L'autorité danoise de protection des données a prononcé une critique sévère à l'encontre d'une municipalité pour son usage d'un système d'intelligence artificielle en maison de retraite, mené sans analyse d'impact ni évaluation des risques suffisamment spécifique.

Faits et contexte

L'autorité danoise de protection des données (Datatilsynet) a publié une décision prononçant une critique sévère à l'encontre de la municipalité de Faaborg-Midtfyn pour des manquements liés à l'utilisation d'un système d'intelligence artificielle (IA) dans une maison de retraite.

L'affaire trouve son origine dans un contrôle initié d'office par l'autorité en janvier 2026, dans le cadre de son programme de surveillance de l'usage de l'IA pour le suivi des personnes prises en charge. La municipalité avait déployé, pour une période d'essai de six mois et auprès de 18 résidents, un système de surveillance basé sur l'IA visant à analyser les schémas de mouvement via des capteurs et des caméras pour accroître la sécurité, prévenir les chutes et assister le personnel soignant.

Motifs de la décision

• Obligation d'assurer un niveau de sécurité adapté au risque (article 32 du RGPD, article 5, paragraphe 1, point f, article 5, paragraphe 2, et article 24, paragraphe 1) : L'autorité a constaté que l'évaluation des risques réalisée par la municipalité était trop générale. Elle se contentait d'énumérer des menaces génériques sans analyser les risques concrets que le traitement par la solution d'IA faisait peser sur les droits et libertés des résidents. De plus, la municipalité avait classé l'ensemble des menaces comme présentant un "risque faible" sans fournir de justification, manquant ainsi à son obligation de démontrer qu'elle avait mis en place un niveau de sécurité approprié aux risques réels du traitement.
• Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : L'autorité a jugé qu'une analyse d'impact aurait dû être effectuée avant la mise en service du système. Elle a fondé sa conclusion sur la combinaison de plusieurs facteurs : l'utilisation d'une nouvelle technologie (IA et analyse vidéo), le traitement de données sensibles (informations sur la santé et les habitudes de vie) et le fait que les personnes concernées étaient des personnes vulnérables. Le caractère temporaire du projet (période d'essai de six mois) ne dispense pas le responsable du traitement de cette obligation préalable.
• Obligation de disposer d'une base juridique appropriée (article 6 du RGPD et article 9 du RGPD) : La municipalité invoquait des dispositions générales de la loi sur les services sociaux et de la loi sur les personnes âgées comme base juridique nationale complémentaire (article 6, paragraphe 1, point e). L'autorité a estimé que ces dispositions générales n'étaient pas suffisamment claires et précises pour fonder un traitement aussi spécifique et potentiellement intrusif. Elle a relevé qu'une législation plus spécifique sur les technologies de bien-être au service de la sécurité existait mais n'avait pas été considérée par la municipalité.

Décision de l'autorité

En conséquence, l'autorité a prononcé une critique sévère à l'encontre de la municipalité de Faaborg-Midtfyn.

Enseignements

Cette décision rappelle que :

• Une évaluation des risques doit être concrète et spécifique au traitement envisagé, et non se contenter d'énumérer des menaces génériques ; toute classification du niveau de risque doit être dûment justifiée.
• Le déploiement d'une nouvelle technologie pour traiter des données sensibles concernant des personnes vulnérables rend obligatoire la réalisation d'une analyse d'impact, y compris pour une période d'essai ou un projet pilote à durée limitée.
• La base juridique pour le traitement par une autorité publique, notamment lorsqu'il implique des technologies intrusives comme l'IA, doit être suffisamment claire et précise ; des dispositions légales générales relatives à une mission de service public peuvent s'avérer insuffisantes.