L'autorité espagnole a émis des avertissements préventifs à deux municipalités concernant leurs projets de vidéosurveillance intégrant l'intelligence artificielle. Elle rappelle que la disponibilité d'une technologie ne justifie pas son usage, qui doit être précédé d'une analyse de nécessité et de proportionnalité pour chaque fonctionnalité envisagée, et intégrer les garanties de protection des données dès la conception.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a adressé des avertissements à deux municipalités concernant leurs projets de vidéosurveillance prévoyant des fonctionnalités d'analyse automatisée d'images par intelligence artificielle.

L'affaire trouve son origine dans la fonction préventive de l'autorité, qui a examiné des projets de traitement non encore initiés par deux municipalités, l'un prévoyant la détection ou la reconnaissance faciale, et l'autre la recherche de personnes par caractéristiques physiques ou vestimentaires.

Motifs de la décision

L'autorité a rappelé plusieurs garanties fondamentales à intégrer avant la mise en œuvre de tels systèmes :

• Analyse de la nécessité et de la proportionnalité (article 5 du RGPD): : L'autorité souligne que la simple disponibilité technique d'une fonctionnalité d'identification, de recherche ou de suivi ne justifie pas son utilisation. Le responsable de traitement doit analyser en amont quelles fonctionnalités sont nécessaires à la finalité poursuivie et si leur mise en œuvre est proportionnée, en évaluant cet aspect pour chaque capacité d'analyse automatisée et non globalement pour l'installation des caméras.
• Intégration de la protection des données dès la conception (article 25 du RGPD): : L'autorité rappelle que la protection des données doit être intégrée dès les premières phases du projet, influençant les décisions d'acquisition, de sélection, de configuration et d'implantation des systèmes. Cela implique de déterminer quelles données sont générées par chaque fonction, leur durée de conservation et les personnes habilitées à y accéder.
• Traitement de données à haut risque et de données biométriques (article 9 du RGPD): L'autorité met l'accent sur les risques pour les droits et libertés, qui doivent être évalués via une analyse d'impact relative à la protection des données lorsque le traitement est susceptible d'engendrer un risque élevé. Elle précise que si l'analyse technique révèle un traitement de données biométriques aux fins d'identifier une personne de manière unique, le régime renforcé prévu pour ces données doit s'appliquer et des garanties spécifiques doivent être mises en place.
• Obligation de transparence <(a href="https://app.kortlex.com/fr/rgpd/article-05" target="_blank" rel="noopener noreferrer">article 5 du RGPD): : L'autorité insiste sur le fait que les personnes concernées doivent recevoir une information claire, accessible et compréhensible sur le traitement de leurs données, ses finalités et le rôle joué par le système d'intelligence artificielle.

Décision de l'autorité

En conséquence, l'autorité a adressé des avertissements préventifs aux deux municipalités, conformément à l'article 58, paragraphe 2, point a) du RGPD.

Enseignements

Cette décision rappelle que :

• La justification de l'usage de l'intelligence artificielle en vidéosurveillance doit être effectuée fonctionnalité par fonctionnalité (ex: reconnaissance faciale, recherche par attributs), et non pour le système dans son ensemble.
• L'intégration des principes de protection des données dès la conception est une condition préalable à l'acquisition et au déploiement de telles technologies, et non une simple formalité de mise en conformité a posteriori.
• L'analyse technique préalable doit déterminer précisément si une fonctionnalité constitue un traitement de données biométriques à des fins d'identification unique, car cela déclenche l'application d'un régime juridique renforcé et de garanties spécifiques.