Le Home Office a publié une évaluation de la protection de la vie privée concernant l'utilisation de la reconnaissance faciale en direct (LFR) par l'Immigration Enforcement. Selon le rapport de Biometric Update, le document décrit les risques, les garanties et la supervision humaine. Cette évaluation britannique de la protection de la vie privée relative à la reconnaissance faciale en direct constitue une étape notable en matière de transparence, et elle soulève des questions pratiques sur la manière dont les données biométriques sont traitées et sur ce que les individus peuvent faire à ce sujet.

Cet article s'en tient à ce qu'énonce le résumé de la source. Les informations dont nous disposons sont brèves, nous ne décrivons donc pas le contenu détaillé de l'évaluation au-delà des trois domaines qu'elle nomme : les risques, les garanties et la supervision humaine.

Ce que dit l'évaluation du Home Office

Le document publié est une évaluation de la protection de la vie privée portant sur la reconnaissance faciale en direct de l'Immigration Enforcement. D'après le résumé, il expose trois choses : les risques que pose la technologie, les garanties destinées à limiter ces risques, et le rôle de la supervision humaine.

La reconnaissance faciale en direct diffère de la reconnaissance faciale que la plupart des gens connaissent pour déverrouiller un téléphone. Plutôt que de faire correspondre une personne qui a choisi d'être scannée, la LFR compare les visages capturés dans un espace public à une liste de référence. C'est pourquoi les évaluations de la protection de la vie privée importent : c'est là qu'une organisation expose par écrit pourquoi un déploiement est justifié et comment ses préjudices seront gérés.

Nous n'avons pas vu le texte intégral, nous ne pouvons donc pas dire quels critères spécifiques de liste de surveillance, quelles durées de conservation ou quels lieux de déploiement il décrit. Les lecteurs qui souhaitent ces détails devraient consulter directement l'évaluation publiée.

Comment les garanties et la supervision humaine sont censées fonctionner

Le résumé met en avant la supervision humaine comme l'un des thèmes de l'évaluation. En termes généraux, la supervision humaine dans un système de reconnaissance faciale signifie qu'une personne, et pas seulement un logiciel, participe aux décisions qui affectent quelqu'un. Nous ne pouvons pas confirmer, à partir des informations disponibles, comment le Home Office applique exactement cela, par exemple à quelle étape un humain examine une correspondance.

Ce qu'il convient de surveiller, c'est l'écart entre une garantie écrite et la pratique quotidienne. Une évaluation de la protection de la vie privée décrit des contrôles prévus. Leur efficacité dépend de la formation, de l'audit et de la responsabilité une fois la technologie en usage. Voici des questions qu'il vaut la peine de poser pour tout déploiement de ce type :

  • Qui examine une correspondance possible, et quelle autorité a-t-il pour la rejeter ?
  • Comment les erreurs sont-elles enregistrées et corrigées ?
  • Qu'advient-il des images des personnes qui ne correspondent pas ?
  • Existe-t-il un contrôle indépendant de la performance du système ?

Le résumé ne dit pas comment l'évaluation répond à ces questions, elles restent donc des tests utiles lors de la lecture du document complet.

Quels droits et voies de recours les personnes ont

Le résumé de la source ne détaille pas les droits ni les voies de plainte décrits dans l'évaluation, nous ne les caractériserons donc pas. Au Royaume-Uni, les données biométriques utilisées pour identifier une personne sont traitées comme des données de catégorie particulière en vertu du droit de la protection des données, et l'Information Commissioner's Office publie des orientations sur la reconnaissance faciale et la surveillance. Ces orientations constituent un point de départ raisonnable pour comprendre comment les organisations sont censées justifier ce type de traitement.

Si vous estimez que vos données ont été mal gérées, les voies habituelles consistent à contacter le délégué à la protection des données de l'organisation et, en cas d'insatisfaction, à déposer une plainte auprès de l'ICO. Consultez l'évaluation du Home Office elle-même pour tout point de contact ou processus spécifique qu'elle nomme.

Ce que les VPN et le chiffrement peuvent et ne peuvent pas protéger

C'est ici que les outils de protection de la vie privée atteignent leurs limites. Un VPN chiffre votre trafic internet et masque votre adresse IP. Il ne fait rien pour cacher votre visage dans un lieu public. Une caméra pointée vers une rue ne dépend pas de votre connexion réseau, aucun outil de navigation ne peut donc l'empêcher de capturer et d'analyser votre visage.

La question numérique plus pertinente est ce qu'il advient des données biométriques après leur collecte. Les dossiers sensibles ne sont sûrs que dans la mesure des systèmes qui les stockent, et les organismes publics britanniques ont connu de graves incidents. La couverture d'une fuite sur le dark web de données de 100 000 policiers britanniques montre comment des données personnelles détenues par des institutions publiques peuvent finir par être exposées. Un autre compte rendu décrit comment une violation policière britannique a exposé les données de 100 000 agents dans le cadre d'un schéma plus large. Les défis du secteur public ne se limitent pas non plus au maintien de l'ordre : la violation de l'Université de Nottingham affectant 450 000 dossiers étudiants est un autre exemple de grands ensembles de données compromis.

Ces incidents n'impliquent pas le système de reconnaissance faciale du Home Office, et nous ne suggérons pas que des données y ont été exposées. Ils illustrent pourquoi la sécurité des données devrait accompagner la supervision dans toute discussion sur les systèmes biométriques.

Ce que cela signifie pour vous

Pour la plupart des gens, l'effet immédiat est la prise de conscience. Le Home Office a couché par écrit son raisonnement concernant la reconnaissance faciale en direct de l'Immigration Enforcement, ce qui donne au public et aux chercheurs quelque chose de concret à examiner. Un VPN ne changera rien au fait que votre visage soit scanné en public, mais vous pouvez toujours contrôler votre empreinte numérique, et vous pouvez demander des comptes aux institutions sur la manière dont elles sécurisent et limitent l'utilisation des données sensibles.

Points clés à retenir

  • Lisez l'évaluation publiée elle-même, car le résumé ne nomme que les risques, les garanties et la supervision humaine.
  • Jugez tout déploiement de LFR sur la manière dont les garanties fonctionnent en pratique, et pas seulement sur le papier.
  • Rappelez-vous qu'un VPN protège le trafic réseau, pas votre visage dans les espaces publics.
  • Renseignez-vous sur vos droits en matière de protection des données et sur la manière de vous plaindre auprès de l'ICO si nécessaire.
  • Suivez la couverture des violations policières britanniques liée ci-dessus pour comprendre pourquoi un stockage sécurisé importe autant que la politique.

L'évaluation britannique de la protection de la vie privée relative à la reconnaissance faciale en direct est un pas vers la transparence. Sa valeur dépendra de la fidélité de la pratique réelle à ce qu'elle promet, et de la qualité de la protection des données concernées.