Utilisation de BriefCam et d’autres logiciels d’analyse vidéo par l’État et des communes : la CNIL prononce plusieurs mises en demeure

Caméras augmentées : quelles sont les règles ?

Les caméras dites « augmentées » sont constituées de logiciels d’analyse automatisée d’images couplés à des caméras. Elles permettent non seulement de filmer les personnes mais également de les analyser de manière automatisée en temps réel afin de déduire certaines informations les concernant (comptage du nombre de personnes dans un espace donné, constat de l’abandon d’un bagage, du port d’un masque, etc.).

Au regard des risques importants pour les libertés publiques que peuvent engendrer les dispositifs de « caméras augmentées », la CNIL a publié, en juillet 2022, sa position sur leurs conditions de déploiement dans les espaces publics.

À ce jour :

• Le cadre d’expérimentation créé par la loi « Jeux olympiques et paralympiques 2024 » (ou JOP2024) permet – à titre expérimental et temporaire (jusqu’au 31 mars 2025) – l’utilisation de caméras « augmentées » en temps réel dans l’espace public pour assurer la sécurité des manifestations sportives, récréatives ou culturelles particulièrement exposées à des risques d’actes de terrorisme ou d'atteintes graves à la sécurité des personnes. En dehors de cadre légal, l’utilisation de caméras augmentées est en principe interdit, sauf à avoir une finalité purement statistique.
   
• En revanche, l’utilisation de logiciels d’analyse automatique des images en différé, c’est-à-dire à partir d’images déjà enregistrées, est autorisée pour les besoins des enquêtes judiciaires, sous réserve de respecter un certain nombre de conditions posées par le code de procédure pénale (article 230-20 et suivants et articles R. 40-39 et suivants) ainsi que le décret n° 2012-687 du 7 mai 2012.

Les contrôles de la CNIL

Dans son plan stratégique 2022-2024, la CNIL a consacré une de ses thématiques prioritaires de contrôle à certains usages des logiciels d’analyse automatique d’images. En novembre 2023, le journal Disclose avait publié une enquête indiquant que les services du ministère de l’Intérieur et des communes utilisaient un logiciel d’analyse vidéo de la société BriefCam, avec reconnaissance faciale. En conséquence, dès décembre 2023, la CNIL a décidé de contrôler quatre services du ministère de l’Intérieur. L’inspection générale de l’administration avait également été missionnée par le ministère de l’Intérieur et a rendu public son rapport le 28 octobre 2024.

En plus des contrôles menés auprès du ministère, la CNIL a engagé une série de contrôles auprès de huit communes ayant recours à ce type de technologies, afin de vérifier les cas d’usage mis en œuvre et le respect du cadre légal en vigueur.

À noter : ces contrôles ne concernent pas les dispositifs de « caméras augmentées » mis en œuvre par les pouvoirs publics dans le cadre des jeux Olympiques et Paralympiques 2024 (JOP 2024), pour lesquels des contrôles spécifiques ont été menés.

Les principaux constats et manquements

Dans les services du ministère de l’Intérieur

L’absence d’utilisation de caméras augmentées en temps réel par la police et la gendarmerie

Les contrôles menés auprès des services du ministère de l’Intérieur ont permis de constater que, conformément au cadre légal, ces derniers n’utilisent pas de caméras « augmentées » pour analyser en temps réel des images de la voie publique à des fins opérationnelles. De plus, aucun cas d’usage de la reconnaissance faciale « à la volée », c’est-à-dire en temps réel dans l’espèce public, n’a été constaté.

L’analyse d’image en différé : un usage possible pour les enquêtes judiciaires, mais qui doit respecter le cadre du code de procédure pénale et être déclaré à la CNIL

En revanche, certains services d’enquêtes du ministère de l’Intérieur utilisent depuis 2015 des logiciels (tels que ceux de la société BriefCam) en différé, afin d’analyser un stock d’images issues des caméras de vidéoprotection préexistantes, après la collecte des données (l’enregistrement vidéo). Ces logiciels sont utilisés pour la recherche d’auteurs présumés d’infractions dans le cadre d’une enquête judiciaire. Ils permettent de rechercher plus rapidement, sans reconnaissance faciale, la présence dans l’enregistrement d’un véhicule, d’une personne correspondant à un signalement, de certains objets etc., notamment lorsque la quantité d’enregistrements à visionner est très importante.

