Le consentement que les intéressés avaient apporté ne suffit pas à légitimer l'application qui leur est faite du mécanisme de reconnaissance faciale : décision de l'Autorité suédoise d'inspection des données d'août 2019

En matière de Compliance, il y a deux sujets à la fois très importants et très incertains : celui de l'admission ou non des technologies de reconnaissance faciale ; celui de la forme et et de la place du "consentement" quelque soit la technique de captation, conservation et utilisation de l'information. 

Le cas soumis à l'Autorité suédoise de protection des données (Datainspecktionen) et rapporté par la presse, croise les deux. 

I. LE CAS

Une école suédoise doit en application de la loi nationale faire l'appel de chaque élève à chaque cours. Une Ecole supérieur a calculé que cette tâche, qui incombe donc à chaque enseignant en début de cours, représente un nombre d'heures important, qui pourrait être mieux utilisées par ceux-ci. Elle demande donc à une entreprise de technologie, Tieto, de développer pour elle des technologies qui redonnent aux enseignants leur temps. 

L'entreprise Tieto conçoit un programme pilote, comprenant un procédé de reconnaissance faciale par la pupille de l'oeil, comptant ainsi les élèves présents. Les 21 élèves qui suivent le programme pilote apportent leur consentement express pour l'ensemble des technologies utilisées, notamment celle-ci.

Mais en février 2019 l'Autorité suédoise de surveillance, d'inspection et de protection des données poursuit l'entreprise qui a fourni cette technologie et l'école qui en a bénéficié pour violation du Réglement européen dit "RGPD".

L'école se prévaut du consentement libre et éclairé qui lui a été apporté par les élèves, tandis que le fournisseur de la technologie justifie l'usage de celle-ci par le fait qu'ainsi l'équivalent de 10 emplois à plein temps sont annuellement économisés pour des tâches mécaniques. 

II. LA SOLUTION

Ces moyens n'ont pas convaincu l'Autorité.

Sur la question de l'efficacité du procédé, il ne semble pas même y être répondu, car tous ces mécanismes sont à l'évidence performants, car la protection des personnes est sans conteste coûteuse.

Mais sur la question du consentement, il est mentionné que le moyen tiré du consentement des élèves n'est pas retenu en raison du fait qu'ils n'étaient pas autonomes de l'établissemnt bénéficiaire de la technique de reconnaissance et qu'à ce titre le consentement n'avait donc pas de portée.

L'usage de cette technique est donc interdicte. 

Mais l'Autorité ne se contente pas d'une interdiction. Elle indique qu'il convient, puisque les opérateurs en sont encore au stade d'un programme pilote d'ensemble de trouver ce que l'Autorité appelle un mode de contrôle des présences "moins intrusifs", car c'est en tant que l'ensemble prenait les élèves dans leur environnement toute la journée que cela n'était pas admissible. 

III. LA PORTEE

Ce n'est pas donc une décision de principe.

C'est plutôt une décision d'espèce, en raison des circonstances qui vont que d'une part le consentement ne traduisait pas une volonté libre. Si les élèves n'avaient pas été ce que l'Autorité appelle la "dépendance" de l'établissement, alors sans doute leur acceptation de ces contrôles aurait eu de la portée.

S'il faut trouver un principe, il est par déduction celui-ci : le "consentement" n'est pas une notion autonome, suffisant à elle-seule à valider les technologies au regard du RGPD. Ce n'est qu'en tant qu'elle traduit une "volonté libre" que le "consentement" a pour effet de soumettre la personne qui l'émet à une technologie qui pourtant la menace autant qu'elle la sert. 

C'est bien ce lien entre "consentement" et "volonté" que le RGPD veut garantir. C'est bien ce lien - de nature probatoire -, le consentement devant être la preuve d'une volonté libre, que le dispositif de Droit de la Compliance veut protéger. 

Dès lors, si l'émetteur du consentement est dans une situation de dépendance par rapport à l'entité qui bénéficie de la technologie (par exemple et en l'espèce l'école qui fait des économies grâce à la technologie, sans que cela n'apporte rien à l'élève), la présomption comme quoi son consentement est la preuve d'une volonté libre est brisé : c'est pourquoi le consentement ne peut plus valider l'usage de la technologie. 

Sur la question du rapport entre le "consentement" et la "volonté" : v. Frison-Roche, M.-A., Oui au principe de la volonté, manifestation de la liberté, non aux consentements mécaniques, 2019.

-----