L'Information Commissioner's Office (ICO) du Royaume-Uni a demandé aux forces de police utilisant la technologie de reconnaissance faciale de suivre plus étroitement ses recommandations en matière de protection des données, alors que cette technologie devient une pratique courante dans le pays. L'intervention de l'autorité de contrôle signale une préoccupation croissante quant au fait que le rythme de déploiement de la reconnaissance faciale dépasse les garde-fous censés protéger les données personnelles qu'elle collecte.

La technologie de reconnaissance faciale, souvent déployée sous forme de reconnaissance faciale en direct (LFR) lors d'événements publics, dans les centres-villes, ou via des recherches rétrospectives dans les images de garde à vue, fonctionne en scannant les visages en temps réel ou à partir de séquences vidéo, puis en les comparant aux listes de surveillance de la police. Comme elle traite des données biométriques — l'une des catégories les plus sensibles au titre de la législation britannique sur la protection des données — toute erreur dans la manière dont ces données sont collectées, stockées ou partagées comporte un risque de confidentialité disproportionné. L'appel de l'ICO à une gouvernance renforcée reflète une réalité simple : des outils de surveillance puissants exigent des structures de responsabilisation tout aussi puissantes derrière eux.

Ce que l'ICO demande à la police de faire

En tant qu'autorité indépendante de protection des données du Royaume-Uni, l'ICO est habilitée à examiner la manière dont les organismes publics, y compris les forces de police, traitent les informations personnelles au titre du RGPD britannique et de la loi sur la protection des données (Data Protection Act). Ses dernières recommandations à la police portent sur la gouvernance des données : documentation claire des raisons pour lesquelles la reconnaissance faciale est utilisée, durée de conservation des données biométriques, personnes ayant accès aux listes de surveillance, et modalités d'examen ou de contestation des décisions prises à l'aide de cette technologie.

Il ne s'agit pas d'une demande d'abandon total de la reconnaissance faciale. L'ICO demande plutôt aux forces de police de mettre en place des contrôles internes qui rendent l'utilisation de cette technologie transparente et défendable, tant auprès du public que des régulateurs. Une gouvernance solide signifie moins d'occasions pour les données d'être mal gérées, conservées plus longtemps que nécessaire, ou utilisées au-delà de leur finalité initiale.

Pourquoi la gouvernance des données importe plus que la technologie elle-même

Il est facile de se concentrer sur la précision ou l'équité des algorithmes de reconnaissance faciale, mais l'accent mis par l'ICO sur la gouvernance pointe une vulnérabilité différente : ce qui arrive aux données une fois collectées. Les identifiants biométriques ne peuvent pas être modifiés comme un mot de passe. Si les données de reconnaissance faciale sont stockées de manière non sécurisée, partagées sans autorisation appropriée, ou conservées indéfiniment, les conséquences d'une violation ou d'un mésusage sont bien plus graves qu'une simple fuite d'adresse e-mail.

Cette préoccupation n'est pas hypothétique pour la police britannique. Les données sensibles des forces de l'ordre ont déjà prouvé leur attrait pour les attaquants. La fuite de 1,9 Go par ExfilSquad depuis la base de données juridiques nationales de la police (Police National Legal Database) a montré que même les systèmes destinés à la référence juridique interne peuvent devenir une cible et un passif lorsque la gouvernance est défaillante. Les bases de données de reconnaissance faciale, qui centralisent des enregistrements biométriques hautement sensibles liés à des identités réelles, représenteraient une cible encore plus précieuse si des lacunes similaires dans les pratiques de sécurité devaient persister.

Les risques liés à la centralisation de données personnelles sensibles à grande échelle se sont également manifestés bien au-delà du domaine policier. Le piratage de la UK Biobank touchant 500 000 volontaires a démontré comment de grands référentiels de données personnelles, même constitués à des fins de recherche légitimes, peuvent finir exposés et vendus si les protections ne suivent pas l'ampleur de la collecte. Les systèmes de reconnaissance faciale de la police sont confrontés à un défi comparable : plus il y a de visages ajoutés aux listes de surveillance et aux bases de données, plus les répercussions potentielles de toute défaillance de gouvernance sont importantes.

L'historique des sanctions souligne également pourquoi l'ICO intervient de manière précoce plutôt qu'après coup. L'amende de près d'un million de livres sterling infligée à South Staffordshire Water à la suite d'une violation ayant exposé des centaines de milliers de dossiers clients rappelle que l'ICO agit lorsque les organisations ne respectent pas leurs obligations en matière de protection des données, et que les défaillances de gouvernance des données de reconnaissance faciale pourraient avoir des conséquences similaires pour les forces de police.

Ce que cela signifie pour vous

Si vous vivez, travaillez ou assistez à des événements dans des zones où la police déploie la reconnaissance faciale, cette technologie peut déjà traiter vos données biométriques à votre insu, car la reconnaissance faciale en direct scanne généralement toutes les personnes se trouvant dans le champ de la caméra, et non seulement celles figurant sur une liste de surveillance. La pression de l'ICO en faveur d'une meilleure gouvernance vise en définitive à garantir que ce balayage soit proportionné, limité dans le temps et responsable, plutôt qu'une capacité de surveillance sans limite.

Pour la plupart des gens, la conclusion pratique est que la supervision de la reconnaissance faciale rattrape encore son déploiement. Cet écart signifie qu'il vaut la peine de prêter attention à la manière et aux endroits où ces systèmes sont utilisés dans votre région, et de soutenir les demandes de transparence concernant les durées de conservation, les critères des listes de surveillance et les audits indépendants.

Points clés à retenir

  • La reconnaissance faciale traite des données biométriques, l'une des catégories de données personnelles les plus sensibles au titre de la législation britannique, ce qui rend les défaillances de gouvernance plus lourdes de conséquences qu'une mauvaise gestion de données typique.
  • Les recommandations de l'ICO se concentrent sur la documentation, les limites de conservation et la responsabilisation, et non sur l'interdiction pure et simple de la technologie.
  • Les bases de données centralisées, qu'elles soient biométriques, juridiques ou médicales, ont à plusieurs reprises prouvé leur attrait pour les attaquants lorsque la sécurité et la gouvernance sont en retard sur la collecte de données.
  • Les membres du public peuvent exiger de leurs forces de police locales la transparence concernant les déploiements de reconnaissance faciale et les pratiques de conservation, et signaler leurs préoccupations directement à l'ICO si les protections semblent insuffisantes.

À mesure que la reconnaissance faciale s'installe de manière plus permanente dans le travail policier britannique, la solidité de sa gouvernance des données — et non seulement sa précision technique — déterminera si la technologie gagne la confiance durable du public.