
ces textes figure l’interdiction de traitement vise à identifier des individus et qu’il se déroule
de données dites « sensibles » dont font à leur insu, sans avoir au préalable obtenu leur
désormais partie les données biométriques, consentement.
mais uniquement lorsqu’elles sont traitées aux
Le développement et le déploiement
fins d’identifier les personnes physiques de
sans fin de technologies de surveillance,
manière unique42. Un tel traitement ne peut
vidéo-protection sur la voie publique,
être mis en œuvre, par exception, que dans
dans les transports publics, dans les
certains cas particuliers, avec le consentement
parties communes des bailleurs sociaux,
exprès des personnes, pour protéger leurs
les magasins, à-travers le déploiement de
intérêts vitaux ou sur la base d’un intérêt public
caméras-piétons, de drones, s’accompagne
important, notamment43. De façon similaire,
en droit d’un assouplissement considérable
ce type de traitement ne peut être autorisé
des conditions de transmission aux
qu’en cas de nécessité absolue lorsqu’il est
services de police des images enregistrées
mis en œuvre à des fins policières, en vertu
par de multiples acteurs comme de
de dispositions issues de la directive « Police-
l’interopérabilité et de l’interconnexion de
Justice »44.
nombreux fichiers. Ce phénomène est porteur
Comme l’a relevé la CNIL, les traitements de risques importants pour le respect de la vie
de données biométriques ne sont jamais privée comme l’a souligné le Défenseur des
tout à fait anodins45. Ils peuvent gravement droits dans son avis n°20-13 du 21 décembre
porter atteinte au droit au respect de la vie 202048. Or, ces dernières années ont été
privée comme à la protection des données. marquées par une montée en puissance dans
Largement documentés par les différentes le monde entier des technologies biométriques
autorités et instances européennes de passives employées à des fins d’identification.
protection des données46, ces risques sont Cette évolution est largement contestée par
à apprécier in concreto, usage par usage, de nombreux acteurs du monde associatif .
en tenant compte des finalités de chaque Elle s’inscrit dans un mouvement plus large,
traitement. À l’instar des technologies dénoncé par le Défenseur des droits dès 2015,
de reconnaissance faciale, il convient de recours trop facile à la technologie en dépit
effectivement de tenir compte du « degré de des risques pour les libertés publiques50. En
contrôle des personnes sur leurs données Russie, des dispositifs de reconnaissance
personnelles, de leur marge d’initiative dans le faciale automatisés ont été déployés sur la voie
recours à cette technologie, des conséquences publique pour contrôler le respect des mesures
qui en découlent pour elles (en cas de sanitaires et lutter contre la propagation
reconnaissance ou de non-reconnaissance) et de l’épidémie de COVID-1951. Au Royaume
de l’ampleur des traitements mis en œuvre »47 Uni, il a été question de déployer ce même
pour chaque technologie biométrique. type de technologie pour vérifier le statut
vaccinal des individus en combinant dispositif
Il convient ainsi de distinguer les
de reconnaissance faciale et passeport
technologies dites actives où l’individu fournit
sanitaire, projet finalement abandonné suite
volontairement des informations (par exemple,
aux mobilisations de la société civile52. Deux
en plaçant son doigt sur un dispositif de
sociétés américaine et polonaise ont constitué
contrôle) des technologies passives où les
des bases de données biométriques de grande
informations biométriques sont détectées,
ampleur à partir de photographies collectées
parfois à l’insu de la personne concernée.
massivement sur les profils de réseaux
L’emploi de technologies biométriques actives
sociaux du monde entier dont elles vendent
d’authentification stockant les gabarits dans
l’accès aux services de police, à des sociétés
8Rapport | Technologies biométriques : l’impératif respect des droits fondamentaux 2021
privées et parfois même à des particuliers, leur En effet, plus les traitements de données
permettant à partir d’une simple photographie biométriques reposant sur l’utilisation de
de retrouver l’identité d’une personne à tout bases de données se multiplient, plus le
moment53. L’une d’entre elle a fait l’objet de potentiel de voir survenir une faille de sécurité
sanctions de la part des autorités de protection aux conséquences particulièrement graves
des données suédoise54 et canadienne55 pour les personnes concernées augmente62.
et est visée par de multiples procédures Or, contrairement à un mot de passe, à un
administratives en cours, y compris en numéro de téléphone ou à une adresse
France56. En Italie, l’autorité de protection des postale, la divulgation non autorisée de
données a interdit l’utilisation du dispositif données biométriques ne peut être corrigée.
