LISTE DES PROPOSITIONS
Proposition n° 1 - Prolonger l'expérimentation de la vidéoprotection algorithmique avant d'envisager toute pérennisation
Proposition n° 2 - Sans remettre en cause ses principes fondamentaux et garanties juridiques, prévoir des aménagements pour exploiter pleinement les potentialités de l'expérimentation :
- permettre la mise en oeuvre du dispositif, même en l'absence de grandes manifestations sportives, récréatives ou culturelles, en vue de la surveillance de zones clairement délimitées à l'aune de risques sécuritaires importants, pour des cas d'usage strictement proportionnés ;
- étendre le champ des agents autorisés à accéder aux signalements à des agents communaux n'appartenant pas à la police municipale, à condition que ces agents soient en nombre limité, nominativement désignés, dûment formés et habilités, et restent sous la supervision d'un policier municipal ;
- conférer davantage d'autonomie aux services utilisateurs pour le choix et la calibration des solutions technologiques à expérimenter, dans des conditions qui resteraient rigoureusement encadrées et contrôlées par le ministère de l'intérieur ainsi que la CNIL.
Proposition n° 3 - Renforcer et harmoniser les formations préalables à l'habilitation des agents chargés de la mise en oeuvre opérationnelle de l'expérimentation
Proposition n° 4 - Renforcer le dispositif d'information des personnes sur la mise en oeuvre de l'expérimentation
Proposition n° 5 - Conforter le dispositif d'évaluation de l'expérimentation par un comité ad hoc et dont l'indépendance serait garantie par la loi, qui pourrait publier des avis et rapports intermédiaires. Dans ce cadre, associer davantage et en amont les utilisateurs à la définition des méthodes d'évaluation des techniques expérimentées.
AVANT-PROPOS
La sécurisation des jeux Olympiques et Paralympiques (JOP) de Paris 2024 a été un succès incontestable dont la commission des lois, qui a activement suivi les enjeux liés à la mise en oeuvre de la loi « JOP » du 19 mai 2023, ne peut que se féliciter.
Dans la continuité de ses précédents travaux législatifs4(*) et de contrôle5(*), elle a souhaité tirer un bilan de la sécurisation des JOP sur deux aspects précis.
En premier lieu, elle a entendu évaluer la mise en oeuvre de l'expérimentation du recours à la vidéoprotection algorithmique prévue par l'article 10 de la loi « JOP ».
Lancé à compter d'août 2023 et devant prendre fin au 31 mars 2025, ce dispositif expérimental autorise un nombre limité d'acteurs - police et gendarmerie nationales, SNCF, RATP, polices municipales - à utiliser, aux seules fins de la sécurisation de grandes manifestations sportives, récréatives ou culturelles, une technologie permettant d'appliquer des traitements algorithmiques à des images collectées par des systèmes de vidéoprotection pour détecter certains événements à risque (intrusions, mouvements de foule, présence d'une arme, etc.).
Eu égard à la complexité des enjeux que ces technologies soulèvent, tant sur le plan opérationnel que du point de vue de la garantie des libertés publiques, la commission des lois a voulu tirer un bilan précis de la mise en oeuvre du dispositif6(*) avant de se prononcer sur la question de son abandon, de sa pérennisation, ou de la prolongation de l'expérimentation.
En second lieu, la commission a souhaité réaliser un retour d'expérience sur le recours massif et historique à la sécurité privée dans le cadre des JOP, avec plus de 200 entreprises et 27 500 agents mobilisés.
I. VIDÉOPROTECTION ALGORITHMIQUE : STOP OU ENCORE ?
A. UNE EXPÉRIMENTATION QUI N'A PAS PERMIS D'ÉVALUER RÉELLEMENT LA PERTINENCE DU RECOURS À LA VIDÉOPROTECTION ALGORITHMIQUE
1. Un encadrement strict au regard des risques pour les libertés publiques
La vidéoprotection « algorithmique », parfois qualifiée d'« intelligente » ou « augmentée »7(*), consiste en un couplage de logiciels de traitements automatisés avec des caméras, permettant d'analyser les images de manière automatisée aux fins de détecter en temps réel des situations prédéfinies et d'appeler l'attention des opérateurs en générant une alerte.
Ces technologies offrent des perspectives opérationnelles conséquentes, en facilitant grandement la tâche des opérateurs des systèmes de vidéoprotection.
