L'autorité italienne de protection des données (GPDP) suspend le service de reconnaissance faciale à l'aéroport de Milan Linate

Le déploiement de technologies biométriques-en particulier la reconnaissance faciale- s'est accélérée dans les secteurs public et privé du monde entier. Les aéroports ont été parmi les premiers à adopter ces systèmes, motivés par la promesse d'une sécurité accrue, d'un traitement rationalisé des passagers et d'une plus grande efficacité opérationnelle. Toutefois, l'intégration rapide de ces technologies a soulevé d'importantes questions juridiques, éthiques et techniques concernant la vie privée, la protection des données, l'équité des algorithmes et la transparence.

La décision de l'autorité italienne de protection des données (Garantie de protection des données personnelles(en abrégé GPDP) de suspendre l'exploitation du site web de FaceBoarding. reconnaissance faciale Le GPDP est un service d'identification biométrique aux portes automatisées de contrôle des frontières de l'aéroport de Milan Linate. Cet essai examine le contexte, la technologie utilisée, la raison d'être et la base juridique du GPDP, les implications pour les parties prenantes (notamment les passagers, les exploitants d'aéroports, les compagnies aériennes et les fournisseurs de technologie) et le contexte plus large de la gouvernance biométrique en Europe.

Contexte : FaceBoarding et contrôle automatisé des frontières

FaceBoarding est un fournisseur de solutions de vérification d'identité biométrique qui utilise la reconnaissance faciale pour authentifier les voyageurs aux points de contrôle frontaliers automatisés (ABC). La technologie compare une image ou une vidéo en direct du visage d'un passager capturé à la porte d'embarquement avec une image de référence stockée - généralement à partir d'un passeport ou d'une base de données d'identité gouvernementale - pour vérifier l'identité et permettre le passage sans l'intervention d'un agent des frontières humain. Les partisans de ces systèmes affirment qu'ils peuvent accélérer le traitement, réduire les files d'attente et maintenir ou renforcer la sécurité en comparant les identités à des listes de surveillance ou à des indicateurs de risque.

L'aéroport de Milan Linate, l'un des principaux aéroports nationaux et régionaux d'Italie, a mis en œuvre la solution FaceBoarding pour rationaliser le passage des passagers aux postes frontières automatisés. Le système devait permettre aux voyageurs autorisés de faire l'objet d'une vérification biométrique lors de leur passage au contrôle des passeports, améliorant ainsi l'expérience des passagers et les performances opérationnelles.

La décision du GPDP : La suspension et son fondement

L'autorité italienne de protection des données a ordonné la suspension du service de reconnaissance faciale FaceBoarding à l'aéroport de Milan Linate. La décision du GPDP reflète les préoccupations concernant la conformité avec le cadre de protection des données de l'Italie et le Règlement général sur la protection des données (RGPD) de l'UE. Bien que les détails de l'affaire et le raisonnement officiel présentent de multiples facettes, l'intervention du GPDP repose généralement sur plusieurs points juridiques et factuels centraux qui sont couramment invoqués lorsque les autorités examinent les systèmes biométriques :

• Légitimité du traitement: En vertu du GDPR, les données biométriques identifiant de manière unique une personne font partie des "catégories particulières de données à caractère personnel" (données sensibles). Le traitement de ces données nécessite une base juridique solide et, souvent, une autorisation légale explicite. Le GPDP doit être convaincu que l'aéroport et FaceBoarding disposaient d'une base légale pour collecter et traiter les données biométriques à des fins de vérification d'identité.

• Proportionnalité et nécessité: Le traitement des données doit être nécessaire et proportionné à l'objectif poursuivi. L'Autorité a vraisemblablement examiné si des moyens moins intrusifs pouvaient permettre d'atteindre les mêmes objectifs (par exemple, contrôles manuels, vérification d'identité non biométrique) et si l'approche biométrique était proportionnée compte tenu des risques pour la vie privée.

• Transparence et consentement éclairé: Les personnes doivent être dûment informées du traitement des données biométriques et de leurs droits. Le GPDP vérifie souvent si les passagers ont reçu des informations claires et intelligibles et si le consentement obtenu a été donné librement et de manière spécifique - ce qui est particulièrement important si un refus empêcherait effectivement un passager de voyager ou lui imposerait un désagrément injustifié.

