Photographies et échelle d'identification

Par Damien Grangé, Mastère Spécialisé en Management Digital 2020 @ESSCA le 07/11/2020

Cet article correspond à la continuité de mon précédent qui portait sur les difficultés liées à l'encadrement juridique de nos photographies. Je précise une nouvelle fois n'être ni juriste, ni informaticien, simplement étudiant en management du numérique. Aussi avoir les retours de professionnels me raviraient.

Sommaire :

1. Proposition d'une échelle d'identification
2. Quelles sont les exceptions ?
3. A quoi ma photographie est-elle reliée ?

Conclusion Générale

1) Proposition d'une échelle d'identification

A) Première idée :

Je souhaite présenter la première piste de réflexion que j’ai eu pour encadrer ce bazar. Je préfère prévenir, j’ai conscience que cette première piste a d’énormes soucis, raison pour laquelle l'article sera long. On prend une photo et on voit à quel point elle permet d’identifier quelqu’un. En fonction de cette capacité on range cette photo en lui attribuant une note. Puis on décide arbitrairement que toutes les photos ayant une note supérieure à 7 -par exemple- sont des données personnelles parce que leur capacité à identifier quelqu’un est non négligeable.

Dans la théorie ça paraît simple. Sauf que c’est en théorie ; dans la pratique c’est quoi identifier quelqu’un ? Comment on fixe les différents échelons de cette échelle ?

B) Les composantes de l’image :

Comme indiqué dans mon premier article, d’un point de vue technique ce n’est pas votre photo qui est considérée comme étant une donnée personnelle. C’est votre image, qui elle est protégée. Ce qui implique que vos photos sont protégées si votre image apparaît dessus. La question qu’on peut donc poser serait de quoi votre image est constituée ? En cherchant sur internet je ne trouve aucune définition juridique satisfaisante. Je vous propose donc un nouveau jeu, et de se demander quelles sont les indications qu’une photographie donne sur moi.

Six variations de l'opacité de la même photographie

A ce stade on peut soulever plusieurs remarques :

• Je n’ai listé que les renseignements me venant en tête, la liste est non exhaustive. Par exemple, en me relisant je viens de m'apercevoir que j’ai oublié de lister l’âge. Pourtant je pense que vous pouvez le deviner dès la photographie (C).
• Je n’ai listé que les éléments que je pouvais voir, un programme pourrait en voir d’autres, ou les voir à d’autres étapes de la photographie.
• Une image de très faible qualité (B) suffit dans cet exemple pour obtenir une somme d’informations conséquente me concernant, dont des données sensibles, comme l'ethnie.
• A contrario plus la qualité de l’image est augmentée, plus les informations me concernant sont de l’ordre du détail, comme la forme précise des différents éléments de mon visage.
• Sur une photographie, outre votre image il peut y avoir des informations supplémentaires : présence d’autres personnes, présence d’un décors, permettant de plus facilement vous identifier. Par exemple je prends la pose à côté d’un drapeau français, on pourra se douter que je suis français.

Ce dernier point sera plus développé dans la seconde partie de mon article.

C) Échelle d’identification par composantes de l’image :

 J'ai pu indiquer dans un de mes anciens articles qu’un ensemble d’informations non personnelles pouvait constituer une donnée personnelle quand cet ensemble d’informations permettait d’identifier quelqu’un. Aussi il devient possible de lister les attributs physiques permettant d’identifier un individu donné. Je vous propose une visualisation. Tentons de déterminer si ma photo de profil Facebook est une donnée personnelle.

Je prends l’ensemble des informations présentes sur la photographie (F) présentée plus tôt ; comprenant donc également celles sur les photographies (A)(B)(C)(D)(E). En fonction du listing, je propose de classer la photographie sur notre échelle d’identification.

Il s’agit d’un exemple réalisé rapidement, c’est donc normal que la classification soit grossière, elle ne correspond sans doute pas à quelque chose d’exploitable : listing de catégories foireux, il peut être pertinent de faire plus ou moins d'échelons, etc... Aussi l’ensemble des remarques listées dans la précédente étape est toujours valable : la liste d’informations est non exhaustive, on peut imaginer qu’un programme en trouve plus. Absolument pas un modèle définitif, donc. Néanmoins conceptuellement je pense pertinent de référencer l'ensemble des informations qu'une photographie peut permettre de savoir sur vous, et comment les organiser pour constituer une image.

