Article repris depuis StreetPress

« Ça donne l’impression que la reconnaissance faciale devient la procédure standard pour un contrôle d’identité »

« Cela fait plusieurs fois que des personnes nous disent qu’elles se sont fait photographier en manifestation, dans des ZAD ou des squats », annonce avec inquiétude la Quadrature du Net. Dernier exemple en date pour l’association de défense des libertés en ligne : l’expulsion du squat le Marbré, le 27 février dernier à Montreuil (93). Lors de l’intervention policière – due « au non-respect des consignes sanitaires » suite à l’organisation d’une cantine solidaire au sein du lieu alternatif –, les fonctionnaires ont utilisé la reconnaissance faciale, selon un texte de soutien publié sur le média alternatif et collaboratif Indymedia Nantes :

« Certaines personnes ont été identifiées après avoir refusé de décliner leur identité. Les keufs les ont photographiés et comparés leurs photos via un système de reconnaissance faciale. »

Le TAJ, seul outil de reconnaissance faciale autorisé

En France, le débat sur la reconnaissance faciale a été relancé avec la crise sanitaire. À Cannes, pendant le confinement, la mairie souhaitait vérifier si les habitants portaient bien un masque en se rendant au marché. Projet refusé par la Commission nationale informatique et libertés (Cnil). Depuis 2012, la seule reconnaissance faciale autorisée par un décret est celle effectuée par la police pour l’utilisation du traitement des antécédents judiciaires : le Taj – qui rassemble des anciens fichiers de police et de gendarmerie (le Stic et le Judex). On y trouve des personnes mises en cause dans des affaires pénales mais aussi des victimes de ces infractions ou des personnes suspectées et non condamnées. Soit environ 19 millions de personnes recensées, dont huit millions avec photos [1], d’après un rapport de l’Assemblée nationale de 2018. 87 millions d’affaires y sont également répertoriées.

Le fichier est consulté dans le cadre d’enquêtes judiciaires et administratives. La reconnaissance faciale s’y fait par comparaison entre deux photographies grâce au logiciel allemand Cognitec. Le Taj (et sa reconnaissance faciale) a par exemple été utilisé après l’attentat au couteau du terroriste français d’origine tchétchène Khamzat Azimov en mai 2018. Une fois tué, les policiers ont photographié son visage et le Taj les a informés de son identité et de sa fiche S, comme l’avait décrit Le Parisien. Selon l’infraction, les données personnelles restent dans le fichier entre cinq et 40 ans.

Comment ça marche ?

Le Taj n’est accessible que sur les ordinateurs de police, par tous les agents. Sur l’agrégat d’applications à leur disposition, chaque bleu se connecte avec son compte perso et peut accéder au Taj. Dans le fichier se trouve une option pour identifier quelqu’un avec une photo. Cette dernière peut être prise via leur smartphone Neo (les téléphones professionnels de la police et de la gendarmerie). Depuis novembre 2019 et une mise à jour de Cognitec, les images peuvent aussi provenir de vidéosurveillances ou des réseaux sociaux « ne présentant pas les mêmes critères que les photos anthropométriques [les photos d’identité] », explique le député LREM Stéphane Mazars dans un rapport d’octobre 2020. « Il faut quasiment que ce soit une photo d’identité et avoir la personne en gros plan, sinon la reconnaissance faciale ne marche pas », tempère le gardien de la paix vingtenaire.

Une fois la photo téléchargée dans l’application, le Taj propose un ou plusieurs résultats d’identités possibles. « C’est rapide », assure le gardien de la paix. « Une fois que la personne a été identifiée, le policier a son identité et tous ses antécédents judiciaires. Il peut utiliser ses informations pour nourrir son enquête », explique un brigadier de police parisien. Aucune photo n’est rajoutée au dossier. Par contre, les infractions pour lesquelles la personne a été verbalisée sont intégrées aux antécédents judiciaires. « Mais pour cela, il faut une constatation d’infraction, une verbalisation ou un placement en garde à vue ou plus », continue le brigadier.

Pour consulter l’application, le policier est « obligatoirement formé », selon le Service d’information et communication de la police (SiCop). La com’ concède toutefois que la formation est « très rapide ». Un gardien de la paix nordiste d’une vingtaine d’années précise :

« Tu vois ça à l’école de police mais très sommairement. C’est après, une fois en fonction, qu’on t’apprend tout ce que tu peux faire avec. »

En dehors de cela, il n’a eu aucun module de formation.

Quand est-ce utilisé ?