« SARI », un outil de reconnaissance faciale Ce type d’incident est déjà survenu63. Ces
en temps réel déployé sur la voie publique applications mettent en danger l’anonymat
afin d’identifier les étrangers en situation dans l’espace public en permettant une forme
irrégulière57. de surveillance généralisée, dans la mesure où
elles permettent d’identifier instantanément et
Tandis que de tels usages sont encore au stade
de pister les individus - ce risque a été rappelé
de l’expérimentation en France, les débats
par le Défenseur des droits dans son avis du
parlementaires et l’approche de la tenue des
17 novembre 2020 sur la proposition de loi
Jeux Olympiques de Paris en 2024 montrent
relative à la sécurité globale64. Ces problèmes
une volonté d’adopter ce type de technologie.
surviennent essentiellement lorsque les
D’ores et déjà, la CNIL a eu l’occasion d’émettre
acteurs agissent au mépris du droit applicable.
de multiples avertissements suite aux
Par exemple, concernant les usages privés de
déploiements de technologies biométriques
technologies biométriques, ceux-ci sont par
d’identification parfois opérés au mépris
principe interdits et doivent pouvoir justifier de
de principes essentiels de la protection des
l’une des exceptions de l’article 9 du RGPD. Or,
données tels que les principes de licéité60 et de
trop souvent, aucune forme de consentement
proportionnalité61.
n’est collectée auprès des individus qui sont
Au regard du droit au respect de la vie privée rarement informés de l’existence même des
et à la protection des données, ces pratiques traitements.
alarment à raison, en particulier lorsque ces
déploiements ne s’entourent nullement de
garanties suffisantes.
9Rapport | Technologies biométriques : l’impératif respect des droits fondamentaux 2021
Finalement, comme le soulevait un rapport la vérification de l’identité de la personne
réalisé sous l’égide de la rapporteuse spéciale s’étant servie du dispositif. Enfin, un dispositif
de l’ONU sur la promotion et la protection de reconnaissance faciale utilisé aux fins
des droits de l’homme et des libertés d’identifier les personnes faisant l’objet d’une
fondamentales dans la lutte antiterroriste, interdiction de stade peut déterminer à tort
les développements technologiques, ainsi qu’un supporter ne devrait pas assister à une
que la prolifération et la dépendance accrue rencontre sportive. Les conséquences de ces
à l'égard de diverses technologies destinées erreurs varient en fonction des usages et
aux consommateurs, ont rendu les ingérences peuvent aller du refus d’accès physique à
avec l’exercice du droit au respect de la vie un lieu ou à un événement à une arrestation
privée à la fois moins perceptibles pour la erronée par les forces de l’ordre67.
société et les personnes concernées et,
En s’intéressant de près aux profils des
en même temps, plus intrusives, avec des
personnes victimes de ces erreurs, de
conséquences potentiellement importantes,
nombreuses études ont démontré dès
allant souvent au-delà du droit au respect de la
2018 qu’il s’agissait majoritairement de
vie privée65.
personnes issues de groupes discriminés et/
ou vulnérables (femmes, enfants mineurs,
personnes transsexuelles, personnes à la
Un potentiel inégalé d’amplification peau foncée, entre autres)68 en raison des
biais discriminatoires des algorithmes sur
et d’automatisation des discriminations lesquels reposent ces technologies. Comme
l’expliquait le Défenseur des droits en 2020,
Parce qu’elles ciblent le plus souvent les ces biais peuvent provenir aussi bien du
caractéristiques des individus qui les exposent manque de représentativité des données
à des discriminations (origine, sexe, identité mobilisées dès la phase d’apprentissage
de genre, apparence physique, état de santé, des algorithmes69 que de l’intégration, après
handicap, âge..), les technologies biométriques traduction mathématique, de pratiques et
(au-delà des marges d’erreurs d’allocation comportements passés discriminatoires et des
qui auront tendance à diminuer avec le discriminations systémiques opérant au sein
rapide perfectionnement des systèmes) et la de la société70.
