Améliorer la protection des commerçants grâce à l’usage d’outils numériques

Le présent amendement vise à sécuriser le régime de protection applicable aux données issues des technologies de vidéosurveillance algorithmique, compte tenu de la sensibilité particulière de ces traitements et des risques élevés qu’ils font peser sur le droit au respect de la vie privée.

Le principe d’un stockage, d’un hébergement et d’un traitement exclusivement internes garantit une maîtrise complète de la chaîne de traitement, une traçabilité intégrale des accès et une responsabilisation accrue des responsables de traitement, réduisant ainsi significativement les risques de fuite, de détournement ou d’usage abusif des données.

L’ouverture d’une dérogation strictement exceptionnelle, limitée aux seules hypothèses de risque grave et imminent pour la sécurité des systèmes d’information ou la continuité du service, permet de préserver tant la constitutionnalité que la conventionnalité du dispositif et de concilier la nécessité d’une protection accrue de ces données à l’opérabilité du déploiement de ces technologies.

Compléter cet article par les cinq alinéas suivants :

« Les données à caractère personnel issues des traitements mis en œuvre en application du présent article sont exclusivement stockées, hébergées et traitées en France, au moyen de systèmes d’information internes placés sous le contrôle direct, permanent et effectif du responsable du traitement.

« Par dérogation, le recours à un prestataire tiers pour l’hébergement ou le traitement de tout ou partie de ces données ne peut être autorisé qu’à titre exceptionnel, lorsqu’il est strictement indispensable pour prévenir un risque grave et imminent d’atteinte à la sécurité des systèmes d’information ou pour assurer la continuité du service, et à condition qu’aucune solution interne ne permette d’atteindre un niveau de sécurité équivalent.

« Dans ce cas, le prestataire ne peut agir que sur instruction documentée du responsable du traitement, sans accès autonome aux données, lesquelles demeurent placées sous le contrôle exclusif de ce dernier.

« Tout transfert, direct ou indirect, de ces données vers un État non membre de l’Union européenne est interdit.

« Les conditions d’application du présent alinéa sont précisées par décret en Conseil d’État pris après avis public et motivé de la Commission nationale de l’informatique et des libertés. »

Le présent amendement vise à renforcer les garanties encadrant la conservation et la transmission des données issues des technologies d’analyse automatique des images mises en œuvre dans le cadre des dispositifs de vidéosurveillance algorithmique, en limitant strictement leur transmission aux seules hypothèses de réquisition judiciaire et en prévoyant leur suppression dans un délai restreint, en accord avec les recommandations de la CNIL.

En subordonnant toute transmission à l’existence d’une réquisition judiciaire, le présent amendement garantit un contrôle effectif par l’autorité judiciaire, seule légitime pour apprécier la nécessité et la proportionnalité de l’atteinte portée aux droits fondamentaux.

La fixation d’un délai maximal de conservation de quarante-huit heures en l’absence d’événement, et de soixante-douze heures en cas d’incident, assure une minimisation stricte des données, au sens de l’article 5 du RGPD, tout en tenant compte des contraintes opérationnelles inhérentes à la qualification des faits et au déclenchement éventuel de la procédure pénale.

L’effacement intégral et irréversible des données en l’absence de réquisition dans ces délais garantit une protection maximale contre toute conservation excessive, détournement de finalité ou usage abusif.

Compléter cet article par les quatre alinéas suivants : 

« Les données à caractère personnel issues des traitements mis en œuvre en application du présent article sont conservées pour une durée strictement proportionnée aux finalités poursuivies, conformément aux principes de minimisation et de limitation de la conservation prévus par la loi n° 78‑17 du 6 janvier 1978 précitée et par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).

« En l’absence de détection d’un événement susceptible de constituer une atteinte à la sécurité des personnes ou des biens, ces données sont automatiquement supprimées dans un délai maximal de quarante-huit heures à compter de leur collecte.

« Lorsqu’un tel événement est détecté, seules les données strictement nécessaires à sa caractérisation peuvent être extraites et conservées pour une durée maximale de soixante-douze heures, exclusivement aux fins de permettre leur mise à disposition en cas de réquisition judiciaire.

« Les modalités d’application du présent alinéa, notamment les conditions d’extraction, de sécurisation, de traçabilité, de transmission et d’effacement des données, sont précisées par décret en Conseil d’État pris après avis public et motivé de la Commission nationale de l’informatique et des libertés. »

Cet amendement vise à supprimer l’alinéa 4 du présent article.

L’article 23 du RGPD prévoit la possibilité pour l’Union européenne, comme pour les Etats membres de limiter la portée des droits prévus par le règlement dans ses articles 11 à 22, au nombre desquels figurent les droits d’accès, de rectification, d’opposition, d’effacement ou de limitation du traitement des données personnelles.

Toutefois, l’article 23 rappelle également le caractère législatif que doivent présenter de telles mesures de limitation.

En l’espèce, l’adoption de cet alinéa équivaudrait pour le législateur à se décharger de cette fonction essentielle reconnue tant par le droit de l’Union que par la Constitution et pourrait s’apparenter à une situation d’incompétence négative du législateur.

Supprimer l’alinéa 4.

Cet amendement du groupe Socialistes et apparentés entend rappeler l'importance du respect des droits humains dans le cadre de l'utilisation de technologies parfois conçues en partie à l'étranger. 

Dans l'esprit de la loi Potier relative au devoir de vigilance, il appartient aux entreprises qui ont recours à ces technologies de veiller à ce que leur élaboration ne soit pas le fait d'entreprise ou de sous-traitants méprisant les droits humains. 

