Autorité de protection des données : la reconnaissance faciale automatisée lors d'une manifestation climat en 2023 était illégale

Au total, 165 activistes pour le climat ont fait l'objet d'enquêtes après la manifestation pour violences collectives graves. Les procédures directement liées au recours à la technologie de reconnaissance faciale ont également été classées sans suite. Les personnes concernées restent néanmoins confrontées aujourd'hui aux conséquences de cette mesure, comme en témoignent les déclarations de certains mis en cause.

L'une des personnes concernées a décrit la charge psychologique auprès de l'APA : « Ich muss immer damit rechnen, wenn ich bei so einer Demo teilnehme, dass ich dann plötzlich strafrechtlich verfolgt werde. Das spielt im Kopf mit und hat einen abschreckenden Effekt. » Ce récit montre comment le recours à la surveillance biométrique peut influencer le comportement avant même toute mise en accusation effective.

Base juridique de la décision

L'autorité fonde sa décision sur le règlement général sur la protection des données. Une comparaison de visages constitue selon elle une opération de traitement particulièrement « intrusive », qui n'est permise qu'en présence de bases légales clairement définies et de mécanismes de protection efficaces. À défaut d'une telle base, l'atteinte au droit fondamental à la protection des données et à la liberté de réunion est particulièrement lourde.

Sebastian Kneidinger, policy advisor chez epicenter.works, a souligné auprès de l'APA : « Derlei mächtige Technologien müssen umsichtig und verantwortungsvoll eingesetzt werden. Gerade der Staat darf sich nicht nur ihre Vorteile herauspicken, sondern muss auch für klare Regeln und wirksame Schutzmaßnahmen sorgen. » L'ONG critique ainsi l'absence d'un cadre législatif clair pour la surveillance biométrique en Autriche.

Concernant le cas concret, Kneidinger a ajouté : « Nicht nur aus Datenschutz-Perspektive ist das ein wichtiges Urteil, sondern auch für die Versammlungsfreiheit. » De l'avis de l'organisation, la décision renforce la position de toutes celles et ceux qui participent à des manifestations sans avoir à craindre d'être identifiés et poursuivis ultérieurement à l'aide de systèmes automatisés.

Déroulement de la manifestation de mars 2023

Comme plusieurs médias le rapportent en se référant à l'APA, l'incident s'est précisé comme suit : en mars 2023, plusieurs activistes ont été interpellés et, comme ils refusaient de présenter une pièce d'identité, photographiés par des fonctionnaires de police. Les images ont ensuite été utilisées pour des poursuites pénales pour résistance à l'autorité publique. La décision rendue concerne précisément cette pratique.

Le ministère de l'Intérieur a immédiatement annoncé un appel contre la décision. Dans un communiqué, il a indiqué vouloir « contester la décision incompréhensible devant la Cour administrative fédérale ». Du point de vue du ministère, la comparaison numérique d'images répond à un objectif clair : « Straftäter auszuforschen und diese zum Schutz der Menschen in unserem Land aus dem Verkehr zu ziehen. » Une prise de position sur les accusations concrètes d'illégalité n'a pas été fournie dans l'immédiat.

Réactions de la police et du ministère de l'Intérieur

Elisabeth Kury, porte-parole d'epicenter.works, a ensuite appelé le gouvernement fédéral à agir : « Jetzt können sie in der Regierung zeigen wie ernst das gemeint war. » Elle a rappelé les critiques formulées autrefois par les actuels partenaires de coalition. « SPÖ und NEOS haben den Einsatz von Gesichtserkennung noch aus der Opposition heraus zu Recht kritisiert. » Il faut désormais voir si la participation au gouvernement a modifié cette position.

L'ONG prend ainsi à partie tant l'ÖVP en tant que parti au gouvernement que le SPÖ et les NEOS en tant qu'anciens partis d'opposition. Le reproche vise le fait que les promesses politiques formulées dans l'opposition ne semblent pas se poursuivre une fois au pouvoir. Des propositions législatives concrètes sur le recours aux systèmes biométriques n'ont jusqu'ici pas vu le jour.

L'ampleur du problème est illustrée par une autre affaire également rendue publique : à l'automne 2023, un Autrichien a été placé en détention provisoire en Serbie, en raison d'un mandat d'arrêt international émis par le parquet de Graz. Comme cette affaire le montre, les comparaisons automatisées d'images de visage peuvent avoir de graves conséquences juridiques au-delà des frontières.

Dimension internationale et risques

Précisément parce que les faux positifs lors de comparaisons biométriques peuvent avoir des conséquences considérables, il faudrait, selon epicenter.works, un système de garantie à plusieurs niveaux : des seuils d'intervention clairs, un contrôle indépendant et des voies de recours individuelles. Sans de telles garanties, le recours à cette technologie demeure problématique au regard de l'État de droit.

La décision de l'autorité de protection des données n'est pas la première critique adressée à la surveillance biométrique en Autriche. Au cours des dernières années, des organisations de protection des données et des alliances de la société civile avaient déjà signalé les risques de la reconnaissance faciale automatisée et exigé une réglementation législative expresse. Jusqu'à présent, les réactions politiques se limitent essentiellement à des déclarations d'intention.

Avec la décision de l'autorité de protection des données, il existe désormais, au moins au niveau administratif, une appréciation juridique qui conteste le recours à la technologie dans ce cas concret. La Cour administrative fédérale devra examiner, dans la procédure d'appel, si l'absence de base juridique expresse rend effectivement l'atteinte illégale.

Portée pour les futures manifestations

Même si la procédure pénale contre les 165 personnes concernées a déjà été classée sans suite, la décision de l'autorité de protection des données constitue un précédent. Elle renforce la position de toutes celles et ceux qui s'opposent au recours à la surveillance biométrique lors des manifestations et accroît en même temps la pression sur le monde politique pour qu'il adopte enfin des règles claires, comme l'a souligné Kury d'epicenter.works.

Pour les manifestant·e·s, la décision revêt une portée symbolique : elle confirme a posteriori que l'intervention policière a dépassé son objectif. Savoir si elle en tirera une protection durable pour les futurs rassemblements dépendra de la question de savoir si le gouvernement en tire les conclusions nécessaires et si l'appel annoncé n'aura pas le dernier mot.

L'autorité de protection des données a publié sa décision jeudi. Au cours des prochaines semaines, le ministère de l'Intérieur comme les ONG concernées annonceront leurs prochaines étapes. Les observatrices et observateurs s'attendent à ce que la procédure devant la Cour administrative fédérale suscite un intérêt au-delà de l'Autriche, des affaires comparables étant pendantes dans plusieurs États de l'UE.