généralisation de leur usage sont susceptibles
de perpétuer voire d’amplifier, pour certains De manière significative, qu’il s’agisse de
groupes sociaux, les discriminations dispositifs d’authentification, d’identification
systémiques opérant au sein de la société. ou d’évaluation, lorsqu’une technologie
biométrique est déployée dans un espace
visité par des millions d’individus comme un
Erreurs et biais aux conséquences discriminatoires aéroport ou une gare, même un très faible taux
de faux positifs et de faux négatifs71 implique
Par définition, toute technologie biométrique que des centaines d’individus subissent les
est probabiliste et repose sur l’emploi erreurs de ces systèmes et les conséquences
d’algorithmes présentant un certain taux de de telles erreurs72.
faux-positifs comme de faux-négatifs66.
Ainsi, si les systèmes d’authentification,
Une technologie de reconnaissance des notamment de reconnaissance faciale,
émotions affichées dans le cadre d’une peuvent proposer des taux de précision
procédure de recrutement peut déterminer atteignant 99,5%73, ces 0,5% restants peuvent
à tort qu’un candidat est « nerveux » et représenter une multitude d’individus exposés
lui assigner une note lui retirant toute à un traitement inégal. Toutes les erreurs
chance d’être embauché. De façon ne trouvent pas leur source dans des biais
similaire, un dispositif d’authentification discriminatoires. À cet égard, la mise en place
par reconnaissance vocale déployé pour de voie alternative peut constituer une solution
contrôler l’accès à un compte bancaire mais elle ne saurait justifier le maintien
en ligne peut commettre une erreur dans d’atteintes au principe de non-discrimination.
10Rapport | Technologies biométriques : l’impératif respect des droits fondamentaux 2021
En effet, indépendamment des voies Quand elles sont déployées dans des lieux
alternatives proposées comme dans le cadre du accessibles au public, les technologies
dispositif Alicem74, les effets discriminatoires biométriques d’identification et d’évaluation
des algorithmes ne sauraient être ignorés : si ne permettent pas aux personnes de
les taux d’erreur restent importants pour s’opposer à leur utilisation ou de leur
certaines catégories de personnes protégées préférer une voie alternative : les données
par le droit de la non-discrimination, elles biométriques de chaque passant sont
seront lésées et devront systématiquement traitées de manière indifférenciée. C’est
prendre la voie alternative (qui, de fait, ne le cas notamment des technologies de
sera plus vraiment alternative). Or, compte reconnaissance faciale « en temps réel »
tenu de la nature probabiliste de ces systèmes, déployées aux fins d’identifier des personnes
ceux-ci ne permettent guère d’atteindre un recherchées. Or, la précision de ce type de
taux d’erreur qui serait nul : il restera toujours système est nettement inférieure à celle
un pourcentage infime de faux positifs et de des dispositifs d’authentification76, ce qui
faux négatifs. Afin d’éviter toute discrimination, est particulièrement inquiétant lorsqu’ils
le taux d’erreur devrait être décorrélé des sont utilisés à des fins policières. En effet,
catégories protégées. Pour ce faire, les jeux de outre les défauts de qualité de la source des
données non représentatifs sur lesquels les images collectées et comparées, ces erreurs
algorithmes d’authentification sont entraînés trouvent souvent leurs origines dans des biais
peuvent être la source des biais et doivent donc discriminatoires, les données d’entraînement
être corrigés. Afin d’assurer une plus grande des algorithmes de reconnaissance faciale
fiabilité des algorithmes de reconnaissance souffrant encore aujourd’hui d’un manque
faciale dont nous avons vu les biais concernant prononcé de représentativité77. Par exemple, de
les femmes et personnes à la peau foncée, tels usages peuvent avoir pour conséquence
les profils et données devraient notamment que certaines personnes se retrouvent
être plus variés pour refléter la diversité arrêtés à tort plus fréquemment en raison de
de la population réelle et assurer un bon leur couleur de peau78. Aux États-Unis, trois
entraînement de l’algorithme sur des profils hommes noirs ont ainsi déjà été emprisonnés
minoritaires. injustement suite aux erreurs de systèmes de
reconnaissance faciale79. Au Royaume Uni, une
Par ailleurs, un système qui vise à authentifier
étude dédiée à l’utilisation de reconnaissance
un individu n’est pas automatiquement un
faciale aux fins d’identification par les services
dispositif atteignant les meilleurs taux de
de police de Londres a déterminé que sur
précision dans la mesure où ceux-ci dépendent
22 individus interpellés sur la base d’une
de plusieurs facteurs (éclairage, qualité d’image,
concordance établie par ordinateur et jugée
etc.). Aujourd’hui encore certains dispositifs
crédible par un opérateur humain, quatorze
d’authentification commettent de nombreuses
de ces concordances (soit 63,64%) se sont
erreurs aux conséquences discriminatoires que
révélées incorrectes et seulement huit (soit
l’on ne saurait tolérer du simple fait que leur
36,36%) correctes80. L’utilisation de ce
fonctionnement serait respectueux du droit des
type de dispositif par les services de police
données personnelles75.
