Thread by @EstelleDeMarco

Je suis fascinée par la facilité avec laquelle l'UE réussit à imposer la reconnaissance biométrique sous couvert de protection des libertés fondamentales, alors même que la démarche conduit à nier ces libertés. (Thread) #Biométrie #ReconnaissanceFaciale

https://twitter.com/DoraCrisan/status/1542841795297640450

Les références correspondant à ce qui suit peuvent être trouvées dans un rapport relatif aux impacts des technos biométriques sur les libertés & l’État de droit (cc @aeris22) disponible ici extranet.greens-efa-service.eu/public/media/f…. J'indiquerai chaque fois la page concernée entre [crochets].

L'UE a progressivement imposé l'utilisation d'ID biométriques dans les visas, passeports puis cartes d'identité. L'objectif de contrôle des migrations s'est étendu à d'autres comme la prévention des menaces à la sécu intérieure, du terrorisme, la coopération policière [p.34 & 70]

Ce rôle de l'UE dans le développement de la biométrie est souvent présenté comme une réponse à la pression des USA au nom de la lutte c/ le terrorisme. Or les chercheurs Whitley & Hosein montrent que ce n'est pas le cas, les USA n'exigeaient qu'une photo dans une puce. [p.38]

Ils montrent que l'UE sert donc surtout une politique locale visant à dresser registre des ID biométriques des résidents. Ils donnent un nom à la pratique des États d'empêcher le débat national en passant par des règlements UE d'applic. directe : le "blanchiment politique" [p.38]

Aujourd'hui, les systèmes d'information qui supportent la législation européenne rassemblent plus de 53 millions d'info biométriques de citoyens, résidents et voyageurs (systèmes VIS, SIS I et II, ECRIS, ETIAS, EES, EURODAC - gérés par eu-LISA). [p.34]

Les softwares utilisés sont pour certains fournis par des entreprises américaines (ex. de Microsoft) et par IDEMIA - entreprise dénoncée par Amnesty International pour avoir exporté vers la Chine des technologies européennes de surveillance [p.34 - et lemonde.fr/pixels/article…

Ces systèmes utilisent par ailleurs un système d'identification automatique d'empreinte digitale (AFIS), dont il est attendu qu'il embarque la reconnaissance faciale en composante essentielle et base un futur service de reconnaissance faciale partagée entre les Etats [p.34]

L'interop. des systèmes est organisée par 2 règlements UE (2019/818 et /817), permettant une "vaste base de données biométriques" couvrant tous les États membres, à laquelle les services de sécurité et de police ont accès pour des objectifs qui ne cessent de s'étendre. [p.34]

Pour finir sur les titres, notons que si le règlement UE impose la suppression des ID biométriques une fois la CI émise, les États peuvent les conserver pour un traitement "nécessaire et proportionné"- notions aujourd'hui utilisées en roue libre ...

... dans la plupart des PIA (Études d'impact sur la vie privée - méthode CNIL incluse). Plusieurs États de l'UE ont saisi cette opportunité pour se constituer une base nationale d'ID biométriques, ce qu'ils n'auraient pas pu faire aussi facilement sans cette obligation UE. [p.34]

Rappelons en effet par exemple qu'en 2012, 120 parlementaires français se sont opposés à une carte d'identité biométrique, car elle portait "en germe la destruction pour l'avenir des possibilités d'exercice effectif du droit fondamental de résistance à l'oppression, ...

... corollaire indispensable de la liberté individuelle elle-même" - conseil-constitutionnel.fr/les-decisions/…. Malgré cette opposition, la base de donnée a été créée en 2016 par décret - évitant ainsi que le Parlement soit tenté de jouer son rôle de contre-pouvoir [p.110]

https://twitter.com/EstelleDeMarco/status/1532453366168797202

Le contrôleur européen à la protection des données (EDPS) lui-même a demandé que soient réévaluées la nécessité et la proportionnalité de la proposition de règlement sur les titres d'identité, avant son adoption. Ce qui n'a eu aucun effet sur cette adoption. [p.71]

Des ONG ont également demandé, en 2021, un arrêt sur image afin de repenser la politique UE concernant Eurodac, expliquant que la Commission européenne avait échoué à démontrer que la capture d'images faciales passe avec succès les tests de nécessité et proportionnalité. [p.71]

Et en effet : une donnée biométrique est éminemment sensible. La CNIL et des parlementaires français ont rappelé qu'elle permet à tout moment l'identification d'une personne sur la base d'une réalité biologique qui est permanente (conseil-constitutionnel.fr/les-decisions/…). [p.97]

Pourtant, les risques d'usurpation & d'erreur ne sont pas résiduels [p.97, 105-106], entraînant le risque d'un renversement de la charge de la preuve et un "cauchemar sur le plan de la sécurité" pour la personne concernée, à vie puisque la donnée est irrévocable. [p.97, 107, 108]

Ceci, dans un contexte où les utilisations abusives et contrôles arbitraires peuvent être invisibles [p.97, p.109], et où la mauvaise gestion par le secteur public de bases de données contenant des informations personnelles a déjà été démontrée. [p.108, 136]