Dans sa position publiée en 2022, la Commission nationale de l'informatique et des libertés (CNIL) relevait que ces outils posent « des enjeux nouveaux et substantiels en matière de vie privée » et « ne constituent pas une simple évolution technologique, mais une modification de la nature des dispositifs vidéo » dès lors qu'ils permettent d'envisager une démultiplication de la vidéosurveillance - dont les capacités ne sont plus limitées par celles des personnes chargées de sa mise en oeuvre - et peuvent conduire « à un traitement massif de données à caractère personnel »8(*).
Comme l'ont rappelé, y compris à l'occasion de l'évaluation de l'expérimentation, de nombreux acteurs - Défenseure des droits, Commission nationale consultative des droits de l'homme, associations, etc. - le recours à ces technologies est susceptible de poser des risques importants pour les libertés publiques et est perçu par certains comme une première étape vers une surveillance généralisée de l'espace public.
Le cadre juridique du recours à ces outils est demeuré longtemps incertain. Dans son avis sur le projet de loi relatif aux jeux Olympiques et Paralympiques (JOP) de 2022, l'Assemblée générale du Conseil d'État a considéré qu'une intervention du législateur était nécessaire pour autoriser la mise en oeuvre de ces techniques et « pour l'encadrer de garanties rigoureuses et contrôlées », dès lors que ce dispositif était « susceptible de mettre en cause la protection de la vie privée et d'autres droits et libertés fondamentales, tels que la liberté d'aller et venir et les libertés d'opinion et de manifestation »9(*).
Le Conseil constitutionnel a également relevé, dans sa décision sur la loi « JOP »10(*) qui en est issue (n° 2023-850 DC du 17 mai 2023), que le traitement algorithmique des images de vidéoprotection porte une atteinte particulière au droit au respect de la vie privée : « Si un tel traitement n'a ni pour objet ni pour effet de modifier les conditions dans lesquelles ces images sont collectées, il procède toutefois à une analyse systématique et automatisée de ces images de nature à augmenter considérablement le nombre et la précision des informations qui peuvent en être extraites. Dès lors, la mise en oeuvre de tels systèmes de surveillance doit être assortie de garanties particulières de nature à sauvegarder le droit au respect de la vie privée » (cons. 33).
L'article 10 de la loi « JOP » a permis de donner un cadre juridique à l'utilisation de la vidéoprotection algorithmique.
Avant l'adoption de cette disposition, des expérimentations avaient toutefois été menées par la RATP et surtout par la SNCF, en lien avec la CNIL. Ces deux institutions ont notamment participé au programme européen « PREVENT PCP », financé par la Commission européenne dans le cadre du programme Horizon 2020, qui avait pour objet le développement de solutions d'analyse automatisée des images de vidéoprotection à des fins de détection des bagages et d'identification et de suivi de leurs propriétaires. Ce programme a pris fin en octobre 2024.
Comme l'a relevé le comité d'évaluation de l'expérimentation, la loi « JOP » a eu pour effet de « remettre en cause la légalité éventuelle des dispositifs développés avant cette date »11(*), position retenue par le juge des référés du Conseil d'État dans une ordonnance n° 495153 du 21 juin 2024. Cela ne paraît néanmoins pas s'étendre aux traitements algorithmiques d'images de vidéosurveillance à finalité purement statistique12(*).
Le comité d'évaluation de l'expérimentation
Le XI de l'article 10 de la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 prévoit que :
- le Gouvernement remet au Parlement, au plus tard le 31 décembre 2024, un rapport d'évaluation de la mise en oeuvre de l'expérimentation ;
- cette évaluation associe deux députés et deux sénateurs, dont au moins un député et un sénateur appartenant à un groupe d'opposition, désignés respectivement par le président de l'Assemblée nationale et le président du Sénat.
Les modalités d'évaluation ont ensuite été précisées par le décret n° 2023-939 du 11 octobre 2023 relatif aux modalités de pilotage et d'évaluation de l'expérimentation de traitements algorithmiques d'images légalement collectées au moyen de systèmes de vidéoprotection et de caméras installées sur des aéronefs.
