INTERVIEW. Sécurité des Jeux Olympiques : « On se doit d'être conforme au RGPD, à la CNIL et à la déclaration préfectorale »

A deux jours du coup d’envoi officiel des Jeux olympiques de Paris 2024, et alors que la sécurité entourant l’événement inquiète les Français, le JSS s’est entretenu avec Guillaume Charon, directeur de marché chez Genetec. Spécialisée dans les logiciels de vidéosurveillance, l’entreprise équipe la moitié des sites olympiques. « On parle de plusieurs dizaines de milliers d’équipements », précise l’expert.

JSS : À quelques jours de l’ouverture des Jeux olympiques, nous imaginons que vous êtes dans les starting-blocks...

Guillaume Charon : En réalité, l'installation de nos solutions est finie depuis des mois. Globalement, le COJO (le comité des Jeux olympiques) a pris les sites en exploitation sous sa responsabilité depuis fin mars. Maintenant, on est uniquement en support s'il y a des problèmes. Il reste bien quelques barrières à mettre sur le périphérique, mais pas en ce qui concerne les solutions Genetec.

JSS : Quelles sont vos solutions déployées pour les Jeux de Paris ?

G.C. : Notre savoir est vraiment dans la création de logiciels qui vont gérer la sûreté d'une manière générale. Notre logiciel doit être compatible avec les caméras, les algorithmes et les technologies qui sont actuellement sur le marché, déjà installées, mis en œuvre pour les Jeux olympiques. Côté contrôle d'accès, c'est la gestion des portes, ouvrir aux bonnes personnes sur les sites. Et puis, en cas de procédure ou d’exception, nous sommes capables de partitionner l’accès. C’est-à-dire fermer certaines portes, en ouvrir d'autres en cas de problématique d'évacuation ou tout ce qui peut se passer sur ce type d’événement.

JSS : Quels défis représente l’organisation de l'événement pour la sécurité française ?

G.C. : La complexité sur des événements comme les JO, c'est qu'on ne parle pas d'un bâtiment, d'un siège social, d'une entreprise à la Défense ; on parle de 44 sites olympiques. On en équipe à peu près la moitié. Mais il va falloir faire remonter les informations pour une exploitation locale par les forces de l’ordre, leur donner l’information et l’accès aux images. Le COJO (le comité des Jeux olympiques) a la responsabilité de la sécurité à l'intérieur d'un stade. Une fois sur le parvis, on est dans l'accès à la ville donc la responsabilité revient aux polices municipales et nationale. Toute la difficulté en termes de gestion de la sûreté est qu’à distance, les autorités vont devoir prendre des décisions en ayant accès à plus ou moins d'informations. C'est le multi-site simultané qui fait la complexité technique des Jeux olympiques.

JSS : La cérémonie d'ouverture se fait au cœur de Paris. Est-ce la première fois que vous équipez et surveillez un périmètre de sécurité si large ?

G.C. : On a déjà fait une coupe d'Europe, la visite d'un pape ou de personnalités. Ce qui est impressionnant pour la cérémonie d'ouverture, c'est la superficie occupée. On est à peu près dans le même principe. Il y a une enceinte quand même, puisque c'est restreint en accès, pour gérer les tickets. Mais on est dans une ville. Nous sommes sur l'interaction entre deux systèmes, le système de la préfecture de police de Paris et le système qui a été déployé exceptionnellement pour les sites temporaires. La cérémonie d'ouverture fait partie des 17 sites temporaires. Ces sites-là ensuite vont être démontés comme le Grand Palais Éphémère. En ce qui concerne la sécurité, l’héritage est le terme utilisé par le COJO. Il faut noter que 80 %, voire 90 % du matériel est déjà existant.

JSS : De combien de caméras parle-t-on pendant la durée des jeux ?