Sur les risques d'erreur en particulier, Thales reconnaît 30 % de succès pour les empreintes (thalesgroup.com/en/markets/dig…), tandis que l'efficacité du système de reconnaissance faciale utilisé à Londres semble être de 19% (

https://twitter.com/EstelleDeMarco/status/1532419215289982978

)

La reconnaissance biométrique est donc loin d'être en soi un gage de "sécurité" pour la société ou l'individu concerné. Sachant que le souhait de faire primer la sécurité sur les libertés est lui-même une absurdité conceptuelle

https://twitter.com/EstelleDeMarco/status/1532397522316054529

Pour aller plus loin sur le terrain des libertés fondamentales menacées par le traitement d'une donnée biométrique, citons le droit à la vie privée [p.102], qui garantit le fonctionnement démocratique de la société en protégeant la dignité et l'auto-détermination [p.62s, 103].

la liberté d'expression, de réunion [p.103], le droit absolu d'avoir une conviction [p.104] & le droit de résister à l'oppression, dont la suppression entraîne celle de la démocratie, particulièrement dans un contexte de contournement des contre-pouvoirs démocratiques [p.63, 109]

et de "prise de décision paternaliste dans les meilleurs intérêts d'autrui", consistant à ignorer les "souhaits et préférences" des personnes qui sont en position de donner leur opinion (CEDH hudoc.echr.coe.int/eng?i=001-1721…). Les exemples pratiques de ce constat sont nombreux. [p.110]

La proposition de règlement UE sur l'IA en est un exemple. Malgré de nombreuses contestations argumentées [p.40], la CE organise la possibilité, pour les États, de mettre en œuvre la reconnaissance faciale sur la voie publique (sous couvert de l'encadrer) [p.71, p.94].

En conséquence, "nécessité" et "proportionnalité" de l'utilisation d'ID biométriques doivent être rigoureusement démontrées. Ce sont en effet les deux conditions de toute atteinte aux libertés [p.64s.]. Sur leur raison d'être je me permets de renvoyer ici

https://twitter.com/EstelleDeMarco/status/1386649244203945986

(Nécessité, part I) - Pourtant, la Commission Européenne et les États n'ont pas démontré le besoin de recourir à la collecte généralisée d'id biométriques et à leur reconnaissance sur la voie publique dans le combat contre la criminalité ou la fraude. [p.95]

(Nécessité, part II) - Ils n'ont démontré ni l'efficacité de ces mesures, ni leur valeur ajoutée par rapport à des mesures alternatives, alors que des démonstrations contraires ont été apportées, notamment par le Groupe Article 29 (aujourd'hui CEPD). [p.95-96]

(Proportionnalité, part I) - Il n'a pas été démontré que (1) la rétention des id biométriques de l'ensemble de la population et (2) leur reconnaissance sur la voie publique, ceci avant toute tentative de commission d'infraction, "ne vont pas plus loin que nécessaire" [p.96-97] ..

... pour atteindre les objectifs de lutte contre la criminalité et la fraude. En particulier dans un contexte ou cette lutte était déjà effective avant ces mesures (qui sont rappelons-le extrêmement intrusives).

(Proportionnalité, part II) - les textes qui créent ces mesures n'apportent pas de "garanties" suffisantes, permettant d'assurer une minimisation EFFECTIVE des traitements et des atteintes aux droits des personnes (encadrement, pouvoir des autorités de protection...). [p.100s.]

(Proportionnalité, part III) - Parmi ces garanties doit figurer une "base légale" claire, assurant
transparence et prévisibilité. Celles qui fondent les textes dont nous parlons, règlements UE inclus (fondés sur des articles du TFUE), sont plus que douteuses. [p.97 & 169]

Conclusion : la conservation généralisée d'ID biométriques et la reconnaissance faciale sur la voie publique échouent, à ce stade, aux tests de nécessité et de proportionnalité. Dans ces conditions, aucune démocratie libérale ne peut les mettre en œuvre.

https://twitter.com/EstelleDeMarco/status/1386652187326128129

Cela a notamment été rappelé, concernant la proposition de règlement sur l'IA, par les Nations-Unies, le Parlement européen, l'EDPB, l'EDPS, des ONG et plus de 70k personnes dans le cadre du mouvement "reclaim your face" (reclaimyourface.eu). [p.40]

nb pour les juristes : je considère effectivement l'exigence de base légale comme une composante de l'exigence de proportionnalité, même s'il s'agit aussi d'un principe autonome. Cette manière de le présenter est en outre plus facile à suivre, selon moi, pour les non-experts.

Il me démange de ponctuer par... . Mais je me rappelle Noël Chahid-Nourai (ancien membre CNIL) : "il ne faut pas hésiter à écrire. Il ne faut pas hésiter à se plaindre" (Secret et nouvelles technologies, Les petites affiches, n° 122, 20 juin 2001, p. 25s).

Approche apparemment partagée par le TJ de Nanterre dans son jugement "Mediapart" du 6 juillet 2022 (p.11, mediapart.fr/journal/france…) : "Cette ingérence [...] n’a aucune base légale prouvée, ce qui emporte en soi sa disproportion".