• Minimisation des données et limitation du stockage: Le GDPR exige que les données collectées soient adéquates, pertinentes et limitées à ce qui est nécessaire, et qu'elles ne soient stockées que le temps nécessaire. Le GPDP a probablement examiné les types et la quantité d'images capturées, la durée de conservation des données, le stockage de modèles ou d'images brutes, et la justification et la mise en œuvre des politiques de conservation.

• Mesures de sécurité et de protection des données: L'Autorité examine si des mesures techniques et organisationnelles appropriées ont été mises en place pour protéger les données biométriques contre les accès non autorisés, les violations ou les utilisations abusives. Ces mesures comprennent le cryptage, les contrôles d'accès, la transmission sécurisée et les garanties contractuelles entre les parties concernées.

• Droits et recours de la personne concernée: Des mécanismes efficaces doivent permettre aux passagers d'exercer leurs droits (accès, rectification, effacement, objection) et d'obtenir une réparation significative. Le GPDP a pu constater que les procédures permettant d'exercer ces droits étaient insuffisantes ou peu claires.

• Évaluation des risques et DPIA: Le GDPR exige une évaluation de l'impact sur la protection des données (DPIA) pour les traitements à haut risque, tels que l'identification biométrique à grande échelle. Le GPDP évaluera si une DPIA a été correctement menée, si les risques ont été identifiés et atténués, et si une consultation de l'autorité de contrôle a eu lieu lorsque les risques résiduels restaient élevés.

Bien que le GPDP ait suspendu le service plutôt que d'ordonner une interdiction permanente, la suspension indique de sérieuses préoccupations et la nécessité de prendre des mesures correctives avant que le traitement puisse reprendre légalement.

Contexte juridique et réglementaire

Pour comprendre l'action du GPDP, il faut la situer dans le cadre juridique italien et européen plus large.

• GDPR : Le GDPR de l'Union européenne constitue le principal régime juridique pour la protection des données personnelles dans les États membres. Les données biométriques utilisées pour identifier une personne de manière unique sont traitées comme des données de catégorie spéciale en vertu de l'article 9 et sont soumises à des conditions plus strictes. Le traitement de ces données est généralement interdit à moins que des garanties spécifiques et des bases juridiques ne soient présentes (par exemple, un consentement explicite, un intérêt public important en vertu du droit de l'Union ou de l'État membre, ou des dispositions spécifiques en matière d'identification et de sécurité).

• Code italien de protection des données : La législation nationale italienne complète les exigences du GDPR et contient des dispositions relatives à la sécurité publique, au contrôle des frontières et au traitement des données d'identité et biométriques. Lorsque les lois nationales créent des bases juridiques pour le traitement biométrique dans certains contextes d'intérêt public (par exemple, le contrôle des frontières en vertu des lois sur l'immigration et la sécurité), la compatibilité de ces règles nationales avec les principes du GDPR reste critique.

• Jurisprudence et lignes directrices de l'EEE : Le Conseil européen de la protection des données (CEPD) et les tribunaux nationaux publient des orientations et des décisions concernant les systèmes biométriques. Ces dernières années ont été marquées par une surveillance accrue : certaines autorités de contrôle européennes ont lancé des enquêtes sur les systèmes de reconnaissance faciale dans les aéroports ; d'autres ont exigé des DPIA rigoureuses ou imposé des limitations. Les décisions des tribunaux de l'UE ont également renforcé les normes strictes applicables au traitement des données biométriques et mis l'accent sur la nécessité, la proportionnalité et des garanties solides.

• Paysage de la surveillance biométrique : L'UE a proposé un cadre réglementaire pour l'intelligence artificielle (loi sur l'IA) qui fait la distinction entre les applications à haut risque et les applications interdites, la reconnaissance faciale pour l'identification biométrique à distance dans les espaces publics faisant l'objet d'une attention particulière. Bien que la loi sur l'IA n'en soit qu'à un stade législatif différent, elle signale une évolution plus large vers une gouvernance plus stricte des technologies biométriques.