Néanmoins de nouvelles remarques peuvent être formulées :

• Idéalement l’ordre des informations étape par étape devrait correspondre à un ordre logique, c’est à dire que les habits (niveau 1), permettent moins d’identifier quelqu’un que le lieu dans lequel l’individu se trouve (niveau 2). Je rappelle que je n’en sais rien, c’était juste un exemple. Il faudrait faire des tests, des statistiques.
• J’estime qu’une notion importante permettant de déterminer l’encadrement légal d’une photographie correspond à la sensibilité des données récoltées. Et je suis pas le seul à l’estimer d’ailleurs. Ainsi la couleur de peau, en ce qu’elle permet de supposer l’origine ethnique d’un individu rendrait obligatoire le fait d’avertir la personne du recueil ou de l’exploitation de sa photographie, et ce même si on ne peut l’identifier directement.
• Enfin, il y a déjà énormément de recherches effectuées sur la reconnaissance des visages. A ce titre il serait nécessaire de voir les informations pouvant être collectées par une IA et celles pouvant l'être par un humain pour établir des correspondances dans leur base de données de références ; étape (2) et (3) du processus de reconnaissance faciale. Cf le précédent article.

Dans la page wikipédia dédiée au mécanisme de reconnaissance des visages, il est par exemple listé pour la compréhension du module de description du Modèle de Bruce et Young, plusieurs informations nécessaires à la reconnaissance de l’identité du visage. La présence de ces informations sur la photographie justifierait alors sa classification en donnée personnelle.

Conclusion (1)

 Si j’ai correctement fait mon travail les personnes étrangères au domaine se disent que cette échelle de classification en fonction des informations présentes sur les photographies ça a du sens. Il va falloir nuancer.

Partie à venir sur le blog de mon établissement

2) Quelles sont les exceptions ?

Désormais je vais nuancer mon idée et pointer du doigt plusieurs limitations.

A) Compréhension trop élargie de l’image ?

L'idée d’échelle d'identification découle de l'absence de définition juridique précisant les éléments constitutifs de l’image d’une personne. Factuellement ce qui compte c’est qu’elle soit identifiée. Et quand elle est identifiée par une photo, on dit qu’il y a son image dessus.

On peut se demander si la notion d’«image » d'une personne englobe différentes composantes que je viens de lister, comme les habits que l'individu porte, ou le lieu dans lequel il se trouve, ou si cette notion est plus restreinte et ne touche que les composantes biologiques de son apparence. Dans tous les cas il s’agit uniquement d’une question de vocabulaire.

En effet, on peut considérer :

I) Dans le cadre des informations relatives à mes habits :

Qu’il s’agit d’informations concernant mes habitudes de consommation. Or ces informations sont à protéger de base s’il est possible de les relier à quelqu’un d’identifié ou d’identifiable. Logique dans la mesure où la reconnaissance de vêtements se développe, des dizaines d’applications le proposent, et on pourrait imaginer en absence de protection que ces informations soient recueillies par des publicitaires.

Ici une capture d'écran de la reconnaissance de vêtements via l’application de Zalando

II) Dans le cadre du lieu dans lequel je me trouve :

Qu’il s’agit d’informations concernant ma géolocalisation. La logique reste la même, on protège ces informations s’il est possible de les rattacher à quelqu’un d'identifié ou d’identifiable.

Ici une capture d'écran de l'application Lovoo

De plus en plus de réseaux sociaux permettent de localiser les autres utilisateurs sans nécessairement être en contact. La plupart du temps l’application vous demande d’accepter la géolocalisation. Ajoutons qu’il est théoriquement possible pour plusieurs types de photos, sans activer votre géolocalisation, de savoir avec précision où vous êtes.

Ici une photo du youtubeur : Le rire Jaune

En bref toutes les informations sont à protéger si on peut les relier à quelqu’un. Du coup savoir qu'un individu X, ou Z portait tel ou tel T-shirt ou se trouvait dans tel ou tel lieu ne semble pas poser de souci, tant qu'on effectue cette collecte dans une démarche statistiques/qu'on ne vise pas à identifier qui sont les individus X et Z.

Partie à venir sur le blog de mon établissement

B) D'autres exceptions :

 Le principe de l’échelle d’identification proposée c’est de pouvoir jauger si une photo est une donnée personnelle ou non. Ce qui sous-entend dans le schéma mis en avant qu’on utilise la même échelle pour jauger toutes les photos. Or on a toujours des exceptions. D’ailleurs je vous invite à consulter mon article à ce sujet.

I) Contexte

Exemple:

Ici, avec les drapeaux, la posture et le cadre vous reconnaissez M. le Président de la République (Emmanuel Macron). C’est la preuve que ces éléments suffisent pour identifier quelqu’un. Bon vous allez me dire que c’est le portrait officiel, En effet, c'est une personnalité publique. Néanmoins ça démontre le fait qu'on puisse être identifié sans même que notre visage n'apparaisse.

