The most common method for measuring body temperature to stop the spread of Covid -19 has been a standard thermometer. However, due to the virus’s fast spreading nature, thermal cameras won many new proponents in Europe. They argue that thie techonology offers an incomparably efficient way of detecting fevers, and thus infections. But what exactly is the legal basis for this type of automatic data profiling? And how has it clashed with citizens’ rights provided under the EU’s General Data Protection Regulation (GDPR)?
Nous avons été confrontés à ces questions en pratique dans l'UE depuis un certain temps. Amazon a mesuré la température de ses employés au moyen de caméras thermiques dans ses entrepôts. Dans le même temps, des acteurs en République de Croatie ont préconisé une solution similaire pendant la pandémie. Par exemple, deux caméras thermiques sont en cours d'installation à l'hôpital général de Pula. D'autres hôpitaux en Croatie élaborent des projets similaires. Quel a été l'impact d'une telle numérisation générale et du traitement ultérieur des données de santé sur notre vie privée et nos droits humains fondamentaux ?
Traitement des données à caractère personnel pendant la crise du coronavirus
Le cadre normatif du RGPD impose de nombreuses obligations aux responsables du traitement et aux sous-traitants lors du traitement des données à caractère personnel des personnes physiques. Les mesures techniques et organisationnelles visant à traiter légalement les données à caractère personnel ainsi que de nombreuses autres obligations relèvent de la responsabilité du responsable du traitement. Des circonstances extraordinaires, telles que la pandémie, augmentent la complexité du traitement en raison des obligations supplémentaires que les responsables du traitement et les sous-traitants doivent remplir. Cela est particulièrement vrai concernant les données relatives à la santé. L'article 4 du RGPD définit données concernant la santé comme : «les données à caractère personnel relatives à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur son état de santé ».
Cependant, la pandémie de coronavirus a instillé le doute quant à la base juridique du traitement des données à caractère personnel dans des circonstances extraordinaires. Selon le RGPD, le principe fondamental du traitement des données à caractère personnel est qu'il doit être licite, indépendamment des facteurs externes. La base juridique du traitement des données à caractère personnel pendant la pandémie se trouve dans les articles 6 et 9 du RGPD.
Lorsque le virus s'est propagé au printemps dernier, le Comité européen de la protection des données (CEPD) et les autorités de contrôle nationales ont agi relativement rapidement. Le 20 mars 2020, le CEPD a publié une déclaration dans laquelle les articles 6 et 9 du RGPD ont été reconnus comme la base juridique pertinente pour le traitement des données à caractère personnel pendant la pandémie. Tant que les circonstances extraordinaires persistaient, le traitement serait :
“nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique», également important pour «l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement », ainsi que «nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers.”
Cependant, certaines catégories de données étant plus sensibles que d'autres, leur traitement est en principe interdit. Cela s'applique aux données à caractère personnel révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale. Cela couvre également les données génétiques, les données biométriques aux fins d'identifier une personne physique de manière unique, les données concernant la santé et les données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique. Toutefois, à situations extraordinaires, mesures extraordinaires. Par conséquent, l'article 9 du RGPD prévoit que les données personnelles relatives à la santé peuvent être traitées sous certaines conditions. Notamment si «le traitement est nécessaire pour des motifs d'intérêt public important, sur la base du droit de l'Union ou du droit d'un État membre ». Il autorise également le traitement s'il est
“nécessaire aux fins de la médecine préventive ou de la médecine du travail, de l'évaluation de la capacité de travail du travailleur, de diagnostics médicaux, de la prise en charge sanitaire ou sociale ou de la gestion des systèmes et des services de soins de santé ou de protection sociale sur la base du droit de l'Union ou du droit d'un État membre ».
En outre, le traitement est possible lorsqu'il vise la « protection contre les menaces transfrontalières graves pour la santé ou la garantie de normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux». Pour autant que ce traitement soit conforme au droit de l'UE ou de l'État.