Il leur appartiendra, grâce à cet amendement, d'obtenir des garanties des entreprises qui produisent ces technologies qu'elles ne sont pas issues de pratiques dégradant la dignité humaine. 

Plusieurs enquêtes journalistiques ont révélé des conditions de travail qui confinent à l'asservissement de l'humain par la machine. 

S'il est envisagé de recourir à ce type de technologie, il convient de veiller à ce qu'elles ne soient pas conçues dans de telles conditions. 

Tel est le sens de cet amendement. 

Après l’alinéa 3, insérer l'alinéa suivant : 

« Elles garantissent que les technologies d’analyse automatique des images sont conçues par des entreprises qui respectent les droits humains en France et à l’étranger notamment dans le cadre de l’entrainement des algorithmes. Si ces entreprises ont eu recours à des sous-traitants à l’étranger, il appartient à l’entreprise qui fait usage de ces technologies de s’assurer que ces sous-traitants respectent les droits humains notamment dans le cadre de cet entrainement des algorithmes. »

Cet amendement entend modifier le titre afin d'assurer son adéquation avec son contenu. 

Le titre des lois participe de l'objectif de valeur constitutionnel d'intelligibilité de la loi et doit être fidèle au contenu du texte. 

Aussi, il apparait que cette proposition de loi ne vise pas à "améliorer la protection des commerçants" mais à leur permettre d'utiliser la vidéosurveillance algorithmique". 

Une éventuelle évaluation ex post de ce texte pourra permettre de déterminer si cette possibilité a pu conduire à améliorer la protection des commerçants. 

En attendant, le titre proposé dans le présent amendement décrit fidèlement son contenu. 

Rédiger ainsi le titre de la proposition : 

« visant à encadrer l’usage des outils de vidéo surveillance algorithmique par les commerçants ».

Cet amendement du groupe Socialistes et apparentés entend préciser les obligations pesant sur les entreprises utilisant ce type de technologie. 

Dans le respect des exigences de la loi de 1978 précisées par la CNIL dans plusieurs de ses publications, il est essentiel que la loi explicite les moyens de l'information des clients quant aux technologies employées.

La CNIL indique ainsi : 

"Si un magasin utilise des caméras augmentées sur ses caisses automatiques, elle doit vous en informer de manière claire et visible. En principe, cette information apparaît sur des panneaux d’information dans le magasin et sur l’écran de la caisse automatique.

Certaines informations, comme le nom de l’enseigne, les objectifs du dispositif (détecter les erreurs ou tentatives de vol) ainsi que vos droits, doivent figurer directement sur ces supports. Vous devez également pouvoir accéder à des informations supplémentaires, par exemple par un lien ou en scannant un QR code."

A cet égard, les seules informations écrites ne suffisent pas : des messages audio et des pictogrammes apparaissent nécessaires.

Après l’alinéa 2, insérer l’alinéa suivant :

« Elles assurent une information claire des clients en décrivant les technologies utilisées à l’aide de messages audio, écrit ainsi que de pictogrammes. »

Cet amendement du groupe Socialistes et apparentés vise à imposer aux personnes ayant recours à cette technologie que garantir qu'elles n'auront pas recours à la reconnaissance faciale. 

Cette précision est d'autant plus nécessaire que certaines entreprises faisant le commerce de cette vidéosurveillance augmentée expliquent sur leur site internet que "Un vol sur deux est réalisé par des clients réguliers (connus du magasin). En identifiant ces malfaiteurs réguliers vous pouvez les interpeller et par conséquent, les dissuader de recommencer." 

Suivant cette logique, on imagine sans peine que l'étape suivante sera de proposer un complément technique de reconnaissance faciale. 

Or, cette technologie fait courir des risques d'atteintes aux droits fondamentaux.

Tel est le sens de cet amendement.  

Compléter la seconde phrase de l’alinéa 3 par les mots : 

« , notamment au moyen du recours à une technologie de reconnaissance faciale ».

Cet amendement du groupe Socialistes et apparentés entend poser la question de la réutilisation des images captées : 

La circulation des images issues de la vidéosurveillance est particulièrement problématique, que ces images soient piratées, revendue ou données. 

C'est sur la base de telles images que les entreprises entrainent leurs algorithmes : elles ont donc une valeur économique puisqu'elles sont essentielles à la constitution même des algorithmes. 

Aussi cet amendement prévoit-il que l'entreprise qui a recours à cette technologie doit garantir la non circulation de ces images. 

Tel est le sens de cet amendement.  

Après l’alinéa 3, insérer l’alinéa suivant :

« Elles garantissent que les images ainsi captées ne soient pas réutilisées ni à titre gratuit ni à titre onéreux. »

Cet amendement du groupe Socialistes et apparentés entend imposer un strict respect des règles relatives aux usages de l'intelligence artificielle. 

Il s'agit plus précisément de s'assurer que la mise en oeuvre de ce texte ne conduise pas à porter atteinte à l’article 5, paragraphe 1, point f), du règlement sur l’IA. 

Cette disposition a fait l'objet d'une interprétation par la Commission européenne qui estime que  "l’utilisation de caméras par un supermarché ou une banque pour détecter les clients suspects, par exemple pour conclure que quelqu’un est sur le point de commettre un vol, n’est pas interdite par l’article 5, paragraphe 1, point f), du règlement sur l’IA,
lorsqu’il est garanti qu’aucun employé n’est suivi et qu’il existe des garanties suffisantes". 

Tel est le sens de cet amendement. 

Après l’alinéa 3, insérer l’alinéa suivant : 

« Elles sont tenues de garantir qu’aucun employé n’est susceptible de faire l’objet d’un suivi par les caméras associées à ce dispositif technique dans l’exercice de ses mission au sein de l’entreprise. »