Pourquoi la troisième plus grande force de police du pays vient de rompre avec Flock Safety

Bien avant que vous ne remarquiez une petite caméra à énergie solaire montée sur un poteau électrique, votre véhicule figure déjà dans une base de données. Ces dispositifs font partie d'un réseau de surveillance privé qui enregistre votre numéro de plaque, la marque et le modèle de votre voiture, ainsi que votre position exacte à un moment précis. Ces informations entrent dans un cloud interrogeable où les services de police, au-delà des frontières des États, peuvent suivre vos déplacements pendant des semaines. Ce mécanisme caché est le cœur de Flock Safety, une entreprise qui est rapidement devenue un fournisseur principal de technologie de reconnaissance automatisée de plaques d'immatriculation pour les forces de l'ordre.

Samedi, le département de police de Los Angeles (LAPD) a mis fin à sa relation avec ce réseau. Le LAPD est le troisième plus grand service de police des États-Unis et était l'un des plus gros clients gouvernementaux de la firme de surveillance basée à Atlanta. Dean Gialamas, le directeur des systèmes d'information du département, a cité de graves préoccupations concernant les libertés civiles et la vie privée comme motif de ce départ. Le département avait un contrat de trois ans qu'il a choisi de ne pas renouveler car les pratiques de collecte de données ne répondaient pas à ses normes de sécurité et de protection des droits. Ce geste signale un changement dans la façon dont les grands centres urbains perçoivent le compromis entre le maintien de l'ordre automatisé et la vie privée du public.

La réalité mécanique des lecteurs de plaques d'immatriculation automatisés

Les lecteurs de plaques d'immatriculation automatisés ou LAPI sont des caméras qui scannent chaque véhicule dans leur champ de vision. Contrairement aux caméras de feux rouges traditionnelles qui ne se déclenchent qu'en cas d'infraction, ces caméras capturent les données de chaque conducteur, quel que soit le soupçon. Flock Safety exploite un réseau d'au moins 80 000 caméras à l'échelle nationale. L'entreprise vend un service d'abonnement où le matériel et la gestion des données font partie d'un forfait unique. Le LAPD ne possède pas ces caméras. Au lieu de cela, le département de police paie pour l'accès au logiciel et aux données collectées par Flock.

D'un point de vue technique, cela crée un filet numérique. Chaque fois qu'une voiture passe devant un capteur, le système crée un enregistrement horodaté. Les agences de maintien de l'ordre peuvent rechercher ces données par numéro de plaque ou par description de véhicule. Parce que Flock permet à différentes agences de partager leurs flux de données, un policier dans une ville peut suivre un véhicule qui est passé par une autre ville à des centaines de kilomètres de là. Cette portée extraterritoriale est ce qui inquiète les défenseurs de la vie privée et les experts juridiques. Elle transforme les outils de police locale en un système de suivi national qui manque de surveillance fédérale.

Quand les algorithmes commettent des erreurs aux enjeux considérables

La précision est l'argument de défense le plus fréquent pour l'utilisation des LAPI, pourtant la technologie est sujette aux erreurs. Ces erreurs ont des conséquences physiques pour les conducteurs. Dans un cas récent, un journaliste du site de critiques automobiles The Drive conduisait un véhicule de prêt pour un article. Une caméra Flock a identifié par erreur la plaque du véhicule comme étant volée. À cause de ce faux positif, des policiers ont encerclé le journaliste et bloqué sa voiture. Ce type d'erreur est un risque systémique car les algorithmes lisent parfois mal les caractères d'une plaque ou ne parviennent pas à mettre à jour le statut d'un véhicule qui a été retrouvé des mois auparavant.

Lorsqu'un ordinateur commet une erreur, la police traite souvent les données comme un fait objectif. Cela conduit à des situations où des automobilistes sont arrêtés et tenus en joue sous la menace d'une arme sur la base de résultats logiciels erronés. La décision du LAPD reflète un scepticisme croissant quant à la fiabilité de ces alertes automatisées. Si les données ne sont pas exactes, l'outil est un handicap pour le département et un danger pour le public. Ces erreurs ne sont pas des incidents isolés. Elles sont le résultat prévisible d'un système qui donne la priorité au volume de données plutôt qu'à la précision de l'identification.

Un historique de failles de sécurité et d'accès non autorisés

La vie privée ne concerne pas seulement qui a le droit de voir les données, mais aussi la manière dont ces données sont protégées contre ceux qui ne le devraient pas. Flock a été confronté à plusieurs défis de sécurité qui remettent en question son hygiène des données. Des chercheurs indépendants et le média 404 Media ont découvert des caméras Flock exposées publiquement qui permettaient à n'importe qui avec un navigateur Web de regarder les flux en direct. Ce niveau d'exposition est un échec majeur de la « confidentialité dès la conception », un principe selon lequel la sécurité est le fondement d'un produit plutôt qu'une réflexion après coup.

