Wortlaut

La Commission européenne a présenté le 21 avril 2021 ses propositions pour réglementer l'intelligence artificielle. Il est ainsi prévu d'interdire l'identification biométrique à distance en temps réel dans l'espace public, y compris pour les forces de l'ordre, mais l'utilisation de la reconnaissance faciale restera autorisée dans certaines circonstances. Pour ce qui est de la Suisse, la loi révisée sur la protection des données (révLPD) y entrera en vigueur le 1er janvier 2022. Elle qualifie nouvellement de " données sensibles " les " données biométriques identifiant une personne physique de manière univoque ".

D'où mes questions au Conseil fédéral :

1. Est-il d'avis que les systèmes de reconnaissance faciale génèrent des données biométriques qui entrent dans le champ d'application de l'art. 5, let. c, ch. 4 de la révLPD et qui doivent donc être considérées comme des " données sensibles " ? La reconnaissance faciale constitue-t-elle ainsi une atteinte grave au droit à l'" autodétermination informationnelle " prévu à l'art. 13, al. 2, de la Constitution fédérale ?

2. Pour le Conseil fédéral, la révLPD garantit-elle une protection suffisante de la sphère privée alors même qu'il est prévu de mettre en place des systèmes de reconnaissance faciale, notamment par les corps de police cantonaux et des tiers privés ? Quelle est pour lui la marge de manoeuvre dont disposent les cantons pour permettre au moyen de lois spéciales l'utilisation par ex. de systèmes de reconnaissance faciale par la police cantonale ou pour réaliser dans ce domaine des projets pilotes ?

3. Eu égard aux développements intervenus dans l'UE, le Conseil fédéral estime-t-il lui aussi qu'il est nécessaire de réglementer expressément l'utilisation des systèmes de reconnaissance faciale au niveau fédéral ? Une interdiction absolue de la reconnaissance faciale dans l'espace public fait-elle partie des solutions envisagées, ou du moins un moratoire qui durerait jusqu'à ce qu'un débat public et politique ait eu lieu sur la question ?

4. Quel est le cadre juridique de la reconnaissance faciale dans les cantons ? Y a-t-il notamment des cantons qui encadrent plus sévèrement l'utilisation des systèmes de reconnaissance faciale que ne le fait la révLPD ?

Stellungnahme des Bundesrates

La nouvelle loi fédérale sur la protection des données du 25 septembre 2020 (FF 2020 7396), dont l'entrée en vigueur est prévue dans le courant de 2022, range les données biométriques " identifiant une personne physique de manière univoque " dans les données sensibles (art. 5, let. c, ch. 4). Ce faisant, elle met en oeuvre le Protocole d'amendement (STCE n°223) à la Convention pour la protection des personnes à l'égard du traitement automatisé des données personnelles (Convention 108+) qui n'autorise le traitement de telles données que moyennant des garanties appropriées. Elle tient également compte des lignes directrices sur la reconnaissance faciale que le Comité établi par cette convention a adoptées le 28 janvier 2021. Par " données biométriques ", on entend par exemple des empreintes digitales, des images faciales, de l'iris, ou encore de la voix. Ces données doivent impérativement résulter d'un traitement technique spécifique qui permet l'identification ou l'authentification unique d'un individu. Une simple photographie ne remplit pas ces conditions (FF 2017 6641).

1. Si le système de reconnaissance faciale permet d'identifier la personne d'une manière univoque, il s'agira d'un traitement de données sensibles au sens de l'art. 5, let. c ch.4 nLPD. Dans la mesure où l'art. 34, al. 2, let. a nLPD subordonne un tel traitement de données à l'exigence d'une base légale formelle, le législateur fédéral a considéré qu'il s'agit d'une atteinte grave au droit à l'autodétermination en matière de données au sens de l'art. 13, al. 2, Cst.

2. Le Conseil fédéral considère que la nouvelle LPD garantit une protection suffisante pour les traitements de données ayant recours à la reconnaissance faciale qui pourraient être effectués par les autorités fédérales et les particuliers. La LPD ne s'applique en revanche pas aux traitements de données des organes cantonaux. Les autorités cantonales disposent d'une marge de manoeuvre pour recourir à la reconnaissance faciale, mais doivent respecter les art. 13 et 36 Cst et, à l'avenir, les exigences de la Convention 108+, que la Suisse s'apprête à ratifier. Dans un arrêt ATF 146 I 11, le Tribunal fédéral a considéré que l'enregistrement de données d'identification par les autorités cantonales à partir des plaques d'immatriculation dans le cadre d'un système de surveillance du trafic et le fait de les combiner en l'espace de quelques secondes avec d'autres banques de données, constituait une atteinte à l'art. 13, al. 2 Cst. Le Tribunal fédéral a estimé que dans le cas d'espèce la base légale n'était pas suffisante. Les exigences posées par le Tribunal fédéral s'appliqueraient a fortiori si les autorités cantonales avaient recours à un système de surveillance et d'identification par reconnaissance faciale.

3. / 4. Ainsi qu'il ressort des considérations qui précèdent, les autorités fédérales et cantonales ne peuvent recourir à la reconnaissance faciale à des fins d'identification dans l'espace public que si une base légale suffisante les y autorise. En outre, l'atteinte aux libertés individuelles devrait être justifiée par un intérêt public suffisant, être proportionnée et ne pas toucher à l'essence même des droits fondamentaux (art. 36 Cst). Une interdiction absolue ou un moratoire au plan fédéral n'est pas à l'ordre du jour. Le Conseil fédéral n'a pas connaissance de réglementations cantonales qui iraient plus loin.

Réponse du Conseil fédéral.