Jugement sans précédent : la Chine condamne la collecte illégale de données biométriques

Cette semaine, une bataille juridique d’environ un an a pris fin pour Guo Bing, professeur de droit à l’Université Sci-Tech du Zhejiang. Le Safari Park de la province du Zhejiang a été condamné à lui payer 1,038 yuan (l’équivalent de 132€) de compensation pour “rupture de contrat”. Dans les faits, le parc animalier a remplacé son système d’identification qu’utilisent les visiteurs pour entrer dans le parc, sans laisser le choix aux clients réguliers, malgré les enjeux que le nouveau système comporte pour la sécurité des données personnelles.

L’histoire commence en octobre 2019, lorsque monsieur Bing découvre avec stupeur que le parc dont il détient le “pass annuel” a remplacé son système d’entrée basé sur les empreintes digitales, par un autre qui utilise la reconnaissance faciale. La raison avancée a été les longues files d’attente créées par les dysfonctionnements du système de scan des empreintes digitales, sources de stress et de mécontentement pour les clients, et de pertes pour le parc lui-même. Ce dernier a ainsi choisi de passer à un logiciel de reconnaissance faciale.

Inquiet quant aux abus que peuvent engendrer les usages de l’intelligence artificielle, et précisément soupçonneux d’un possible vol de ses données, l’homme a alors réclamé un remboursement de son abonnement, qu’il avait payé 1360 yuans quelques mois plus tôt (173€). « J’ai clairement exprimé mon mécontentement face à la collecte de données faciales », a-t- il déclaré au journal The Paper.

Devant le refus du Safari Park de Hangzhou, le professeur Guo Bing a intenté une action civile devant un tribunal de district de Fuyang le 28 octobre 2019, dans la capitale de la province du Zhejiang. “J’ai déposé cette affaire parce que j’estime que non seulement mes propres droits à la vie privée sont violés, mais aussi ceux de beaucoup d’autres”, a déclaré Guo dans une interview publiée par Beijing News. En effet, environ 10 000 visiteurs détiennent ces mêmes laissez-passer annuels.

Le journal officiel China Daily a déclaré que son cas était « la première affaire judiciaire impliquant l’utilisation de la reconnaissance faciale en Chine ». Il a s’agit, durant l’examen du cas, d’établir la sécurité des données collectées par le parc, la raison de leur collecte pour une telle structure, ainsi que le droit qui pouvait justifier ce changement.

Le professeur a gagné son procès grâce à l’angle finalement choisi pour attaquer, qui n’inclut pas le caractère dangereux pour les droits à la vie privée du logiciel de reconnaissance faciale. Le procès s’est tenu sur la rupture de contrat entre les parties : selon le Tribunal Populaire de Hangzhou Fuyang, l’accord entre le client et le parc était d’utiliser la reconnaissance d’empreintes digitales pour entrer. La collecte de photos de Guo Bing et de sa femme par Safari Park a ainsi dépassé les exigences légales nécessaires, et était hors contrat.

Le plaignant, qui a obtenu la suppression de ses données et une compensation financière, n’est pas satisfait du verdict du Tribunal, et aurait décidé de faire appel, selon le Global Times. En effet, aucune garantie n’a été donnée concernant les autres clients du parc et leurs données.

Le Dr Mimi Zou de l’Université d’Oxford affirmait au moment de la plainte “qu’à l’heure actuelle, il n’y (avait) pas d’instrument juridiquement contraignant qui traite directement » de la réclamation en Chine, à savoir de la collecte des données biométriques comme condition d’entrée, rendant la notion de consentement dérisoire. En mai dernier, la Chine a annoncé l’introduction de textes de loi en vue de sanctionner les violations de la vie privée des citoyens, suite à l’augmentation des escroqueries utilisant les données des citoyens chinois pour leur détourner de l’argent. La plainte du professeur Guo Bing a pourtant pu trouver sa légitimité dans cette brèche laissée par le droit chinois, qui en a fait une question purement contractuelle.

La question de la collecte des données sans consentement est pourtant loin de se limiter à cela. “L’utilisation par la Chine de la reconnaissance faciale, dans tous les domaines, sans préavis ni consentement, est consternante”, a déclaré l’expert en protection de la vie privée Ann Cavoukian au Guardian au moment de l’ouverture de l’affaire au tribunal.

En Chine, les caméras de surveillance équipées de reconnaissance faciale sont utilisées pour tout, de l’identification des criminels, à la prévention du vol dans les magasins. De nombreuses personnes entrent et sortent du travail en scannant leur visage, ou entrent dans des structures de loisirs comme Safari Park en laissant reconnaître leurs traits du visage. La technologie est également utilisée pour filtrer les personnes entrant ou sortant des campus, des immeubles résidentiels, ou des stations de métro. Un rapport publié par le China Internet Network Information Center en 2019 a déclaré que pas moins de 77% des utilisateurs d’Internet en Chine ont déjà souffert de pertes financières, de temps ou d’énergie dans divers incidents de sécurité de leurs données.

Lundi 23 novembre 2020, le média chinois Southern Metropolis Daily a même rapporté que des promoteurs immobiliers installaient des caméras de surveillance dans leurs bureaux pour collecter des données de reconnaissance faciale auprès d’acheteurs potentiels, évidemment sans leur autorisation.

Les citoyens chinois se trouvent de plus en plus préoccupés par la collecte de leurs données, dans un État qui surveille tout. Le contrôle des Ouïghours dans la province du Xinjiang le montre bien : grâce à la technologie, le pays peut épier faits et gestes, et reconnaître les comportements religieux comme les comportements déloyaux face au gouvernement.

Le problème est que ce gouvernement est loin d’être le seul collecteur des données biométriques : c’est tout le secteur privé qui est concerné. Le marché des équipements de vidéosurveillance du pays, à l’exclusion de la vidéosurveillance domestique, valait 10,6 milliards de dollars en 2018 et devrait atteindre 20,1 milliards de dollars en 2023, selon un rapport du cabinet d’études de marché IDC.

Aussi, les citoyens chinois, généralement considérés comme acceptant davantage le commerce sur la vie privée pour obtenir plus de sécurité, se font de plus en plus entendre sur les problèmes de confidentialité des données. À mesure que la reconnaissance faciale devient plus courante dans le pays le plus peuplé du monde, les cas d’interrogations se multiplient.

Ce jugement, s’il n’offre pas de substances légales pour contrer les technologies permettant aux entreprises ou à l’Etat d’accéder à de vastes quantités de données personnelles, prouve qu’il est possible de remporter une bataille sur le sujet, même en Chine. Le projet de loi sur la Protection des données voté en mai 2020 à travers le Code Civil fournit, lui, les bases légales à une protection accrue des informations personnelles en ligne. C’est le premier code civil historique du pays, et le premier de l’histoire chinoise à intégrer systématiquement toutes les normes de droit privé du pays, ainsi que de nouvelles dispositions, notamment sur la personnalité et le droit à la vie privée.

Effectif à partir de 2021, ce code fusionne pour la première fois en Chine des lois sur les droits des consommateurs et des lois sur la cybersécurité, pour exiger des entreprises qu’elles améliorent leur sécurité des données. Reste à voir si ce Code permettra effectivement aux citoyens chinois comme Guo Bing de se protéger des utilisations incontrôlées de leur data lorsqu’il entrera en vigueur.