Reconnaissance faciale : la justice juge contraire au RGPD une expérimentation menée dans deux lycées

© Shutterstock

C'est une première en France en matière de reconnaissance faciale. La Quadrature du Net et la Ligue des droits de l'Homme, à l'origine du recours contre une décision prise par la région PACA, ont obtenu gain de cause à Marseille jeudi.

La reconnaissance faciale vient de subir une première déconvenue judiciaire. La Quadrature du Net et la Ligue des droits de l'Homme avaient déposé, il y a maintenant un an, un recours devant le tribunal administratif de Marseille en demandant l'annulation d'une délibération prise le 14 décembre 2018 par le conseil régional Sud (pour région PACA). Après avoir reconnu la pertinence des requêtes des associations épaulées de la CGT Educ'Action des Alpes-Maritimes et de la Fédération des Conseils de Parents d'Élèves des écoles publiques des Alpes-Maritimes, le tribunal a décidé d'annuler la délibération ce jeudi 27 février.

Une délibération qui ne respecte pas le RGPD

L'expérimentation fut menée dans deux établissements de la région, le lycée Ampère à Marseille et le lycée des Eucalyptus à Nice. Elle faisait partie d'une démarche de sécurisation des accès aux deux établissements en faisant appel à la reconnaissance faciale, nommée d'ailleurs avec insistance « système de comparaison faciale » par la région Sud. Celle-ci permettait de confirmer l'identité du lycéen en comparant sa photo prise à l'entrée et celle de son badge, prise en début d'année scolaire.

Les associations requérantes demandait l'annulation de la délibération ayant autorisé l'expérimentation au motif que celle-ci ne respectait pas l'article 9 du Règlement général sur la protection des données (RPGD), en vigueur depuis le 25 mai 2018.

Les parties demanderesses avaient obtenu une première victoire au mois d'octobre, lorsque la Commission nationale de l'informatique et des libertés (CNIL) avait rendu un avis très critique quant à un tel dispositif. « Les traitements de reconnaissance faciale sont des dispositifs, de nature biométrique, particulièrement intrusifs qui présentent des risques importants d'atteinte à la vie privée et aux libertés individuelles des personnes concernées ».

Un consentement qui ne fut pas donnée de manière libre et éclairée

Face à l'absence d'un véritable cadre juridique à la reconnaissance faciale, le juge administratif a annulé la délibération et reconnu l'incompétence du conseil régional pour mettre en place l'expérimentation de la technologie du fait que seuls les chefs de ces établissements étaient compétents s'agissant d'encadrer et de surveiller les élèves.

Mais ce n'est pas tout puisque le tribunal dénonce le fait que les lycéennes et lycéens (ou leurs représentants légaux) n'ont donné leur consentement à la collecte de leurs données personnelles qu'en signant un simple formulaire, ce qui ne suffisait pas à qualifier ce consentement comme « libre, spécifique, univoque et éclairé », surtout s'agissant de données critiques, comme les données biométriques.

Enfin, la Région Sud n'est pas parvenue à prouver que des mesures moins excessives n'auraient pas suffi à assurer l'objectif de sécurité voulu par la collectivité. Par la voie de son Président, Renaud Muselier, la région nous indique regretter une décision qui « ne lui permet pas de mettre en œuvre des solutions complémentaires et modernes ».

C'est la première décision juridictionnelle prise en France sur la reconnaissance. Une décision qui en appelle peut-être d'autres. Un second recours fut déposé au tribunal administratif de Marseille, contre la vidéosurveillance automatisée. La réponse du juge est attendue pour le début du mois de mars.

Source : La Quadrature du Net