Celui-ci a prévu la création d'un comité indépendant ad hoc, présidé par une personnalité indépendante et composé de deux collèges :
- le premier comportant des personnalités indépendantes - les quatre parlementaires -, plusieurs personnalités qualifiées - deux désignées le président de la CNIL, deux désignées par l'Académie des technologies, et quatre (dont au moins un avocat et un universitaire) désignées par le ministre de l'intérieur sur proposition du président du comité - ainsi qu'un maire d'une commune n'ayant pas participé à l'expérimentation désigné par l'Association des maires de France et présidents d'intercommunalités ;
- le second comportant les services utilisateurs, soit des représentants de la police et de la gendarmerie nationales, de la direction générale de la sécurité civile et de la gestion des crises, du préfet de police, de la RATP, de la SNCF, d'Île-de-France Mobilités, d'une commune expérimentatrice, ainsi que de la délégation interministérielle aux jeux Olympiques et Paralympiques. Le ministre de l'intérieur a désigné Christian Vigouroux comme président du comité d'évaluation. Ce comité a remis son rapport au Parlement le 24 janvier 2025.
Source : commission des lois du Sénat
2. Les conditions posées par le législateur puis par le pouvoir réglementaire
Ces considérations ont mené le législateur puis le pouvoir réglementaire à encadrer strictement l'expérimentation de la vidéoprotection algorithmique ou « augmentée » et à l'assortir de garanties.
C'est compte tenu de ces dernières que le Conseil constitutionnel, dans sa décision précitée du 17 mai 2023, a jugé que les dispositions de l'article 10 de la loi « JOP » étaient conformes à la Constitution, sous la réserve tenant à ce que le préfet soit obligé de mettre fin immédiatement à une autorisation dont les conditions ayant justifié la délivrance ne sont plus réunies.
Exposant la définition de l'expérimentation et le processus d'encadrement, le rapport du comité d'évaluation a pu en conclure que « Le cadre juridique dans lequel s'inscrit la présente expérimentation a progressivement été resserré à chaque stade de son élaboration : au Conseil d'État, puis au Parlement, par le Conseil constitutionnel, puis au stade de l'élaboration des décrets »13(*).
a) Une définition précise de la durée, des finalités et des caractéristiques des traitements
L'article 10 de la loi du 19 mai 2023 limite la durée de l'expérimentation à vingt-deux mois, soit jusqu'au 31 mars 2025.
La durée effective a été bien plus réduite du fait des délais nécessaires à la publication des textes réglementaires pris pour l'application de la loi, en particulier le décret n° 2023-828 du 28 août 2023, ainsi qu'à la passation du marché national pour l'acquisition des logiciels, lancé à l'été 2023 qui a abouti au tout début de l'année 202414(*).
Par conséquent, la première exploitation opérationnelle de ces solutions n'a eu lieu qu'en avril 2024, soit trois mois avant le début des Jeux et près d'un an après l'adoption de la loi.
La finalité et le champ d'application matériel de l'expérimentation ont été précisément circonscrits par le législateur : en vertu du I de l'article 10, le traitement algorithmique en temps réel des images de vidéoprotection n'est permis qu'à « la seule fin d'assurer la sécurité de manifestations sportives, récréatives ou culturelles qui, par l'ampleur de leur fréquentation ou par leurs circonstances, sont particulièrement exposées à des risques d'actes de terrorisme ou d'atteintes graves à la sécurité des personnes ». Sont seules concernées les images collectées dans les lieux qui accueillent ces manifestations, à leurs abords ainsi que dans les véhicules et les emprises de transport public et sur les voies qui les desservent.
Les acteurs susceptibles de mettre en oeuvre ces traitements ont également été limitativement énumérés : il s'agit de la police et de la gendarmerie nationales, des services d'incendie et de secours, des services de police municipale et des services internes de sécurité de la Société nationale des chemins de fer français (SNCF) et de la Régie autonome des transports parisiens (RATP).
L'objet des traitements a également été restreint à la détection, en temps réel, des événements prédéterminés - dits « cas d'usage » - « susceptibles de présenter ou de révéler ces risques [d'actes de terrorisme ou d'atteintes graves à la sécurité des personnes] et de les signaler en vue de la mise en oeuvre des mesures nécessaires ». Ces « cas d'usage », au nombre de huit, ont été définis à l'article 3 du décret du 28 août 2023 :
- présence d'objets abandonnés ;
- présence ou utilisation d'armes ;
- non-respect par une personne ou un véhicule du sens de circulation commun ;
- franchissement ou présence d'une personne ou d'un véhicule dans une zone interdite ou sensible ;
- présence d'une personne au sol à la suite d'une chute ;
- mouvement de foule ;
- densité trop importante de personnes ;
- départs de feux.
