2025
L’APD ordonne à Anvers de supprimer des données audio de son projet « bruit dans le quartier étudiant »
La Chambre Contentieuse de l'APD a adressé aujourd’hui une réprimande à la Ville d’Anvers pour son projet pilote de mesure intelligente des nuisances sonores dans son quartier étudiant, qui a eu lieu en 2022. Selon la Chambre Contentieuse, la mise en œuvre du projet a enfreint plusieurs dispositions du RGPD, comme le principe de légalité et de transparence. La Chambre Contentieuse ordonne à la ville la suppression de toutes les empreintes vocales et de tous les fichiers audio bruts contenant des voix collectés pendant la durée du projet.
Projet pilote : captation de bruit dans le quartier étudiant d’Anvers
En 2022, la Ville d’Anvers a installé 30 capteurs de son dans une zone ciblée de la ville. Le but de ce projet pilote était de cartographier les nuisances sonores dans le quartier étudiant et d’y remédier à l'aide de la technologie.
Les capteurs enregistraient les bruits ambiants en continu (7j/7, 24h/24), conservés sous la forme de « fichiers audio bruts » de 10 secondes. Quand, entre 19h et 7h, les sons enregistrés dépassaient un certain niveau de bruit, les capteurs préparaient une empreinte vocale (« Mel spectrogram »), c’est-à-dire une représentation (imagée) d’une voix spécifique. Ces empreintes vocales servaient à entrainer un modèle d’intelligence artificielle permettant de classer différents types de bruits et d’activer un système de « nudging » (encouragement à arrêter le bruit).
Fin 2022, le Service d’Inspection de l’APD a ordonné à la ville d’Anvers de suspendre temporairement le projet. La loi permet en effet au Service d’Inspection de prononcer des mesures provisoires afin d’éviter une situation susceptible de causer un préjudice grave, immédiat et difficilement réparable.
Absence de base légale valable et de garanties appropriées
Après investigation du Service d’Inspection, le dossier a ensuite été analysé par la Chambre Contentieuse de l’APD, qui a constaté entre autres que le projet ne reposait pas sur une base légale valable. Les capteurs collectaient des données sensibles (les empreintes vocales sont des données biométriques) ou contenant forcément des données sensibles (les conversations enregistrées peuvent comprendre des informations sur, par exemple, la santé ou les opinions politiques). Or, le RGPD interdit le traitement de données sensibles sauf dans un nombre restreint de cas (listés à l’art 9.2 du RGPD). Dans le cas d’espèce, la Ville d’Anvers ne pouvait valablement invoquer aucune de ces exceptions.
La Chambre Contentieuse note également des manquements en termes de transparence. Entre autres, elle souligne que la ville aurait communiqué que des conversations ne seraient pas enregistrées, or l’analyse du dossier montre que c’était bien le cas.
Elle constate enfin que les empreintes vocales étaient traitées de manière non chiffrée sur un Google cloud, dont la société mère se situe en dehors de l’Espace Economique Européen (aux USA), et ce en connaissance de cause et sans mesures appropriées de mitigation des risques.
La Chambre Contentieuse et le Service d’Inspection mettent en évidence, d’une part que l’avis du délégué à la protection des données de la ville (« DPO »), qui avait pointé des éléments potentiellement problématiques, n’a pas été suffisamment écouté ; et d’autre part que l’analyse des risques liés au projet pour les droits et libertés des individus (aussi appelée « AIPD ») était lacunaire. Or, une prise en considération de ces remarques ainsi qu’une analyse des risques appropriée auraient permis de mettre en œuvre des mesures pour atténuer les risques constatés par l’APD, et potentiellement d’éviter de commettre des infractions au RGPD.
Sanction
Pour sanctionner les manquements constatés en termes, entre autres, de légalité du traitement, de transparence, d’AIPD et de transfert de données vers des pays tiers, la Chambre Contentieuse de l'APD :
- adresse une réprimande à la Ville d’Anvers, et,
- lui ordonne de supprimer tous les fichiers audio bruts contenant des voix ainsi que les empreintes vocales.
Avant de prononcer sa sanction, la Chambre Contentieuse a pris en considération le fait qu’il s’agissait d’un projet pilote d’innovation limité dans le temps visant à résoudre un problème reconnu (nuisances sonores), et que la ville a collaboré à l’enquête.
Hielke Hijmans, Président de la Chambre Contentieuse, conclut : « La protection des données et l’innovation ne sont pas antinomiques. De tels projets technologiques doivent cependant être bien encadrés, en prenant en compte les potentiels risques pour les individus, et en mettant en place des mesures pour les atténuer. Nous insistons en ce sens sur l’importance de la mise en œuvre d’une analyse d’impact minutieuse, et de l’implication du délégué à la protection des données. »
L’APD rappelle également qu’elle met à la disposition des responsables du traitement des ressources pour les guider dans les nouvelles technologies, comme sa brochure d’information sur les systèmes d’IA ou son rapport sur sa journée d’étude « Smart Cities ».