La CNIL considère que ces logiciels d’analyse vidéo sont des traitements de données personnelles dont l’utilisation peut relever de la législation des logiciels de rapprochement judiciaire (LRJ). Leur usage est légal et strictement encadré par les dispositions du code de procédure pénale. En particulier, ce cadre légal prévoit que l’usage doit être limité aux officiers et agents de police judiciaire et doit être autorisé par le magistrat saisi de l'enquête ou chargé de l'instruction au cas par cas.

Si l’utilisation des logiciels d’analyse vidéo en différé est considérée comme licite, la CNIL a constaté que les services du ministère de l’Intérieur n’ont analysé ces dispositifs comme relevant du cadre juridique des LRJ que depuis 2023. En conséquence, les engagements de conformité au « référentiel LRJ » n’ont été transmis que tardivement à la CNIL, parfois plusieurs années après le début de leur mise en œuvre, ou ne l’ont pas encore été.

Pour l’ensemble de ces constats, outre un rappel aux obligations légales pour les faits passés, la CNIL a mis en demeure le ministère de l’Intérieur de lui transmettre l’ensemble des engagements de conformité et AIPD manquants.

Une fonctionnalité de reconnaissance faciale qui doit être supprimée ou bridée

Lors d’une mise à jour du logiciel BriefCam, l’éditeur a par ailleurs intégré une fonctionnalité « reconnaissance faciale » qui a donc, dans les faits, été mise à disposition de certains des services du ministère de l’Intérieur. Bien que des instructions ou des positions du ministre aient pu rappeler que leur usage est illégal, la CNIL a été informée d’un cas ponctuel d’utilisation de cette fonctionnalité, pour une enquête judiciaire.

Si cette utilisation semble isolée, la CNIL rappelle que les dispositifs d’identification ou de caractérisation des personnes physiques à partir de leurs données biométriques ne sont pas autorisés par le législateur dans l’espace public. Elle a donc mis en demeure le ministre de supprimer cette fonctionnalité ou de la brider.

Dans les services communaux

Lors des contrôles, la CNIL a constaté que les huit communes contrôlées utilisaient des caméras augmentées pour des usages très différents.

Si la CNIL n’a pas relevé d’utilisation de fonctionnalités de reconnaissance faciale, trois grands types d’usages peuvent être distingués :

• un usage permettant la détection automatisée de situations laissant présumer une infraction sur le domaine public (stationnement interdit, circulation en contre-sens, etc.) ou d’évènements considérés comme « anormaux » ou potentiellement dangereux (attroupements d’individus, etc.). Ces usages sont en principe interdits en l’état du droit ;
   
• un usage permettant de générer des statistiques, par exemple en mesurant la fréquentation d’une zone en différentiant les usages (piétons, camions, vélos, trottinettes, etc.). Cet usage est autorisé, à condition d’informer suffisamment les usagers, ce qui n’était pas toujours le cas ;
   
• une utilisation des fonctionnalités de recherche automatique dans les images pour répondre à des réquisitions judiciaires : cet usage est légal, à condition qu’il soit nécessaire pour répondre correctement à la réquisition et que le système soit suffisamment sécurisé. Il peut en particulier servir à rechercher un numéro de plaque d’immatriculation de véhicule. La CNIL rappelle que les agents de police municipale ne peuvent pas mener eux-mêmes des enquêtes de police judiciaire et ne sont donc pas habilités à opérer de telles recherches de leur propre initiative, en dehors d’une réquisition judiciaire.

Au regard de ces éléments, la CNIL a adressé des mises en demeure à six de ces communes afin qu’elles mettent fin aux manquements constatés.