Enfin, comme l'y invitait le Conseil d'État dans son avis sur le projet de loi, le législateur a précisé les caractéristiques de ces traitements au IV de l'article 10 pour :
- exclure le recours à tout système d'identification biométrique, le traitement de données biométriques ou la mise en oeuvre de techniques de reconnaissance faciale ;
- affirmer le principe de « primauté humaine »15(*) : les traitements procèdent exclusivement à un signalement d'attention, c'est-à-dire une alerte auprès de l'opérateur, qui est strictement limité à l'indication des « cas d'usage » qu'ils ont été programmés à détecter ; il appartient ensuite à l'opérateur, après avoir évalué la situation, de tirer les conséquences de cette alerte et de déclencher, s'il y a lieu, une intervention ; ainsi ces traitements « ne produisent aucun autre résultat et ne peuvent fonder, par eux-mêmes, aucune décision individuelle ni aucun acte de poursuite » ;
- exclure tout rapprochement ou toute interconnexion ou mise en relation automatisée avec d'autres traitements de données à caractère personnel.
Le VI du même article a en outre énuméré une série d'exigences techniques pour ces solutions, qui doivent pouvoir être vérifiées à tout moment, parmi lesquelles figurent notamment l'« enregistrement automatique des signalements des événements prédéterminés détectés permettant d'assurer la traçabilité de son fonctionnement » et « des mesures de contrôle humain et un système de gestion des risques permettant de prévenir et de corriger la survenue de biais éventuels ou de mauvaises utilisations »16(*).
b) Des conditions de mise en oeuvre également encadrées
Les conditions de mise en oeuvre des traitements ont également été définies de manière stricte.
En premier lieu, le législateur a confié à l'État un monopole dans le choix des traitements à mettre en oeuvre, qu'il peut développer ou acquérir, et qu'il doit mettre à disposition des autres utilisateurs contre une participation financière (article 12 du décret du 28 août 202317(*)).
Il s'est agi d'un choix délibéré du législateur visant à assurer un contrôle des solutions retenues18(*). Par conséquent, les autres opérateurs prenant part à l'expérimentation - collectivités territoriales, RATP, SNCF - n'ont pas été associés au choix des solutions, quand bien même certains d'entre eux avaient déjà mis en oeuvre, par le passé, des dispositifs analogues.
Ce choix, comme ceux qui ont été faits au moment de la passation du marché national par le ministère de l'intérieur (cf. infra), a eu des conséquences décisives sur la portée de l'expérimentation.
En deuxième lieu, la mise en oeuvre des traitements retenus par le ministère de l'intérieur doit être autorisée au préalable par un décret pris après avis de la CNIL, qui en détermine les caractéristiques essentielles, et notamment les cas d'usage, et qui doit être accompagné d'une analyse d'impact sur la protection des données (AIPD). Le V de l'article 10 de la loi JOP précise également que « Le Gouvernement peut organiser une consultation publique sur internet dans le cadre de l'élaboration du décret. »
En dernier lieu, chaque emploi doit faire l'objet d'une autorisation délivrée par le préfet de département ou, à Paris, par le préfet de police (VII de l'article 10). Cette décision d'autorisation, qui est motivée et publiée, doit donner lieu à une actualisation de l'AIPD qui est transmise à la CNIL ; renouvelable, sa durée ne peut excéder un mois.
Le VIII de l'article 10 précise que le préfet est « tenu informé chaque semaine des conditions dans lesquelles le traitement est mis en oeuvre » et qu'il lui appartient d'en informer les maires des communes concernées et, au moins tous les trois mois, la CNIL. Il indique également qu'« Il peut suspendre l'autorisation ou y mettre fin à tout moment s'il constate que les conditions ayant justifié sa délivrance ne sont plus réunies ».
Ces conditions de mise en oeuvre ont été précisées par l'article 7 du décret du 28 août 2023, qui distingue deux phases dans la mise en oeuvre du traitement :
- une phase de conception ou d'apprentissage, placée sous la seule responsabilité des services de l'État ;
- une phase d'exploitation, qui a lieu sous la responsabilité du service utilisateur.
Le décret prévoit que l'exploitation peut donner lieu à une nouvelle phase de conception lorsqu' « un besoin est identifié d'améliorer la qualité de la détection des événements prédéterminés » (article 18 du décret).
Il ajoute également plusieurs exigences supplémentaires, notamment en matière d'habilitation et de formation des personnels et en matière de traçabilité des opérations, de droits d'accès, de conservation, et d'effacement des données collectées.
* 4 Rapport n° 248 (2022-2023) sur le projet de loi relatif aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions fait par Agnès Canayer au nom de la commission des lois, déposé le 18 janvier 2023.