britanniques a par ailleurs donné lieu à la
Pour autant, le contrôle que maintiennent les première décision judiciaire d’envergure sur
personnes sur les dispositifs d’authentification le sujet en 2020 : la Cour d’appel de Londres a
permet à celles-ci de prendre conscience conclu que les services de police ne s’étaient
des erreurs qui surviendraient : la vérification pas suffisamment assurés de l’absence de
d’identité de la personne n’a pas fonctionné, biais discriminatoires du logiciel utilisé quant
elle est immédiatement invitée à réitérer son à l’origine ethnique ou au genre des personnes
essai et/ou à faire usage d’une voie alternative. qu’il visait à identifier81, les risques de
Cela n’est pas toujours le cas lorsque les discrimination découlant de l’utilisation même
technologies biométriques sont utilisées aux des outils biométriques.
fins d’identification comme d’évaluation.
11Rapport | Technologies biométriques : l’impératif respect des droits fondamentaux 2021
Les risques de discrimination découlant du déploiement dans certains territoires de
de l’utilisation même des outils biométriques drones de surveillance pendant la période
de confinement), d’autre part, les ciblages
Le débat public sur la précision des discriminatoires par certains services de
technologies biométriques est important, police qui ont déjà fait l’objet de décisions
notamment dans la mesure où les biais de judiciaires et d’observations du Défenseur
ces systèmes peuvent entraîner comme des droits qui relevait le climat d’exclusion
nous l’avons mentionné des situations et de discrimination qu’ils pouvaient
discriminatoires, mais il a trop longtemps entretenir84. Comme c’est aujourd’hui le cas
occulté une autre réalité. En effet, même dans le domaine des infractions routières
avec un taux de précision avoisinant les (notamment le stationnement des personnes
100%, l’utilisation d’outils biométriques en situation de handicap85), la verbalisation à
d’identification et d’évaluation peut être distance pourrait ne pas prendre en compte
génératrice de discriminations. Pire, elle les spécificités des situations particulières
peut les amplifier. des personnes. De plus, le développement
des villes dites « intelligentes » permis par
Dans une enquête de 2017 dédiée aux
le couplage de la vidéo et des technologies
relations police/population, le Défenseur des
d’identification et d’évaluation présente
droits relevait que les contrôles d’identité
des risques de discrimination : en repérant
ciblent particulièrement certaines zones
des personnes sans abri ou se livrant à
territoriales et donnent lieu à de fortes
la mendicité, les villes sont à même de
pratiques discriminatoires fondées sur
dépêcher un accompagnement social
l’origine, suggérant un profilage racial et
adapté sur les lieux concernés comme de
social des opérations de contrôle sur des
stigmatiser et discriminer ces personnes
hommes jeunes, perçus comme noirs ou
en situation de particulière vulnérabilité. Si
arabes/maghrébins. Alors que plus de 80%
la Commission européenne a récemment
des hommes enquêtés déclarent n’avoir fait
proposé d’interdire par principe l’utilisation
l’objet d’aucun contrôle d’identité au cours des
de dispositifs d’identification à distance
5 dernières années, « 80% des personnes
sur la voie publique à des fins policières, de
correspondant au profil de “jeune homme
nombreuses exceptions ont été aménagées
perçu comme noir ou arabe” déclarent avoir
laissant à la libre appréciation des États
été contrôlées dans les cinq dernières années
Membres le choix d’utiliser ou non ce type de
(contre 16% pour le reste des enquêtés) ». Ces
dispositif, par exemple, lorsqu’une infraction
profils ont donc vingt fois plus de probabilités
est punie d’une peine d’au moins trois ans
d’être contrôlés82.