G.C. : Ce qui est complexe pour nous, c'est de gérer un grand nombre de sites dans le pays, des sites provisoires et des sites de crise. Ce qui est important aussi, c'est que quand on pense Jeux olympiques, on pense sites olympiques, mais il y a aussi tout ce qui est autour, c'est-à-dire que les touristes vont circuler dans les aéroports, les gares, les autoroutes, mais aussi dans les musées, les centres commerciaux, etc. La sécurité des Jeux olympiques, c'est les Jeux, mais également la sécurité de toutes ces personnes sur le territoire Île-de-France, et on pourrait même dire français. Et puis il y a quelques lieux un peu particuliers, la voile est à Marseille, le surf à Tahiti. En tout cas, on parle de dizaines de milliers, c'est sûr, de plusieurs dizaines de milliers d’équipements.

JSS : À quelles contraintes légales faites-vous face ?

G.C. : L'utilisation d'un système de vidéosurveillance est très régie par la loi. Vous installez une caméra en France, vous devez faire une déclaration préfectorale et attendre l'autorisation. Cette mesure était déjà en vigueur. Ça s'applique sur les nouveaux sites de la même manière. Même dispositif pour le contrôle d’accès. Pour les Jeux, on va créer une base de données avec des utilisateurs, avec des badges. Un badge égal un nom, un prénom et des droits d'accès à des portes et à des sites. On doit faire une déclaration à la CNIL de création d'une base de données. Tous ces textes, toutes ces lois étaient existantes avant les Jeux olympiques. On se doit d’être conforme au RGPD, à la CNIL et à la déclaration préfectorale. 

"C'est le multi-site simultané qui fait la complexité technique des Jeux olympiques."

                                                           - Guillaume Charon, directeur de marché chez Genetec

Les seuls textes ou les seuls décrets d'application spécifiques aux Jeux olympiques, en ce qui nous concerne, c'est la possibilité à titre expérimental de mettre en œuvre de l'intelligence artificielle. Les députés ont voté un texte autorisant un certain nombre d'algorithmes possibles à mettre en place à titre expérimental. Ils ont une date de fin d'utilisation qui est planifiée en juin 2025. Sur la sécurité, ce sont des algorithmes qui vont, dans certains cas, donner de l'information quand il y a du regroupement de personnes, du comptage de personnes, des bagages abandonnés, des véhicules à l’arrêt. Ces flux vidéo vont être utilisés, renvoyés dans de l'intelligence artificielle qui va remonter des informations sur nos postes d’exploitation. Exemple d’une anomalie, la gestion du flux de personnes qui attendent sur le parvis. Si on s'aperçoit que la donnée de comptage nous indique que la tribune principale est remplie à 90 %, on va déplacer les équipes de palpation de la porte A vers la porte B. Les algorithmes permettent d'avoir une visibilité totale de l’instant T. Ces données sont intéressantes, l'intelligence artificielle donne un complément d’information.

JSS : Comment ces outils ont-ils été programmés et entraînés pour détecter ces comportements dits « anormaux » ?

G.C. : C’est la société Wintics qui les a entraînés. Ces algorithmes ont fait du deep learning (de l'apprentissage profond) depuis des mois ou des années pour remonter les informations. En réalité, ils prennent une photo qu’ils vont transformer en metadata. Derrière, il n'y a plus rien de nominatif. Est-ce que c'est une tête, un visage, etc ? Leur algorithme va dire que c'est une personne, deux personnes, trois personnes. Ils vont ressortir des données, mais à aucun moment on garde l'image. Il ne faut plus considérer la caméra comme un créateur d'images, mais plutôt comme un capteur. 

Au même titre que quand vous rentrez à la maison, vous avez un détecteur d'intrusion qui dit « il y a quelqu'un dans la salle à manger ». L’algorithme utilise juste la caméra qui est déjà présente pour récupérer des datas et avec la première photo prise, il dit « il y a 17 personnes dans cette zone-là », avec la deuxième, il dit « il y en a 15 ». Après, ce sont des montées d'indicateurs qui vont dire le nombre de personnes à telle heure, à tel moment, le taux de remplissage, le nombre de véhicules, grand, petit, jaune, blanc, vert, etc. Mais la loi française le régit tellement qu'il ne peut pas y avoir de stockage de cette donnée.

JSS : Garantissez-vous qu’il n’y aura aucun usage de la biométrie ?

