Certaines enseignes souhaitent déployer des caméras augmentées afin de détecter les erreurs ou tentatives de vol au niveau des caisses automatiques. La CNIL rappelle les règles à respecter pour protéger les droits des personnes.
Ce qu’il faut retenir
Les caisses automatiques équipées de caméras augmentées utilisent un logiciel pour analyser les images en temps réel.
Positionnées généralement en hauteur au-dessus de la caisse automatique, ces caméras filment exclusivement l’espace de la caisse, dont le client, son panier d’achat et les produits à scanner, la zone de scan et celle où sont placés les produits une fois scannés.
L’algorithme utilisé permet de détecter différents « événements » (par exemple, reconnaître ou suivre les produits, les mains des personnes, ou encore la position d'une personne par rapport à la caisse) afin de vérifier notamment que chaque produit est effectivement scanné (comme dans l’illustration ci-dessous). Certains dispositifs permettent de détecter d’autres anomalies ou tentatives de fraude, ce qui devra être pris en compte pour analyser la légalité du dispositif.
En cas d’anomalie, une alerte peut s’afficher pour permettre au client de se corriger en autonomie ou déclencher l’intervention d’un employé.
Exemple de fonctionnement d’une caméra augmentée à une caisse automatique
Ces dispositifs collectent des données personnellesLes traitements mis en œuvre par ces caméras ne peuvent généralement pas être considérés comme anonymes : même si les visages sont floutés ou masqués, les personnes concernées sont ré-identifiables, soit par l’intermédiaire du système vidéo existant par ailleurs, soit parce qu’une intervention sera réalisée auprès d’elles. Le lien entre le traitement et la personne concernée n’est donc pas rompu.
Ces dispositifs devront donc respecter le règlement général sur la protection des données (RGPD).
Le traitement de données d’infractions
Bien que ces dispositifs visent principalement à prévenir le vol ou la fraude, ils n’impliquent pas nécessairement un traitement de données d’infractions, au sens de l’article 10 du RGPD.
Toutefois, cela peut être le cas pour ceux conçus pour détecter spécifiquement des comportements frauduleux et qui alimenteraient un traitement relatif à la gestion du précontentieux (règlement amiable) et du contentieux (action en justice) des infractions constatées. Dans ce cas, l’enseigne ne pourra utiliser les données que pour préparer, exercer et suivre une action en justice (article 46 de la loi Informatique et Libertés).
Des dispositifs qui peuvent poursuivre un intérêt légitime, sous réserve de garanties fortesLes enseignes ont un intérêt légitime à limiter la perte de revenus causée par les erreurs ou les vols aux caisses automatiques. Cette base légale pourra donc être mobilisée à condition de s’assurer que le dispositif est nécessaire à l’objectif poursuivi et qu’il ne porte pas une atteinte disproportionnée aux droits des personnes.
S’assurer que le dispositif est nécessaire à l’objectif poursuivi Privilégier le recours à des solutions alternatives moins intrusivesIl existe d’autres solutions pour contrôler le panier des clients aux caisses automatiques : pesée des articles scannés, marquage RFID des produits, contrôle aléatoire ou encore tickets de sortie.
La CNIL recommande de privilégier ces solutions moins intrusives.
Cela n’exclut pas la possibilité de mettre en place des caméras « augmentées » : l’enseigne devra alors documenter le fait que ces alternatives ne peuvent être mises en place ou ne sont pas suffisantes au regard de l’objectif.
S’assurer de l’efficacité du dispositif mis en placeSi les performances techniques du dispositif venaient à le rendre manifestement inefficace au regard de l’objectif poursuivi (par exemple, un nombre trop important de faux positifs ou de faux négatifs qui ferait perdre tout intérêt à son utilisation), le traitement ne pourrait pas se fonder sur l’intérêt légitime du responsable du traitement.
Bonne pratique : mener une expérimentation
Une bonne manière d’évaluer l’utilité et l’efficacité du dispositif envisagé est de mener une expérimentation en conditions réelles, avec un protocole d’évaluation prenant en compte des critères précis, dont notamment :
La CNIL recommande d’associer les différents services concernés (y compris les services juridiques, opérationnels et commerciaux) pour mener une évaluation objective.
S’assurer que le traitement ne porte pas une atteinte disproportionnée aux droits des personnesCes dispositifs installent un nouveau mode de surveillance ciblé lors d’actes du quotidien. Les algorithmes permettent la multiplication des contrôles, avec des conséquences non négligeables en cas d’erreur.
Des garanties fortes doivent être mises en œuvre pour limiter les risques pour les personnes, comme par exemple :
RetroSearch is an open source project built by @garambo | Open a GitHub Issue
Search and Browse the WWW like it's 1997 | Search results from DuckDuckGo
HTML:
3.2
| Encoding:
UTF-8
| Version:
0.7.3