Il existe également des rapports d'utilisation non autorisée du système. Dans un cas, la Drug Enforcement Administration (DEA) des États-Unis a utilisé les identifiants de connexion d'un officier local pour rechercher un suspect. Cette recherche a eu lieu à l'insu de l'officier. De plus, de nombreux identifiants de police pour le système Flock ne nécessitent pas d'authentification multifacteur. Il s'agit d'une norme de sécurité de base qui nécessite une deuxième forme d'identification, comme un code envoyé sur un téléphone, avant qu'un utilisateur puisse accéder à des données sensibles. Sans ces protections, l'énorme base de données des mouvements de véhicules est vulnérable aux pirates informatiques ou aux représentants du gouvernement qui souhaitent contourner les lois locales.

La loi californienne et l'avenir de la transparence en matière de surveillance

En Californie, l'utilisation des LAPI est soumise au projet de loi du Sénat 34, codifié dans la section 1798.90.5 du Code civil. Cette loi exige que toute agence utilisant des données LAPI mette en œuvre une politique d'utilisation et de confidentialité. La politique doit garantir que les données sont sécurisées et que leur utilisation est conforme au respect de la vie privée et de la liberté individuelle. Le LAPD a cité la nécessité d'un nouveau libellé contractuel traitant spécifiquement de ces exigences légales et des préoccupations relatives au stockage des données. Le département souhaite régler les détails du partage des données et déterminer qui est responsable de leur sécurité.

Dans un contexte réglementaire, le départ du LAPD est un signe que les lois existantes sont enfin utilisées pour scruter les fournisseurs de surveillance. Les grandes villes commencent à réaliser que les données sont un actif toxique. Si un département collecte trop d'informations sans garanties appropriées, ces données deviennent une cible pour les poursuites judiciaires et les failles de sécurité. Le LAPD a choisi d'interrompre le service jusqu'à ce qu'il puisse établir une relation contractuelle plus stricte qui protège la ville et ses résidents. Cette décision reflète une évolution vers une surveillance plus proportionnée où le bénéfice d'un outil doit l'emporter sur le risque pour les droits constitutionnels.

Résistance communautaire et conflit des villes sanctuaires

Los Angeles n'est pas la première ville à reconsidérer son accord avec Flock Safety. Mountain View, en Californie, et South Portland, dans le Maine, ont également mis fin à leurs relations avec l'entreprise. Ces villes ont exprimé des inquiétudes quant au fait que les agents fédéraux de l'immigration pourraient utiliser le réseau de caméras pour suivre les personnes. Dans les villes sanctuaires, les lois locales interdisent souvent l'utilisation des ressources municipales pour aider à l'application des lois fédérales sur l'immigration. Parce que le réseau Flock permet un large partage de données, il est difficile pour un service de police local de s'assurer que ses données ne sont pas utilisées à des fins qui violent les politiques locales.

Les résidents ont également entrepris des actions individuelles contre les caméras. Dans certains quartiers, des personnes ont recouvert les lentilles avec des sacs poubelles ou ont démantelé le matériel. Cette résistance physique souligne le manque de consentement de la communauté pour ces systèmes. Lorsqu'un conseil municipal approuve un contrat de surveillance sans audience publique, cela crée un fossé entre le gouvernement et les personnes qu'il sert. La décision du LAPD suggère que le département est à l'écoute de ces préoccupations et reconnaît que la confiance du public est plus précieuse qu'un réseau de caméras de haute technologie.

Comment vérifier votre empreinte de surveillance locale

La transparence est la première étape de la protection de votre vie privée. De nombreux services de police utilisant la technologie LAPI sont tenus par la loi de publier leurs politiques d'utilisation et leurs accords de partage de données. Vous pouvez prendre des mesures spécifiques pour comprendre comment votre ville gère ces données et plaider pour de meilleures protections.

Premièrement, recherchez sur le site Web de votre service de police local un portail de transparence sur les LAPI ou la surveillance. La loi californienne exige spécifiquement que ces départements soient transparents sur leurs pratiques en matière de données. Recherchez des informations sur la durée de conservation des enregistrements par le département et sur les autres agences qui ont accès aux données. Si les informations ne sont pas publiques, vous pouvez soumettre une demande de documents publics au greffier de votre ville pour obtenir le contrat et la politique d'utilisation relatifs aux caméras de surveillance.

Deuxièmement, engagez-vous auprès de votre conseil municipal ou de votre commission de police locale. Beaucoup de ces contrats sont signés lors de sessions administratives avec peu de débat public. Demandez à vos représentants si la ville dispose d'une ordonnance de surveillance. Ces lois exigent que la police obtienne l'approbation du public avant d'acheter ou d'utiliser une nouvelle technologie de suivi. En participant à ces réunions, vous pouvez faire pression pour la minimisation des données, qui consiste à ne collecter que les données absolument nécessaires à une tâche spécifique et à les supprimer dès que cette tâche est terminée. La vie privée est un droit humain fondamental qui nécessite une défense active par l'action juridique et civique.