Même chose pour toutes ces personnes :

Photographies issues de l’article de Paris Match : : Moi, Gérard, maire d’une commune sans habitant

Pour le (A), je suis sûr que vous pouvez deviner qu’il s’agit du maire de Fleury-devant-Douaumont, soit Jean-Pierre Laparra. Pour les (B) et (C) c’est plus compliqué, néanmoins avec un programme performant permettant la reconnaissance de lieux (qui se développent actuellement), on peut imaginer à terme reconnaître sur la photographie (B) Gérard Gervaise, maire de Haumont-près-Samogneux, et sur la (C) Jean-Pierre Libert, maire de Beaumont-en-Verdunois.

Il s’agit encore ici de personnages publics, mais j’allais pas prendre des photographies de personnalités qui le sont pas pour illustrer mon article. L’idée reste qu’en fonction de l’habit de la personne et du lieu ou du contexte, on peut potentiellement savoir de qui il s’agit, par exemples : un curé devant une église, un boulanger devant sa boulangerie... Et je n’ai aucune idée de l’encadrement légal qu’il faudrait prévoir dans ce cadre.

II) Les particularités physiques

Voici quelques tatouages :

Imaginons que je sois le seul à les porter. Cela signifie que sur chaque photo où on voit l’un de ces tatouages on peut m’identifier. Se pose donc la question de l’encadrement juridique de ce type de supports. Je n’ai aucune idée de l’encadrement légal qu’il faudrait prévoir -ou qui existe déjà- dans ce cadre.

Conclusion (2)

On peut imaginer encore plein d’autres exceptions à mon échelle d’identification. Par exemple une amie m'a demandé comment ça pourrait fonctionner pour les jumeaux, puisque d'un point de vue technique la même image peut permettre d'hésiter entre deux personnes. Je pense qu'un travail utile serait de lister toutes les informations dont on peut extraire d'une image, et toutes les situations dans lesquelles il existe des variantes pour l'identification des individus. Néanmoins comme il s’agit d’exceptions je pense qu’en cas de litige on pourrait toujours décréter qu’il s’agit de données personnelles si cela porte atteinte à la personne ; et si les problèmes relatifs à ce type de données sont trop importants, pourquoi pas considérer qu’il s’agit d’attributs de la personnalité ?

Partie à venir sur le blog de mon établissement

3) A quoi ma photographie est-elle reliée ?

Via votre photo on peut directement avoir accès à d'autres informations que votre image. Ces informations peuvent permettre de vous identifier.

A) Un nom relié à une photographie ?

Votre nom peut directement être associé à votre photographie, notamment dans le cadre de bases de données, comme j'ai pu l'expliquer dans mon dernier article.

Habituellement il n’y a pas le prénom de la personne sur sa photo !

Dans les faits, ça dépend, puisqu’on peut imaginer que la personne ait un badge avec son identité dessus. Sans aller jusqu’à ce degré de pinaillage, bien que la question me plaise, je répondrai que c’est techniquement ce que font beaucoup de réseaux sociaux.

Prenons Facebook :

Photo Facebook sur laquelle je suis identifié

C’est ainsi que plusieurs applis fonctionnent. Pensons à FindFace, lancée en Russie en 2016, commençant à s’exporter, qui permet à un utilisateur photographiant un passant, de comparer sa photographie avec toutes celles en libre accès sur les réseaux sociaux. Pour anecdote, on peut également parler de la parodie créée par l’agence Zacoto  pour alerter sur le danger pouvant représenter ce type d’applications. 

Une telle application serait interdite ! On peut imaginer que Facebook ne se laisserait pas faire !

Mon point est de dire que la technologie permettant de vous identifier via vos photos sur les réseaux sociaux existe déjà. C’est d’ailleurs ainsi que fonctionne Facebook pour la suggestion d’identification.

B) Une photographie reliée à d’autres informations

 Même si votre photo n’est pas liée à votre nom et à votre prénom, j’ai déjà pu indiquer dans d’autres articles, qu’il y avait plusieurs autres moyens de vous identifier. Que ce soit par un ensemble de données non personnelles, ou par des informations qui vous seraient spécifiques.

Quelques exemples :

I) La photographie donne une indication sur la provenance de l’individu.

