Publicité d’une mise en demeure CNIL sur les logiciels d’analyse vidéo et la reconnaissance faciale

La mise en demeure imposait la transmission des engagements de conformité relatifs au logiciel RU-018 et la réalisation d’analyses d’impact pour les logiciels d’analyse automatisée des images qui n’en avaient pas fait l’objet. Elle exigeait également des mesures empêchant l’utilisation de fonctionnalités de reconnaissance faciale.

La CNIL a retenu un manquement aux articles 4 et 31 de la loi Informatique et Libertés, en raison de l’utilisation de logiciels de rapprochement judiciaire sans transmission préalable des engagements de conformité correspondants.

La publicité a été jugée justifiée par la couverture médiatique, la sensibilité du traitement biométrique, les risques pour les libertés individuelles et la nécessité d’informer le public des contrôles et mesures correctrices. La mise en demeure sera clôturée et cette clôture rendue publique si le ministère satisfait intégralement aux exigences dans le délai de deux mois.

⬇️Télécharger la décision version officielle

La Présidente de la CNIL a mis en demeure le ministère de transmettre les engagements de conformité requis, de réaliser les analyses d’impact relatives à la protection des données manquantes et d’empêcher l’utilisation des fonctionnalités de reconnaissance faciale. Elle lui a également rappelé ses obligations après l’utilisation de logiciels de rapprochement judiciaire sans transmission préalable des engagements correspondants.

Le bureau de la CNIL a décidé de rendre cette mise en demeure publique en raison de la couverture médiatique, de la sensibilité des traitements biométriques et de la nécessité d’informer le public. La décision ne constitue pas une sanction et cessera d’identifier nommément le ministère après deux ans.

• Fonder la mise en demeure sur l’article 20 de la loi Informatique et Libertés
• Constater l’absence d’engagements de conformité préalablement transmis
• Identifier les traitements dépourvus d’analyse d’impact relative aux données
• Prendre des mesures empêchant l’utilisation de la reconnaissance faciale
• Justifier la publicité par la sensibilité du traitement et l’information du public
• Respecter le délai de deux mois fixé pour la mise en conformité

• Contrôles effectués par les services de la CNIL
• Utilisation constatée d’un logiciel d’analyse vidéo édité par BRIEFCAM
• Cas d’usage isolé de la fonctionnalité de reconnaissance faciale
• Rapport de la mission inter-inspections diligentée par le ministère
• Reprises médiatiques, parlementaires et contentieuses des révélations

• Transmettre les engagements de conformité à la CNIL
• Réaliser les AIPD manquantes pour les logiciels d’analyse vidéo
• Bloquer techniquement les fonctionnalités de reconnaissance faciale
• Respecter le délai de deux mois suivant la notification
• Obtenir une clôture publique après conformité intégrale

À faire

• Recenser tous les logiciels d’analyse automatisée des images
• Transmettre les engagements de conformité requis à la CNIL
• Réaliser les analyses d’impact manquantes
• Désactiver les fonctionnalités de reconnaissance faciale
• Documenter les mesures correctrices avant l’échéance de deux mois

À éviter

• Utiliser un logiciel sans engagement de conformité transmis
• Déployer une fonctionnalité biométrique dans l’espace public
• Omettre l’analyse d’impact d’un traitement concerné
• Maintenir une fonctionnalité de reconnaissance faciale accessible
• Confondre mise en demeure publique et sanction administrative

La publicité d’une mise en demeure administrative

La publicité a été décidée sur le fondement du dernier alinéa du III de l’article 20 de la loi Informatique et Libertés. Le bureau l’a estimée justifiée par la couverture médiatique, la sensibilité du traitement, les risques pour les libertés individuelles et la nécessité d’informer le public des contrôles et mesures correctrices. La mise en demeure ne constitue pas une sanction.

Les obligations de conformité et d’analyse d’impact

La décision impose la transmission des engagements de conformité relatifs au logiciel RU-018 et la réalisation d’une AIPD pour les logiciels d’analyse automatisée des images qui n’en ont pas fait l’objet. La CNIL a également relevé une méconnaissance des articles 4 et 31 de la loi Informatique et Libertés, en raison de l’absence de transmission préalable des engagements correspondants.

L’interdiction des dispositifs biométriques dans l’espace public

Le bureau rappelle que les dispositifs d’identification ou de caractérisation des personnes physiques à partir de données biométriques, utilisés à titre opérationnel ou expérimental, ne sont pas autorisés par le législateur dans l’espace public. Il rend publique l’injonction imposant des mesures empêchant l’utilisation future d’une fonctionnalité de reconnaissance faciale.