De l’avis du SiCop, la reconnaissance faciale dans le Taj est « très fantasmée ». D’ailleurs, selon la com’, ce ne serait pas « une reconnaissance faciale à proprement parler », mais plutôt « un rapprochement par l’image » qui n’est « qu’un outil d’aide à l’enquête ». Elle peut être utilisée dans tout le cadre de l’investigation « sauf pour un contrôle d’identité », professe la com’ policière. Sur le terrain, les policiers s’en servent surtout pour les vérifications d’identités, selon le gardien de la paix anonyme. « Si quelqu’un ne te donne pas son identité, tu le ramènes en vérification au commissariat par exemple. Là, tu vas chercher son identité par tous les moyens possibles », lance-t-il. Les photos sont faites à ce moment-là, en bonne qualité.

Lors de l’expulsion du Marbré, les policiers ont également pu prendre des photos, les envoyer à un collègue au commissariat qui a pu interroger le fichier pendant que les squatteurs étaient encore contrôlés par les forces de l’ordre, selon le journaliste Olivier Tesquet, spécialisé dans les questions de surveillance technologique et auteur du livre À la trace : enquête sur les nouveaux territoires de la surveillance. Une hypothèse complétée par un capitaine de police parisien :

« De vous à moi, c’est plutôt limite mais ça passe. »

Le SiCop précise que la reconnaissance faciale ne peut « pas se faire en direct » mais obligatoirement a posteriori. « Nous ne savons pas pourquoi il y a cette distinction », estime la Quadrature du Net. L’association de défense des libertés en ligne se questionne :

« Quand on y réfléchit, pourquoi ça serait moins grave ? On ne sait pas si les policiers font de la reconnaissance faciale a posteriori, il n’y a pas de précisions dans le décret. Et nous ne voyons pas la différence entre une reconnaissance faciale en temps réel ou dix minutes après. »

Une utilisation illégale ?

En 2019, la police a utilisé le Taj pour faire de la reconnaissance faciale 375.000 fois. Pour les six premiers mois de l’année 2020 : plus de 200.000 fois. Cela fait plus de 1.000 traitements par jour partout en France. Des chiffres et une utilisation qui inquiètent le journaliste Olivier Tesquet :

« Ça donne l’impression que la reconnaissance faciale devient la procédure standard pour un contrôle d’identité. »

Mais depuis 2018 et la loi Informatique et Libertés – qui a transposé la directive européenne « Police-Justice », la cousine du RGPD –, le traitement de toutes données biométriques (et donc le visage) ne doit être réalisé qu’en cas de « nécessité absolue ». Une notion mise à mal par les chiffres d’utilisation du Taj et l’usage des policiers sur le terrain. C’est d’ailleurs sur ce concept que repose le recours de la Quadrature du Net devant le Conseil d’Etat à l’été 2020 contre la reconnaissance faciale dans le Taj. « C’est la seule fois dans un texte français ou européen qu’il y a cette notion de nécessité absolue. Nous disons au Conseil d’État que, selon ce texte, si on fait de la reconnaissance faciale, il faut un cadre approprié. Là, pour le Taj, il y a juste deux phrases dans le décret de 2012, ça ne va pas. Il faut que la police prouve qu’elle a absolument besoin de la reconnaissance faciale du Taj pour remplir sa mission. » Le Conseil d’État devrait faire un retour d’ici l’été prochain.

Un contrôle léger

En théorie, les policiers qui utilisent le Taj sont « obligés de le justifier dès que la hiérarchie le demande », d’après le brigadier francilien. Sauf qu’ils ne sont pas tenus de détailler l’initiative. Certains savent qu’ils sont limite. « Pas vu, pas pris », lâche le brigadier. D’autres, comme ce gardien de la paix, ne connaissent pas forcément les règles d’usage :

« J’imagine que, comme tous nos fichiers, ça doit être contrôlé, donc si tu as la possibilité de le faire, tu dois avoir le droit. Après, est-ce qu’il y a une procédure, est-ce qu’il faut demander quelque chose ? Honnêtement, je n’en sais rien. »

D’après l’agent, pour savoir si la procédure est utilisée correctement, il faut se tourner vers… La CNIL : « Vu que l’on utilise des photos, s’il y a des gens au courant, c’est forcément eux ». Contactée, la CNIL indique que la reconnaissance faciale « est strictement encadrée par la directive Police-Justice » (et la loi Informatique et Libertés). Et donc par la notion de « nécessité absolue ». L’organisme souhaite également un débat pour déterminer « dans quels cas la reconnaissance faciale est nécessaire dans notre société démocratique, et ceux dans lesquels elle ne l’est pas. » Quant à l’utilisation au sein du Marbré, la commission ne peut se prononcer « dans la mesure où nous ne savons pas ce qui a été utilisé ».