G.C. : Très bonne question. Est-ce qu'il y a eu des choses particulières qui ont été mises en œuvre pour les Jeux olympiques, autre que ce qui est utilisé classiquement ? Je n'en ai pas connaissance. Ce qui est utilisé principalement, c’est votre passeport dans les aéroports ou votre empreinte qui permet de vérifier que vous êtes le bon porteur du badge. En France, en tout cas, il ne peut pas y avoir de reconnaissance biométrique par image. Ça a été totalement interdit dès le départ sur les algorithmes utilisables à titre expérimental pour les JO. Ils ont défini les cas d’usage. Elle pourrait être déployée à titre exceptionnel mais nécessiterait une discussion de la part des députés.

JSS : Si une entreprise l’utilise à l’insu des autorités, qui peut la contrôler ?

G.C. : Pour le privé, nous sommes contrôlables par la CNIL ou la préfecture. Et pour tout ce qui est sécurité de type informatique, c'est l'ANSSI. À tout moment, on peut être contrôlé. Pour les forces de l'ordre, la commission rogatoire peut obliger l’opérateur qui exploite le système à sortir les enregistrements de la porte A sur le parvis de 9 h à 9 h 15. Ce qu'on nous demande dans ce cadre- là, c'est que chaque opérateur qui va faire une opération d'extraction d'image, se logge (se connecte). Cela fournit la traçabilité de qui a utilisé l'outil pour faire quoi, à quel moment. La loi peut nous imposer une durée d’autorisation d'utilisation d'enregistrement pendant 15 jours. Pour certains cas tels que des attentats, on peut nous demander de saisir par exemple 8 000 caméras. La loi française prévoit une saisie maximum de 30 jours d'enregistrement pour les sites recevant du public.

Pourtant, la loi du 19 mai 2023 mentionne qu’un « échantillon d'images collectées au moyen de systèmes de vidéoprotection autorisés peut être utilisé comme données d'apprentissage pendant une durée strictement nécessaire, de douze mois au plus à compter de l'enregistrement des images ». Seulement 7 ou 8 cas d'usages ont été définis pour l’expérimental. S'il se passe un de ces cas-là, vous pourrez ainsi conserver les images jusqu'à la fin de l’expérimentation, soit fin juin 2025…

Nous allons paramétrer le système pour 15 jours ou 30 jours, et après, à titre d'une commission obligatoire, on pourra bloquer les images si nous avons une autorisation de la préfecture. Nous cryptons et stockons les données sur nos serveurs de manière à ce que personne n’y ait accès. On va communiquer les images et les clés de cryptage aux forces de l’ordre, qui en feront ce dont elles ont besoin.

JSS : Aujourd'hui, rien n'est inviolable et le niveau des hackers est plus élevé que jamais. Comment garantissez-vous qu’il n’y ait pas de fuite de données ?

G.C. : Vous avez sûrement raison, mais seulement quelques personnes dans le monde sont capables d'acquérir des données encryptées à 128 bits. Il faut accéder aux données, donc au réseau, au serveur. Ensuite, il faudrait avoir les capacités de calcul, la connaissance et la compétence pour le faire. Ça laisse sûrement une petite porte ouverte, mais uniquement pour une poignée de personnes dans le monde.

JSS : Les Jeux olympiques représentent pléthore de données. Comment seront-elles stockées ?

G.C. : Il y a des data centers. Un pour qu'il y ait toujours un fonctionnement du système élevé, c'est-à-dire que si certains serveurs tombaient en panne, celui-ci fonctionnerait dans tous les cas. Il y a une notion de redondance et d'efficience du système. Et c'est exactement la même chose pour les données, elles sont redondées de manière à les avoir à plusieurs endroits si un data center n'avait plus d'électricité. Les data centers sont sécurisés par eux-mêmes, ils sont à différents endroits, également pour éviter les problèmes d’électricité, d'inondations ou d'attaques physiques. 

La protection des Jeux olympiques implique également la protection des intérêts vitaux, comme les fournisseurs d'électricité ou les fournisseurs de télécoms. S'il n'y a plus d'électricité sur un site, le stade se retrouve dans une difficulté d'exploiter. La sécurité des JO va bien au-delà des sites, des parvis et des moyens de transport.