Voici les photographies des experts d’Arenametrix. J’y ai effectué mon stage, et je garde un excellent rapport avec eux. Considérons que je ne connaisse pas l’identité de ces trois personnes. Je sais que comme ils sont sur le site d’Arenametrix, puisque c'est inscrit sur leur sweat. Il y a donc de fortes chances pour que ces derniers y aient travaillé. Pour trouver leur identité, il me suffit d’aller sur Linkedin et de faire une recherche.

Ce contexte ne pose pas souci, parce que chacune de ces trois personnes est d’accord pour être nommée. Néanmoins on peut imaginer d’autres contextes dans lesquels il est possible d'identifier quelqu’un via la provenance de la photographie : sites d’anciennes écoles, blogs, etc...

II) Les personnes en contact donnent une idée de la personne sur une photographie

Une photographie Facebook sur laquelle je suis identifié 

Sur cette photo je ne suis pas directement identifié, en revanche deux de mes amis le sont. On peut parler de relations sociales de niveau 1, parce que je les connais directement. Il est donc possible à un internaute de fouiller leur liste de contacts et de postuler qui je suis, s’ils n’ont pas fermé leur liste d’amis. Dans un contexte de prospection commerciale, c'est comme quand une entreprise ajoute sur Linkedin tous les contacts de ses concurrents, en sachant que dedans y a sans doute les clients et gros acteurs du marché.

III) Les metadata

Quand on prend une photographie il peut être possible de savoir avec quel instrument cette dernière a été prise en analysant la dite photographie. Et une fois la photographie mise en ligne on peut savoir via quelle ip, à quelle heure, à quel endroit. Toutes ces informations sont liées soit directement à votre photographie (analyse de l'image), soit à la plateforme sur laquelle vous avez hébergé votre photographie. Je ne sais pas si ces informations supplémentaires peuvent permettre d'identifier quelqu'un, mais ça me semble être un élément à prendre en compte.

Conclusion (3)

Plus je me questionne et me renseigne sur l’identification des individus, plus j’en viens à me demander si l’anonymat sur internet est possible. Si oui, je me dis qu’une entreprise fournissant ce service et contactant les sites pour retirer un ensemble d’informations que détiendraient des sociétés sur leurs clients, aurait de beaux jours devant elle.

Partie à venir sur le blog de mon établissement

Conclusion Générale

 Il y a un mois je me suis pris d’intérêt pour une nouvelle thématique : « la reconnaissance visuelle des émotions et son encadrement juridique ». Je me suis rendu compte qu’il m’était impossible de traiter cette notion sans appréhender au préalable la reconnaissance visuelle en générale, et son encadrement. e faire m’a permis de me poser plein de questions sur la reconnaissance visuelle (exemples : dans le cadre de démarches légales, quelle base de données utiliser pour effectuer une reconnaissance visuelle ? jusqu’à quel point la capacité à identifier quelqu’un va évoluer ?). Ces sujets sont finalement beaucoup plus génériques et me semblent relativement peu traités, et neufs. Je ne doute pas que la littérature à ce sujet tendra à augmenter considérablement.

Je doute en revanche pour toutes les raisons évoquées que l'échelle de classification proposée serve un jour à des fins légales. Et je n’imagine pas avoir les compétences suffisantes pour proposer un encadrement légal décent. Néanmoins je reste convaincu que :

•  référencer toutes les informations qu’on peut potentiellement relever sur une photographie, et se demander lesquelles peuvent être exploitées par un publicitaire, reste un exercice théorique pertinent. Par ailleurs mon directeur de mémoire m'a incité à réfléchir à l'idée de transformer le sujet en thèse doctorale. C'est à réfléchir, je ne sais pas encore sous quelle forme m'y prendre.
• si jamais un encadrement légal doit un jour être proposé, même si l’outil que je vous ai présenté ne devra pas être le seul à être utilisé ; je suis convaincu qu’il pourrait être utilisé en complément. On peut par exemple concevoir d'autres échelles en fonction du pourcentage statistiques de personnes qu'une photo permet d'identifier.

 Partie à venir sur le blog de mon établissement

Merci pour la lecture. Mon Linkedin reste ouvert. Avoir un retour me ferait extrêmement plaisir.

Les articles sur le blog de mon établissement :

Partie 1 : A venir

Partie 2 : A venir

Partie 3 : A venir

Conclusion : A venir

Mes articles LinkedIn :

Mes données c'est pas donné.

Données Personnelles et Attributs de la Personnalité

Données personnelles. Qui est-ce ?

Personne exceptionnelle. Données personnelles.

Collecter des données en temps de COVID-19

A quel moment ma photo est une donnée à caractère personnel ?

Commentaires sur l'émission Monétisation des données : la data aux œufs d’or

Musées : Collecte, analyse et utilisation de nos émotions