d’emprisonnement86. Les niveaux de confiance
Si demain les services de police pouvaient dans la police ne dépendent pas seulement
mener ces contrôles à l’aide de dispositifs du contrôle en lui-même, mais aussi du fait
biométriques d’identification et/ou qu’il soit perçu ou non comme du profilage
d’évaluation couplés à des méthodes de racial87. Aussi, l’utilisation d’outils biométriques
verbalisation à distance83, le risque d’un d’identification et/ou d’évaluation par les
déploiement concentré dans des zones forces de police pourrait dégrader la relation
géographiques où les jeunes hommes police/population si elle ne s’entoure pas de
perçus comme arabes/maghrébins ou noirs garanties suffisantes.
sont surreprésentés pourrait démultiplier
Dans le cadre de la lutte contre l’immigration
les situations discriminatoires avec des
illégale en Europe, l’Union européenne finance
contrôles instantanés de centaines d’individus
depuis 2016 un projet appelé iBorderCtrl88 :
effectués à raison de leur sexe, de leur
le voyageur étranger désireux d'entrer
origine, de leur âge et/ou de leur situation
dans l'espace européen doit passer par un
économique. Ces craintes ne sont pas sans
"détecteur de mensonges par reconnaissance
fondement quand on considère, d’une part,
faciale" qui le redirige selon les résultats soit
les développements de ces technologies à
dans des files d'attente rapides ou au contraire
des fins sécuritaires (c’est le cas par exemple
vers des contrôles poussés89.
12Rapport | Technologies biométriques : l’impératif respect des droits fondamentaux 2021
Ce système a été testé aux frontières Pour autant, l’analyse automatisée de leur
terrestres de l’UE en Hongrie, en Lettonie intonation comme de leur comportement a
et en Grèce. De nombreuses associations été maintenue alors même que déceler les
ont dénoncé une technologie hautement émotions dans la voix ou la signification d'un
expérimentale, dont les résultats ne sont pas silence reste très aléatoire comme le relèvent
fiables et visent des personnes en situation de les spécialistes94.
particulière vulnérabilité90.
Si leur adoption est encore limitée en France,
De façon générale, le risque de voir survenir certaines entreprises de recrutement
des discriminations ne saurait se réduire commercialisent déjà des logiciels réduisant
au contexte policier. Il concerne également les opportunités des personnes sans que leur
les usages relevant du secteur privé, en efficacité95 ne soit clairement documentée
particulier en matière d’évaluation. L’utilisation et auditée de manière indépendante. Ces
de dispositifs de détection des traits de développements s’effectuent parfois au mépris
personnalité d’un individu dans le cadre de du droit du travail qui prévoit une obligation
procédures de recrutement aux fins d’analyser de pertinence s’agissant des informations
des entretiens et d’automatiquement assigner recueillies par le recruteur. Celles-ci doivent
des scores aux différents candidates et en effet présenter un lien direct et nécessaire
candidats en fonction de leur soi-disant avec l’emploi proposé ou avec l’évaluation des
personnalité est particulièrement éloquente91. aptitudes professionnelles96. Une association
Ces systèmes peuvent engendrer des de professionnels a appelé à exclure des
discriminations importantes, en particulier techniques de recrutement toute donnée
pour les candidates et les candidats en n’ayant aucun caractère prédictif fiable et
situation de handicap : si les caractéristiques avéré sur la réussite des candidates et des
de leurs visages ou leurs manières de se tenir candidats97.
et/ou de s’exprimer diffèrent de la norme et
donc de l’écrasante majorité des données sur
lesquelles les algorithmes de recrutement
ont été entraînés pour assigner des scores,
ces personnes risquent de ne pas voir leurs
aptitudes à exercer un poste reconnues, même
si leurs traits de personnalité seraient tout
aussi bénéfiques à l’exercice de ce poste que
ceux d’une personne dite valide92. Comme
le soulignait Laurence Devillers, professeure
en intelligence artificielle à la Sorbonne
Université, « il y a une dimension culturelle
énorme dans notre façon de nous exprimer.
