Next INpact diffuse le courrier adressé par la CNIL à Saint-Étienne Métropole. À l’origine de cet avertissement, la volonté de déployer des micros pour capter les sons ambiants. Entre sécurité publique et rêve de tranquillité urbaine, cette audiosurveillance n’a pas été du goût de l’autorité indépendante.
En cas d’alerte, les équipes auraient en effet été à même de diriger les caméras vers les points d’attention, voire de déclencher une intervention sur place (police, pompiers, SAMU, etc.). Meilleure allocation des ressources pour les uns, projet orwellien pour les autres.
Révélée par Télérama, cette missive fait suite à un contrôle sur pièces et une audition des représentants de l'agglomération stéphanoise. L’enjeu ? Vérifier la conformité de ces oreilles électroniques avec le fameux RGPD (notre analyse ligne par ligne des 99 articles). La CNIL l’annonce d’entrée : l'entité écope d’un avertissement, les traitements étant susceptibles de violer ce socle normatif.
Dans les six pages du courrier diffusé ci-dessous, Marie-Laure Denis, présidente de la commission, va en expliquer les raisons. Mais avant, elle relève que le dispositif est calibré pour capter de manière indifférenciée « les sons émis sur la voie publique, y compris des sons de basse intensité tels que les sons de bombes aérosol, de bris de verre ou de crépitement ». Et nécessairement, tombent dans ces filets auditifs, « les voix et conversations des personnes se situant dans la zone couverte ».
La voix est une donnée personnelle, sa collecte, un traitement
Problème. La voix est une donnée personnelle. Et pour cause, le RGPD a une définition très vaste de cette notion, à savoir « toute information se rapportant à une personne physique identifiée ou identifiable ».
Sachant en outre qu’« est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».
Certes, il est parfois difficile d’identifier une personne par ce biais. Cependant, associé comme ici avec un système de caméra de surveillance (la « vidéoprotection » chère à la LOPPSI), un son « peut permettre in fine cette identification ».
Pour justifier un peu plus l’emprise « RGPDienne », la CNIL constate l’existence d’un traitement sur ces données personnelles, soit la deuxième condition d’application du texte européen : une collecte puis une analyse algorithmique pour déterminer la nature des sons et les comparer avec une base de modèles.
Pas d’ « intérêt légitime » pour les autorités publiques
Pour justifier cette surveillance destinée à « améliorer la tranquillité publique », Saint-Étienne Métropole s’est hasardée à s’appuyer sur « l’intérêt légitime ».
Avec le consentement, celui-ci est l’une des autres voies permettant de justifier un traitement de données personnelles. Cependant, la CNIL rappelle qu’elle ne peut être invoquée par les autorités publiques, comme le prévoit expressément le règlement.
L’autorité estime néanmoins que la ville pourrait probablement s’appuyer sur une autre justification, à savoir l’exécution d’une mission d’intérêt public ou mieux, sur la directive du 27 avril 2016, relative à la prévention et à la détection des infractions pénales. Mais ces suggestions toutes théoriques sont rapidement réduites à néant tant est intrusif le projet stéphanois : au regard des risques générés par cette captation indifférenciée, il est inévitable de passer par une loi spécifique.
Une captation continue et indifférenciée
Voilà en effet une captation « continue, systématique et indifférenciée des sons dans l’espace public [qui] peut dès lors capter des conversations privées ».
L’autorité devine des risques « substantiels pour les libertés individuelles ». Mieux, le couplage avec les caméras de surveillance « conduit à renforcer l’intrusivité du système et du niveau de surveillance dont fait l’objet la population vivant, circulant ou travaillant dans la zone concernée ».
« Ce risque d’atteinte au droit au respect de la vie privée est d’autant plus important, poursuit-elle, qu’aucune garantie technique ou juridique ne permet de prévenir, de manière suffisante, une écoute en direct des sons ou un enregistrement de ceux-ci ».
Pire encore, peuvent alors être aspirées des données sensibles comme les opinions politiques, les convictions religieuses ou les orientations sexuelles des personnes.
Une population épiée, des habitudes modifiées
Avant de conclure par un feu rouge, la CNIL remarque enfin que ces outils de surveillance peuvent raboter d’autres droits fondamentaux, comme la liberté d’expression, de réunion, de manifestation, d’association et d’aller et venir. « Les personnes concernées peuvent être amenées à altérer leur comportement par exemple en censurant eux-mêmes leurs propos tenus sur la voie publique ou encore en modifiant leur déplacement, voire leur résidence ou leur lieu de travail, pour éviter les zones d’installation des capteurs sonores ».
