Fin 2024, 14 buralistes volontaires s’équipaient « d’un dispositif inédit de caméras de vérification d’âge » pour vérifier si un client est majeur ou non. Selon la Fédération des buralistes, ce projet allie « simplicité et respect des données personnelles ». La CNIL a décidé d’enquêter sur la conformité de ces dispositifs au regard du RGPD.
De potentiels « risques pour la protection des données personnelles »
La Commission rappelle que « certains buralistes ont déployé des caméras s’appuyant sur l’IA pour estimer l’âge des clients et éviter la vente de produits interdits aux mineurs ». Afin de faire le point sur ces technologies, la CNIL a lancé des travaux en concertation avec les acteurs concernés.
Le fonctionnement est assez simple : « ces caméras scannent, au moment de l’achat, le visage de la personne pour estimer si celle-ci est mineure ou majeure et en informent le commerçant par un témoin lumineux (par exemple une lumière verte ou rouge) ».
Un projet pilote fin 2024
Ces dispositifs sont en place depuis fin 2024 à travers un projet pilote de la Fédération des Buralistes de Paris IDF chez « 14 buralistes volontaires », expliquait la Fédération. Comme le rapportent plusieurs de nos confrères, notamment Les Échos, « la machine n’est pas connectée à Internet et ne stocke aucune donnée personnelle. Un autocollant jaune vif à proximité de l’appareil prévient que l’établissement est doté d’un vérificateur d’âge : « Protection des mineurs, anonyme, sans enregistrement d’images, sans reconnaissance faciale » ».
Le communiqué affirme que le projet est conforme avec le RGPD : « Non connecté à Internet, l’appareil ne stocke aucune donnée personnelle, garantissant la sécurité et la confidentialité des clients ». À voir ce qu’en pensera la CNIL. Notez enfin que « l’objectif de cette phase pilote est de démontrer l’efficacité et la simplicité du dispositif, afin d’encourager un déploiement à grande échelle dans tout le réseau francilien ».
Pour la CNIL, ce « n’est pas anodin »
En effet, explique la CNIL, cette vérification à base de « traitements algorithmiques d’analyse automatisée d’images n’est pas anodin et peut comporter des risques pour la protection des données personnelles ».
Elle va donc examiner la conformité de ces caméras « augmentées » et des algorithmes associés au regard du RGPD. Les conclusions sont attendues à l’été 2025.
Caméras biométriques et augmentées, quelles différences ?
En novembre, après les Jeux Olympiques et Paralympiques, la Commission publiait un état des lieux des caméras « augmentées » dans les lieux publics. Elle en profitait pour rappeler la distinction entre caméras biométriques et « augmentées ». Deux critères sont à retenir :
- la nature des données traitées : caractéristique physique, physiologique ou comportementale ;
- l’objectif du dispositif : identifier ou authentifier de manière unique une personne.
La reconnaissance biométrique « cumulera toujours ces deux critères, tandis qu’une caméra « augmentée » n’en remplira aucun ». Quoi qu’il en soit, la CNIL ajoute que les caméras augmentées sont « par nature intrusives ». En effet, les « personnes ne sont plus seulement filmées, mais analysées de manière automatisée, en temps réel, afin de collecter certaines informations les concernant ».
En novembre dernier, la CNIL ajoutait que, « à l’exception du cadre expérimental prévu par la loi sur les Jeux olympiques et paralympiques du 19 mai 2023, il n’existe pas actuellement de texte spécifique encadrant l’usage des dispositifs de vidéo « augmentée » ».
Le sujet des caméras « augmentées » prend de l’ampleur ces derniers temps, pas uniquement sur la vérification d’âge d’ailleurs. Cette semaine, nous évoquions le cas de centaines de milliers de participants et spectateurs de courses à pied soumis à un logiciel de reconnaissance faciale pour rattacher les coureurs à leur numéro de dossard.