Comme indiqué, la mesure au moyen d'un thermomètre constitue la méthode de base selon laquelle les données de santé sont actuellement traitées. Les mesures de la température corporelle par thermomètre en Croatie ont été effectuées de manière strictly individuelle et les données collectées n'ont pas été conservées, ou seulement pendant une courte période – conformément au principe de limitation de la conservation des données. Comme pour toutes les données personnelles relatives à la santé, la base juridique de la mesure habituelle de la température corporelle se trouve dans les articles 6 et 9 du RGPD, ce qui constitue selon nous une base juridique suffisante et souple pour de telles méthodes.
Caméras thermiques et article 22 du RGPD
Les caméras thermiques peuvent servir au moins deux objectifs différents pendant une pandémie. Elles peuvent a) détecter rapidement un grand nombre de personnes présentant une température corporelle élevée et b) classer ces personnes concernées dans des catégories spécifiques, telles que « potentiellement infectées » ou « non infectées ».
However, the excessive introduction of thermal cameras into our everyday life has the potential to trigger GDPR article 22. This article concerns the profiling of data subjects when coupled with automated decision making. The title of the article 22 is: “Décision individuelle automatisée, y compris le profilage ». Il énonce que : «La personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire. »
En ce qui concerne le traitement de catégories particulières de données à caractère personnel, l'article 22 contient une interdiction générale de les traiter. Une simple analyse des articles 9 et 22 permet de conclure que l'article 9 traite d'un aspect spécifique catégorie de données à caractère personnel particulièrement sensibles, tandis que l'article 22 traite de la manière dont nous traitons les données et de la façon dont nous prenons des décisions les concernant. Cela peut inclure des données à caractère personnel « ordinaires », mais aussi celles qui relèvent d'une catégorie particulière. Il est important de définir les composantes de l'article 22 : premièrement, le profilage, et deuxièmement, la prise de décision individuelle automatisée. Dans l'une de ses recommandations, le groupe de travail « Article 29 » (GT29) – qui a contribué à la rédaction du RGPD – a également fait référence à l'article 22, en raison des nombreuses réactions de la communauté scientifique. Ces réactions considéraient l'article 22 comme ambigu depuis sa première publication. Le RGPD définit le « profilage » comme :
“toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique ».
Quelques éléments constitutifs peuvent être dégagés de cette définition. À savoir : a) le profilage doit être automatisé, b) le profilage doit porter sur des données à caractère personnel, c) l'objectif de tout profilage doit être d'évaluer certains aspects personnels de la personne. L'utilisation du verbe «évaluer » suggère que le profilage implique une certaine forme d'évaluation ou de jugement concernant une personne. Toutefois, cela ne sera pas toujours le cas. Il est important d'aborder chaque cas individuellement et d'évaluer si le profilage a lieu ou non.
La prise de décision individuelle automatisée est un concept différent qui mérite sa propre explication. Le G29 définit la prise de décision individuelle automatisée comme la «capacité à prendre des décisions par des moyens technologiques sans intervention humaine.». En d'autres termes, nous permettons à l'intelligence artificielle de prendre des décisions et de produire un résultat afin d'atteindre un objectif spécifique sur la base du traitement de nos données personnelles. Bien que le profilage et la prise de décision individuelle automatisée soient des concepts différents, ils vont souvent de pair. Le RGPD aborde les concepts susmentionnés de la manière suivante : (a) le profilage général, (b) la prise de décision fondée sur le profilage et (c) la prise de décision entièrement automatisée, y compris le profilage. La différence entre (b) et (c) réside dans le profilage. La prise de décision est effectuée par un être humain, alors que dans le cas de la prise de décision entièrement automatisée, y compris le profilage, la prise de décision est effectuée par une intelligence artificielle. Selon nous, l'introduction de caméras thermiques dans la lutte contre le coronavirus déclenchera très probablement l'article 22.