* 5 Rapport d'information n° 527 (2023-2024) fait par Agnès Canayer et de Marie-Pierre de La Gontrie au nom de la commission des lois du Sénat sur l'application de la loi du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions, déposé le 10 avril 2024.
* 6 Parallèlement aux travaux du comité d'évaluation mis en place en application du XI de l'article 10 de la loi du 19 mai 2023.
* 7 Sur cet enjeu sémantique, le rapport du comité d'évaluation de l'expérimentation a relevé que les termes « intelligente » ou « augmentée » appliquée à la vidéoprotection, en raison de leur connotation positive, n'étaient pas adaptés pour désigner un dispositif soumis à l'évaluation. Pour cette même raison, le présent rapport privilégie le terme neutre de vidéoprotection « algorithmique ».
* 8 CNIL, Caméras dites « intelligentes » ou « augmentées » dans les espaces publics, position sur les conditions de déploiement, juillet 2022, p. 9.
* 9 Conseil d'État, avis n° 406383 du 15 décembre 2022.
* 10 Loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions.
* 11 Rapport du comité d'évaluation de traitements algorithmiques d'images légalement collectées au moyen de systèmes de vidéoprotection, janvier 2025, p. 26.
* 12 Le rapport n° 248 (2022-2023) fait par Agnès Canayer au nom de la commission des lois du Sénat sur le projet de loi « JOP » soulignait à cet égard que « l'introduction d'une base législative spécifique pour les usages en matière de sécurité ne conduira pas à interdire de fait tous les autres usages de la vidéoprotection « intelligente » ou « augmentée » qui peuvent être mis en oeuvre sans nécessité d'encadrement par un texte - comme par exemple certains dispositifs à vocation statistique - ou pouvant être autorisés par voie réglementaire. »
* 13 Rapport du comité d'évaluation de traitements algorithmiques d'images légalement collectées au moyen de systèmes de vidéoprotection, janvier 2025, p. 20.
* 14 Avis n° 23-181232 publié le 5 janvier 2024 au Bulletin officiel des marchés publics.
* 15 « Assurant qu'à tout instant le traitement ne fonctionne que sous la supervision des personnes qui le mettent en oeuvre ».
* 16 « 1° Lorsque le traitement algorithmique employé repose sur un apprentissage, des garanties sont apportées afin que les données d'apprentissage, de validation et de test choisies soient pertinentes, adéquates et représentatives. Leur traitement doit être loyal et éthique, reposer sur des critères objectifs et permettre d'identifier et de prévenir l'occurrence de biais et d'erreurs. Ces données font l'objet de mesures de sécurisation appropriées ;
« 2° Le traitement comporte un enregistrement automatique des signalements des événements prédéterminés détectés permettant d'assurer la traçabilité de son fonctionnement ;
« 3° Le traitement permet des mesures de contrôle humain et un système de gestion des risques permettant de prévenir et de corriger la survenue de biais éventuels ou de mauvaises utilisations ;
« 4° Les modalités selon lesquelles, à tout instant, le traitement peut être interrompu sont précisées ;
« 5° Le traitement fait l'objet d'une phase de test conduite dans des conditions analogues à celles de son emploi autorisé par le décret mentionné au V, attestée par un rapport de validation.
« Lorsque le traitement est développé ou fourni par un tiers, celui-ci fournit une documentation technique complète et présente des garanties de compétence, de continuité, d'assistance et de contrôle humain en vue notamment de procéder à la correction d'erreurs ou de biais éventuels lors de sa mise en oeuvre et de prévenir leur réitération. Il transmet également une déclaration, dont les modalités sont fixées par décret, des intérêts détenus à cette date et au cours des cinq dernières années. »
* 17 Décret n° 2023-828 du 28 août 2023 relatif aux modalités de mise en oeuvre des traitements algorithmiques sur les images collectées au moyen de systèmes de vidéoprotection et de caméras installées sur des aéronefs, pris en application de l'article 10 de la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions.
* 18 Dans son avis sur le projet de loi du 22 décembre 2022, l'Assemblée générale du Conseil d'État a rappelé que « les dispositions du projet, compte tenu des enjeux que comporte cette première expérimentation du recours à l'intelligence artificielle pour l'assistance au maintien de l'ordre doivent être interprétées comme réservant l'initiative du développement de ces logiciels à l'État sans interdire de les mettre à disposition de services qui le demanderaient, moyennant le cas échéant rémunération ».