JSS : Avec la menace terroriste qui plane sur ce type d’événement, comment cela va-t-il fonctionner pour vous ? Disposez-vous de sources de renseignement ?

G.C. : Notre rôle est de pouvoir renvoyer ces informations dans des sites de crise de manière qu'ils aient accès aux images, aux portes, aux procédures, au bon moment. Il y a plein de sites, de parvis, de moyens de transport qu’on remonte au centre de proximité d'exploitation, qui lui-même le remonte au centre départemental de crise qui va le remonter au centre national. C'est une fédération multicouche, c'est ce qu'on nous demande. Par contre, je suis incapable de vous dire quelle base de données ils mettent en face. Nous, on peut juste dire « on a vu passer la voiture bleue avec telle immatriculation ».

JSS : On estime le taux d'absentéisme du personnel de sécurité privée de l’ordre de 20 % minimum. On peut donc penser que vous risquez de constater des défaillances qui pourraient réduire la capacité à gérer tous les problèmes.

G.C. : Vous avez une donnée que je ne connaissais pas. Ça va créer une problématique de flux, c’est sûr. Ce qui va remonter dans le système, c'est l'exemple même de la palpation. S'il manque du monde, ça va créer de l’embouteillage à l'extérieur et sur le parvis avec des mouvements de foule. On a vu ça sur certains matchs parce que les gens ne peuvent pas rentrer. Après, ce sont les forces de l’ordre qui prennent le relais. Ce n'est plus la même problématique. Ce n'est plus un problème d'exploitation du stade pour faire rentrer les personnes.

JSS : Certes, mais cette situation pourrait-elle entraîner une scène comparable à l’accueil de la finale de la Ligue des Champions au Stade de France en 2022 ?

G.C. : On a tous cet exemple en tête. De nouveau, ce qui est intéressant pour nous, c'est qu'ils ont tiré une expérience de ce cas-là. Les procédures à mettre en œuvre ont changé. Pour nous c'est une évolution. Eux ont décidé de la manière dont ils devraient gérer différemment ce type de crise.

JSS : Avec cette hyper-surveillance algorithmique, comment pouvez-vous assurer que le droit à la vie privée sera respecté ?

G.C. : On a la chance d’être très encadré en France. On est un des pays qui régit le plus. C'est sûr que ça freine notre business. Le RGPD de l’Union européenne nous dit ce qu'on peut faire des données, comment les stocker et les partager. C’est plutôt une bonne chose. De plus, on ne peut pas créer une base de données si facilement. Peut-être qu’on mettra en France des intelligence artificielles, dans certains cas d'usage, dans deux, trois ou quatre ans, quand il y aura le retour d'expérience. D'autres pays l'auront fait avant, mais ils auront peut-être eu des débordements que nous éviterons grâce à la législation.

JSS : Vous dites que cela freine votre business mais la France représente malgré tout votre deuxième marché…

G.C. : Tout à fait. Mais en matière d'intelligence artificielle, certains pays sont en avance sur le sujet. C’est impossible à mettre en œuvre en France. Ce qui se fait quand même, mais de manière assez discrète, c'est la verbalisation des véhicules grâce à la plaque d’immatriculation avec un bon cadre juridique pour ce cas d'usage précis. Ce qu'il faut, c'est obliger les entreprises comme les nôtres à faire que nos solutions soient certifiées par l'ANSI, que nos bases de données soient encryptées, qu'on respecte la législation, la CNIL, etc.

JSS : Les installations que vous avez mises en place pour les Jeux seront-elles démontées ?

G.C. : Quasiment pas. Quelque chose qui a été très bien défini par le COJO au départ était la notion d’héritage. Globalement, les stades qui ont été équipés ou renforcés en équipement vont garder leur installation. Les villes également. Il y a quelques sites temporaires ou quelques installations qui seront démontées mais la plupart des caméras vont être héritées par la ville.

JSS : Les Jeux olympiques sont ainsi l’opportunité parfaite pour la France de s'ultra-équiper ?

G.C. : Cet héritage est vraiment très structurant pour l'Île-de-France. Je pense que c'est une très bonne chose. Après, on est d'accord ou pas d’accord.

Propos recueillis par Hugo Bouqueau