Questions pratiques et considérations techniques

Au-delà des bases juridiques, la suspension reflète probablement des lacunes ou des incertitudes d'ordre pratique et technique. Les principales préoccupations soulevées dans des cas similaires sont les suivantes :

• Précision et partialité: Les algorithmes de reconnaissance faciale peuvent présenter une précision variable selon les groupes démographiques, avec des taux de fausses correspondances ou de fausses non-correspondances plus élevés pour les femmes, les adultes plus âgés et certaines ethnies. Cela peut conduire à des refus injustifiés, à un examen plus approfondi ou à un traitement inégal.

• Fonction rampante et utilisations secondaires: En l'absence de contrôles stricts, les données biométriques collectées pour le contrôle des frontières pourraient être réutilisées à d'autres fins (par exemple, pour l'application de la loi, le marketing), ce qui entraînerait des risques importants pour la vie privée. Les autorités de contrôle exigent une limitation des finalités et des contrôles contractuels/techniques afin d'éviter toute utilisation abusive.

• Conservation des données et architecture de stockage: Le fait que les images soient traitées localement et immédiatement éliminées, stockées sous forme de modèles ou transmises à des bases de données centralisées a une incidence sur les profils de risque. Le GPDP examinerait minutieusement les périodes de conservation, la question de savoir si les images brutes sont stockées et qui y a accès.

• Traitement par des tiers et sous-traitants: FaceBoarding, les opérateurs aéroportuaires, les compagnies aériennes et les agences gouvernementales pourraient tous jouer un rôle. Les accords de traitement, les rôles du contrôleur de données et du sous-traitant, l'attribution des responsabilités et les transferts transfrontaliers de données doivent être conformes aux règles du GDPR.

• Consentement et intérêt légitime: Dans les aéroports, l'obtention d'un consentement libre peut s'avérer problématique car les voyageurs peuvent se sentir obligés de s'y conformer. De nombreux opérateurs s'appuient sur d'autres bases juridiques, telles que l'exécution d'un contrat ou l'intérêt public, mais ces bases doivent être soigneusement justifiées, en particulier pour les données biométriques.

• Transparence opérationnelle et signalisation: Des avis visibles, des options de refus claires et des informations accessibles contribuent à satisfaire aux obligations de transparence. Le GPDP a probablement évalué si les passagers étaient correctement informés aux points d'entrée, de réservation et aux portes d'embarquement.

Implications pour les parties prenantes

La suspension du GPDP concerne de nombreuses parties prenantes et a des implications plus larges pour l'utilisation de la biométrie dans les transports et les espaces publics.

• Pour les passagers : L'effet immédiat est que le traitement biométrique aux portes d'embarquement suspendues ne peut pas être utilisé, protégeant ainsi la confidentialité des données biométriques des voyageurs jusqu'à ce que la conformité soit démontrée. Cela peut également signifier un retour aux contrôles manuels des passeports, avec des conséquences potentielles sur les temps d'attente.

• Pour les exploitants d'aéroports et les compagnies aériennes : La suspension met en évidence les risques opérationnels et de conformité inhérents au déploiement de systèmes biométriques. Les opérateurs devront peut-être investir dans des pratiques plus strictes de protection des données, réévaluer les conditions contractuelles et d'approvisionnement, et envisager d'autres solutions tout en veillant à ce que l'expérience et la sécurité des voyageurs soient maintenues.

• Pour les fournisseurs de technologie (par exemple FaceBoarding) : Les fournisseurs doivent démontrer leur conformité en améliorant les garanties techniques, en rendant les flux de données transparents, en documentant plus clairement les bases légales et en mettant en place des DPIA solides. L'incident peut entraîner des modifications de la conception, des certifications supplémentaires ou des changements dans les architectures de traitement des données.

• Pour les régulateurs et les décideurs politiques : Cette décision souligne la nécessité d'établir des règles et des orientations claires et harmonisées en matière de technologies biométriques. Les régulateurs pourraient renforcer leur surveillance des déploiements similaires dans d'autres pays et insister sur la nécessité de normes industrielles plus strictes.

• Pour la confiance du public : les suspensions très médiatisées sensibilisent le public aux risques pour la vie privée et peuvent éroder la confiance dans les systèmes biométriques. Des mesures correctives transparentes et une gouvernance responsable sont nécessaires pour rétablir la confiance.

