Unclear view
La Chine renforce les modalités de recours à la reconnaissance faciale, conditionné au recueil préalable d’un consentement éclairé, qu’il sera par ailleurs possible de retirer. Et ce, au motif qu’elle « ne doit pas mettre en danger la sécurité nationale, nuire aux intérêts publics et porter atteinte aux droits et intérêts personnels légitimes ». À l’exception des activités liées à la R&D.
« Poussée par une forte demande dans les domaines de la finance, de la sécurité, de la maison intelligente » notamment, la reconnaissance biométrique faciale et la taille de son marché se développent rapidement, relève la Cyberspace Administration of China (CAC) :
« Par exemple, dans le domaine de la sécurité, la technologie de reconnaissance faciale est largement utilisée dans les systèmes de contrôle d’accès et les systèmes de surveillance dans des domaines importants tels que les aéroports, les banques et les centres commerciaux, ce qui améliore considérablement la sécurité publique et les capacités d’intervention d’urgence. »
« Tout en facilitant la vie des gens, la technologie de reconnaissance faciale est de plus en plus utilisée à mauvais escient et les problèmes soulevés par la protection des renseignements personnels deviennent de plus en plus importants », souligne cela dit la CAC.
Entre autres, la collecte et l’utilisation de telles informations faciales par certaines entreprises et agences « sans le consentement exprès » de l’utilisateur « violent le droit de l’utilisateur à la vie privée et soulèvent des préoccupations sociales ». Le CAC évoque par exemple des cas de piratage, fraude et vols d’identité.
87 % des Chinois opposés à la reconnaissance faciale dans l’espace public
L’agence Reuters note d’ailleurs qu’une enquête menée en 2021 par un groupe de réflexion affilié au média d’État The Beijing News indiquait que 75 % des personnes interrogées se disaient préoccupées par la reconnaissance faciale. 87 % s’opposaient également à son utilisation dans les lieux publics.
Reuters rappelle que la Cour suprême de Chine avait déjà interdit, en juillet 2021, l’utilisation de cette technologie pour vérifier les identités dans les lieux publics tels que les centres commerciaux et les hôtels. Elle avait aussi autorisé les résidents à demander d’autres méthodes de vérification pour entrer dans leur quartier.
En novembre de la même année, la loi sur la protection des informations personnelles (Personal Information Protection Law, ou PIPL) était en outre entrée en vigueur, « rendant obligatoire le consentement de l’utilisateur pour la collecte de données faciales [entre autres données personnelles, ndlr] et imposant de lourdes amendes aux entreprises qui ne s’y conforment pas ».
La reconnaissance faciale « ne doit pas mettre en danger la sécurité nationale »
Ce pourquoi de nouvelles mesures d’ « administration de la gestion de la sécurité pour l’application de la technologie de reconnaissance faciale » viennent donc d’être introduites, au motif que la reconnaissance faciale « ne doit pas mettre en danger la sécurité nationale, nuire aux intérêts publics et porter atteinte aux droits et intérêts personnels légitimes ».
À compter du 1er juin 2025, le recours à la reconnaissance faciale devra « avoir un objectif spécifique et une nécessité suffisante, adopter une méthode qui a le moins d’impact sur les droits et intérêts personnels et mettre en œuvre des mesures de protection strictes » :
« La reconnaissance faciale ne doit pas être utilisée comme seule vérification s’il existe d’autres méthodes technologiques sans reconnaissance faciale pour atteindre le même objectif ou répondre aux mêmes exigences commerciales. […] Lorsqu’une personne n’accepte pas l’authentification au moyen d’informations faciales, d’autres moyens raisonnables et pratiques doivent lui être fournis. »
Il sera possible de « retirer son consentement »
Son utilisation devra en outre reposer « sur la base du consentement de l’individu, donné volontairement et explicitement », et être obtenu « en partant du principe » que l’individu (ses parents ou tuteurs pour les mineurs de moins de quatorze ans) « est pleinement informé », « de manière véridique, précise et complète des questions suivantes de manière visible, dans un langage clair et compréhensible » :
- le nom et les coordonnées du responsable du traitement,
- l’objectif et la méthode de traitement de la reconnaissance faciale, ainsi que la durée de conservation des données,
- ce pourquoi il est nécessaire de recourir à la reconnaissance faciale, et son impact sur les droits des personnes concernées,
- les méthodes et procédures leur permettant de faire valoir leurs droits.
De plus, le responsable du traitement devra « fournir un moyen pratique de retirer son consentement », retrait qui ne saurait affecter l’efficacité des activités permises par la reconnaissance faciale sur la base du consentement initial de la personne concernée.
Les informations « ne doivent pas être transmises via Internet »
Les informations devront être stockées localement « et ne doivent pas être transmises via Internet ». Leur durée de conservation « ne doit pas dépasser le temps minimum nécessaire pour atteindre l’objectif du traitement ».
Une analyse d’impact en termes de protection des informations personnelles devra par ailleurs être effectuée préalablement à tout déploiement. Les données devront être chiffrées, et les systèmes d’information prendre en compte les notions d’audit de sécurité, de contrôle d’accès, de gestion des autorisations et de détection d’intrusions, entre autres mesures de cybersécurité.
En outre, aucune organisation ou personne ne pourra installer d’équipement de reconnaissance faciale à l’intérieur d’espaces privés dans des lieux publics tels que les chambres d’hôtels, les salles de bains, vestiaires et toilettes publiques, etc., « protégeant ainsi le droit à la vie privée des individus contre toute violation ».
Le CAC précise cela dit que ces restrictions ne s’appliqueront pas « si la technologie de reconnaissance faciale est utilisée pour traiter des informations faciales sur le territoire de la République populaire de Chine pour des activités de recherche et de développement de technologies de reconnaissance faciale et de formation aux algorithmes ».
La semaine passée, la CAC avait déjà édicté une nouvelle série de règles obligeant les fournisseurs de services, à partir du 1ᵉʳ septembre 2025, à étiqueter comme tels les contenus générés par IA.