La recherche d'efficacité et de croissance au moyen des technologies numériques n'aurait pas de sens si nous n'étions pas autorisés à exploiter tout son potentiel. Dès lors, l'application de caméras thermiques sans solutions logicielles ultérieures conduisant à une prise de décision automatisée et à un profilage ne représenterait pas le moyen le plus efficace de traiter les données. Étant donné que l'efficacité est la clé pour vaincre la pandémie avec succès, la marche à suivre est évidente. Comme indiqué, le traitement des données personnelles au titre de l'article 22 est généralement interdit. Toutefois, le paragraphe 2 du même article autorise le traitement de données personnelles s'il est (a) « nécessaire à la conclusion ou à l'exécution d'un contrat entre la personne concernée et un responsable du traitement », ou (b) « est autorisée par le droit de l'Union ou le droit de l'État membre auquel le responsable du traitement est soumis et qui prévoit également des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée ». Une troisième option est également autorisée : (c) lorsqu'elle est « fondée sur le consentement explicite de la personne concernée.”
Ce traitement énoncé à l'article 22, paragraphe 2, concerne les données personnelles « ordinaires ». S'agissant de la catégorie particulière de données personnelles, l'article 22, paragraphe 4, prescrit ce qui suit :
“les décisions visées au paragraphe 2 ne peuvent être fondées sur les catégories particulières de données à caractère personnel visées à l'article 9, paragraphe 1, sauf si l'article 9, paragraphe 2, point a) ou g), s'applique et que des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée sont en place. »
Par conséquent, si les responsables du traitement souhaitent traiter des catégories particulières de données personnelles incluant également le profilage et la prise de décision automatisée, ils doivent remplir certaines conditions supplémentaires. Ils doivent protéger les droits, libertés et intérêts légitimes des personnes concernées.
Pendant la pandémie de coronavirus, il a été possible de remplir toutes les conditions ci-dessus parce que la lutte contre la pandémie revêt actuellement une importance capitale, et le RGPD laisse la possibilité de faire passer la protection des intérêts légitimes avant les droits des personnes concernées. C'est une raison supplémentaire pour laquelle l'article 22 du RGPD sera activé. Les mesures appropriées et spécifiques visant à sauvegarder les droits et libertés fondamentaux ainsi que les intérêts légitimes des personnes concernées ne font pas l'objet du présent document car elles méritent une analyse séparée à part entière. En conclusion, il convient de noter que le traitement d'une catégorie particulière de données personnelles au titre de l'article 22 est possible si les conditions énoncées à l'article 9, paragraphe 2, et à l'article 22, paragraphes 2 et 4, sont cumulativement remplies.
La relation entre l'article 22 du RGPD et le droit à l'explication
Le RGPD prescrit une base juridique relativement solide et large car il permet la protection des données personnelles même dans des situations peu communes. Toutefois, le traitement de données personnelles par des caméras thermiques et l'activation de l'article 22 ne posent pas problème en soi, mais par rapport aux droits des personnes concernées garantis par le RGPD. Un autre domaine où cela est évident concerne ce que l'on appelle le « droit à l'explication ». Si l'on considère que l'intelligence artificielle a régulièrement conduit à des discriminations et à des violations du droit à la vie privée des personnes concernées – par exemple par le biais du « biais d'intelligence artificielle » –, nous pouvons mesurer l'importance de l'article 22 du RGPD et la raison pour laquelle il devrait être présenté au grand public. Des réglementations définissent les informations standard qu'un responsable du traitement doit transmettre aux personnes concernées lors du traitement de leurs données personnelles – telles que l'identité du responsable du traitement et la finalité du traitement. Toutefois, en plus de cela, l'article 13, paragraphe 2, point f), stipule que le responsable du traitement doit fournir des informations supplémentaires en cas de
“l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article 22, paragraphes 1 et 4, et, au moins dans ces cas, des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée”.