Mesures correctives possibles et voie vers la conformité

Pour répondre aux préoccupations du GPDP et permettre une reprise légale des activités, les parties prenantes pourraient prendre plusieurs mesures concrètes :

• Réaliser ou mettre à jour une DPIA complète qui documente pleinement les risques, identifie les mesures d'atténuation et démontre que tout risque résiduel est proportionné et justifié. En cas de risque résiduel élevé, consulter l'autorité de contrôle comme l'exige le GDPR.

• Clarifier et documenter la base légale du traitement des données biométriques. Si l'on s'appuie sur le consentement, s'assurer qu'il est explicite, librement donné et granulaire ; si l'on s'appuie sur l'intérêt public ou d'autres bases, s'assurer qu'il existe une autorisation et une justification légales adéquates en vertu du droit national.

• Mettre en œuvre une stricte minimisation des données : ne traiter que ce qui est nécessaire (par exemple, des modèles éphémères au lieu d'images brutes), limiter la conservation au minimum nécessaire et supprimer les données rapidement après vérification.

• Renforcer les mesures de sécurité technique : cryptage robuste, pseudonymisation, contrôles d'accès, enregistrement des audits et architecture de transmission/stockage sécurisée.

• Renforcer la gouvernance et les contrats : des accords clairs sur le traitement des données, des limites sur le sous-traitement, et des rôles et responsabilités définis entre les opérateurs, les fournisseurs de technologie et les autorités publiques.

• Fournir des informations claires aux passagers et des mécanismes de refus : signalisation visible, communication avant le voyage et solutions de rechange faciles au traitement biométrique sans pénalité.

• Effectuer des tests indépendants et des audits de partialité pour démontrer l'équité et la précision des algorithmes dans diverses populations, et publier les résultats ou les résumés pour améliorer la transparence.

• Mettre en place des mécanismes de recours et des procédures claires permettant aux passagers d'exercer les droits des personnes concernées.

Signification plus large et leçons tirées de l'expérience

La suspension du GPDP à Milan Linate est emblématique d'un recalibrage plus large à travers l'Europe concernant les technologies biométriques, en particulier dans des applications sensibles telles que le contrôle des frontières. Plusieurs leçons peuvent être tirées :

• Les autorités réglementaires appliqueront les protections du GDPR pour les données biométriques et sont prêtes à intervenir lorsque les exigences légales ne sont pas respectées.

• Les déploiements dans des contextes publics et à fort trafic nécessitent une gouvernance anticipée : des évaluations approfondies des incidences sur le développement durable, l'engagement des parties prenantes, des bases juridiques claires et des garanties techniques strictes.

• Les fournisseurs et les utilisateurs de technologies doivent donner la priorité à la protection de la vie privée dès la conception et par défaut, en mettant l'accent sur la minimisation, la transparence et la responsabilité dès le départ.

• L'acceptation du public dépend de la confiance ; la transparence, l'équité démontrable et des garanties efficaces sont essentielles pour obtenir l'approbation sociale des systèmes biométriques.

• Des normes harmonisées et des cadres juridiques plus clairs au niveau de l'UE - ou une législation nationale explicite lorsqu'elle est autorisée - pourraient réduire l'incertitude et améliorer la conformité tout en garantissant la protection des droits fondamentaux.

Conclusion

La suspension du service de reconnaissance faciale de FaceBoarding à l'aéroport de Milan Linate par l'autorité italienne de protection des données souligne la tension entre l'innovation technologique et la protection des droits fondamentaux. Si la biométrie présente des avantages évidents en termes d'efficacité et de sécurité des opérations frontalières, elle soulève également des problèmes aigus en matière de respect de la vie privée, d'équité et de gouvernance. L'action du GPDP reflète les exigences strictes du GDPR pour le traitement de catégories spéciales de données et souligne la nécessité d'une justification juridique rigoureuse, de garanties techniques, de transparence et de responsabilité.

Pour aller de l'avant, le déploiement réussi et légal de la reconnaissance faciale dans les aéroports nécessitera des efforts de collaboration entre les fournisseurs de technologie, les autorités aéroportuaires, les compagnies aériennes, les régulateurs et la société civile afin de s'assurer que les systèmes sont nécessaires, proportionnés, non discriminatoires et respectueux des droits des voyageurs. L'affaire Milan Linate est un exemple édifiant et une occasion à saisir pour affiner les pratiques, renforcer les protections et élaborer des cadres de gouvernance qui permettent des innovations utiles tout en préservant les libertés individuelles.