Que fait-on des personnes bègues, de celles
qui s'expriment naturellement lentement, de
celles qui ont un accent ? »93. Par ailleurs,
ces systèmes peuvent être directement
discriminants, en détectant notamment des
faiblesses psychologiques ou des problèmes
mentaux qui relèvent des critères de
discrimination de l’état de santé.
Récemment, une grande entreprise
américaine spécialisée dans ce mode de
recrutement annonçait renoncer aux usages
d’évaluation tirée de l’analyse vidéo du
visage des candidats pendant les entretiens.
13Rapport | Technologies biométriques : l’impératif respect des droits fondamentaux 2021
L’effet dissuasif
L’une des singularités des technologies Par analogie, les technologies biométriques
biométriques d’identification et d’évaluation d’identification à distance sont tout autant,
lorsqu’elles sont déployées dans des lieux si ce n’est plus, intrusives encore. Le
publics repose sur l’effet dissuasif qu’elles Conseil constitutionnel a d’ailleurs maintenu
peuvent avoir pour l’exercice de droits l’interdiction explicite du traitement des
fondamentaux comme la liberté d’expression, images des drones par des logiciels de
d’aller et venir, d’assemblée, d’association, et, reconnaissance faciale105.
plus largement, l’accès aux droits.
Enfin, l’effet dissuasif des technologies
Le Contrôleur européen de la protection des biométriques se traduit également par un
données, Wojciech Wiewiórowski a pointé risque d’exclusion, en particulier pour les
ces risques même lorsque ces technologies personnes issues de groupes particulièrement
correspondent à des fins légitimes et d’intérêt discriminés comme les étrangers. Dans un
public. Le fait qu’elles fonctionnent souvent rapport, la Rapporteuse spéciale de l’ONU
à l’insu des personnes concernées et sans sur les formes contemporaines de racisme,
contrôle de leur part (ce que l’on appelle Tendayi Achiume, soulignait que l’utilisation de
l’absence de friction) tend à dissuader les technologies biométriques pouvait priver les
personnes d’exercer leurs droits, et ce peu réfugiés et les demandeurs d’asile de l’accès
importe l’envergure de leur déploiement, aux services de base essentiels, de par leur
la peur de la surveillance étant suffisante effet dissuasif106. De peur d’être identifiés en
pour affecter notre comportement98. L’un tant que « sans papier », certains migrants
des aspects nécessaires dans l’exercice pourraient notamment renoncer aux soins de
de ces libertés repose effectivement sur santé auxquels ils ont pourtant légalement
l’anonymat de groupe99, en l’absence duquel droit, même en cas d’urgence.
les individus peuvent être amenés à altérer
leur comportement et à ne pas exprimer leurs
pensées de la même manière100.
Le cas particulier des mineurs
En France, récemment encore, s’agissant de
l’élargissement du recours aux drones par En France comme ailleurs, les enfants à l’instar
les services de police prévu par la « loi pour des adultes sont de plus en plus exposés aux
une sécurité globale préservant les libertés », technologies biométriques, mais avec sans
le Conseil constitutionnel relevait dans le doute un risque plus fort de banalisation
sillage de la CNIL101 que ces appareils sont pour une génération née et acculturée à ces
« susceptibles de capter, en tout lieu et sans nouvelles technologies sans en connaitre les
que leur présence soit détectée, des images risques et limites par ailleurs. Ce phénomène
d’un nombre très important de personnes n’est pas nouveau. Dès l’an 2000, la CNIL
et de suivre leurs déplacements dans un avait émis un avis défavorable concernant
vaste périmètre »102, insistant sur la nécessité l’installation d’un système d’authentification
d’assortir la mise en œuvre de ces systèmes conditionnant l’accès à la cantine d’un
de surveillance de garanties particulières. Tel collège à l’utilisation d’une base de données
était le sens de l’avis 20-05 du Défenseur des d’empreintes digitales107.
droits103 comme de celui du Conseil des droits
Le principe de responsabilité du RGPD ayant
de l’homme de l’ONU, qui, dans un rapport
mis fin à l’obligation pour les établissements
exprimait ses préoccupations sur l’usage de
scolaires d’obtenir une autorisation pour
drones avec caméras, « susceptible d’avoir
mettre en place ce type de solution
un effet dissuasif sur des individus qui se
biométrique108 en 2018, il appartient désormais
trouvent dans l’espace public »104.
14Vous pouvez aussi lire