Cette disposition, conjointement avec l'article 22, a provoqué une tempête de réactions au sein de la communauté scientifique depuis sa première publication.
Aujourd'hui, l'apprentissage automatique va si loin que parfois même les informaticiens ne savent pas comment un ordinateur est parvenu à une certaine solution. À l'origine, les solutions algorithmiques reposaient sur certaines règles et procédures que les ordinateurs suivaient. La logique de l'action algorithmique était explicite. Les données d'entrée suivaient certaines étapes pour aboutir à un résultat particulier. L'introduction de l'apprentissage automatique a toutefois modifié la logique de l'ensemble du système. Nous fournissons désormais une certaine quantité de données à l'ordinateur, à partir desquelles celui-ci apprend, et un nouveau résultat est généré sur la base de ce qu'il a appris. Dès lors, la logique du système tend dans certaines situations à devenir implicite et difficile à expliquer, même pour des experts.
A29WP tackled this problem in its recommendations. Explaining the logic itself by the data processor does not necessarily mean explaining complex algorithmic procedures to the data subjects, but providing meaningful, significant information in relation to the respondent. Additionally, complexity alone cannot be an excuse for not providing relevant information. From the perspective of the A29WP the whole issue seems somewhat more flexible compared to the original technical discussion. All rights prescribed by GDPR are directed towards data subject, and they are the center of the whole process. Therefore, the exercise of rights prescribed by GDPR should be viewed from the perspective of the data subject, and not from the perspective of the technological complexity. The significance of this to the present discussion is to take into account the high possibility that today’s technology could endanger our fundamental rights, without any human intervention in the process. In the absence of human intervention, measuring body temperature by means of machine learning and profiling can be potentially dangerous and discriminatory. For example, conventional thought considers that a “normal” body temperature is 37 degrees, while the temperature of a person infected with influenza virus is 38 degrees. This distinction arose in 1900 when little was known about thermoregulation, immunology, and microbiology. Today, body temperature is observed individually, and is always on a certain spectrum. By measuring temperature through thermal cameras, people can be categorised as infected when they are not and find themselves in inconvenient or even discriminatory situations. Although efficiency is important in the context of the current pandemic, certain guarantees for the protection of human rights and fundamental freedoms must exist. If efficiency is the only aim, human rights could easily be violated. Therefore, it is highly significant that the data controllers insure strong guarantees and possible explanations to citizens of the meaningful logic behind their data processing.
Conclusion
L'utilisation de caméras thermiques comme mesure contre le coronavirus implique nécessairement la digitalisation générale de nos interactions sociales. La vie avec le coronavirus et la vie après la pandémie modifieront assurément notre perception et notre réflexion sur les technologies numériques. La peur de l'infection a changé nos priorités de vie.
RGPD offre une base juridique souple qui permet de traiter des données personnelles dans des circonstances variées. Toutefois, la seule existence d'un cadre normatif ne conduit pas à des solutions claires. Nous le constatons dans la relation entre l'article 22 du RGPD et les droits des personnes concernées, en particulier en ce qui concerne le prétendu « droit à une explication ». Les caméras thermiques et les solutions algorithmiques peuvent entraîner des discriminations à l'encontre des individus. L'efficacité est nécessaire, mais elle n'est pas le seul objectif. Dès lors, dans de telles circonstances, il est indispensable de sensibiliser continuellement le grand public et d'avertir toutes les parties concernées des dangers potentiels du traitement automatisé. Il s'agit en effet d'une obligation au titre du RGPD. En résumé, nos droits humains fondamentaux doivent être protégés, quelles que soient les circonstances dans lesquelles nous nous trouvons.
Mihovil Granić est associé chez Žurić i Partneri, Zagreb, Croatie. Kristijan Antunović est stagiaire chez Žurić i Partneri.
Image, withplex, licence Pixabay.
