Un lecteur automatique de plaque d’immatriculation, ou LAPI, est une caméra couplée à un logiciel qui lit les plaques des véhicules et les compare à une liste. En France, les collectivités l’utilisent surtout pour contrôler le stationnement payant. Les forces de l’ordre s’en servent aussi pour repérer des véhicules recherchés.
Pour le stationnement, la CNIL fixe un cadre strict. Ainsi, le LAPI ne sert qu’à un pré-contrôle du paiement. Ensuite, un agent assermenté constate lui-même l’irrégularité et établit le forfait post-stationnement.
Lecteurs Automatiques de Plaques d’Immatriculation : Les systèmes de reconnaissance automatique des plaques d’immatriculation (ALPR) connaissent une adoption massive aux États-Unis. Toutefois, des récents incidents montrent que cette technologie soulève d’importantes questions de sécurité et de protection des données personnelles. En seulement 20 minutes à Nashville, Tennessee, un système ALPR a capturé des informations détaillées sur près de 1 000 véhicules, notamment leurs modèles, couleurs et plaques. Cependant, une mauvaise configuration a exposé ces flux vidéo et données à tous sur internet.
Le chercheur en sécurité Matt Brown a révélé que plus de 150 caméras Motorola ALPR divulguaient des flux en direct ainsi que les données collectées. Cette vulnérabilité provient de l’absence d’authentification et de la connexion des caméras à des réseaux publics. Brown a trouvé ces failles après avoir acheté une caméra ALPR sur eBay et avoir analysé son firmware.
Une situation similaire possible en France ?
En France, l’utilisation des dispositifs ALPR est strictement encadrée par la loi et le RGPD. Ces systèmes, fréquemment utilisés par les forces de l’ordre pour détecter des véhicules volés ou rechercher des suspects, collectent également une grande quantité de données. Cependant, la CNIL (Commission Nationale de l’Informatique et des Libertés) impose des contraintes strictes sur la durée de conservation des données et leur accès. Par exemple, les images capturées doivent être supprimées rapidement, sauf en cas d’enquête active.
Malgré ces mesures, la France n’est pas à l’abri de failles similaires. Les erreurs de configuration ou l’absence de protocoles de sécurité robustes pourraient entraîner des fuites comparables à celles observées aux États-Unis. Par ailleurs, la multiplication des dispositifs de surveillance, que ce soit les ALPR ou les caméras de vidéosurveillance, suscite des débats croissants sur leur impact sur les libertés individuelles.
Lecteurs Automatiques de Plaques d’Immatriculation , des leçons à tirer et des recommandations
Pour éviter de telles situations en France, il est essentiel d’adopter une approche proactive en matière de sécurité informatique. Voici quelques recommandations :
- Configuration stricte des réseaux : S’assurer que les caméras ALPR ne sont pas accessibles via des réseaux publics sans authentification forte.
- Audits de sécurité réguliers : Effectuer des tests périodiques pour détecter et corriger les potentielles failles de sécurité.
- Sensibilisation et formation : Former les responsables de ces systèmes aux bonnes pratiques en matière de sécurité et de protection des données.
- Encadrement juridique renforcé : S’inspirer de lois comme celle du New Hampshire, qui impose une suppression quasi immédiate des données collectées (dans un délai de trois minutes).
Si les ALPR peuvent jouer un rôle crucial dans la sécurité publique, leur utilisation doit être rigoureusement contrôlée pour prévenir tout abus ou fuite de données. Une vigilance constante et une collaboration entre les autorités, les techniciens et les régulateurs sont indispensables pour garantir le respect de la vie privée tout en maintenant l’efficacité des dispositifs de surveillance.
- Cegedim : anatomie de la plus grave fuite de données médicales jamais documentée en France
- Fuite de données IDMerit : 53 millions de Français exposés dans l’une des plus grandes violations de données KYC de l’histoire
- Fuite de données chez Espace CSE : les informations personnelles de milliers de salariés exposées sur le Dark Web
Lecteur automatique de plaque d’immatriculation : les règles pour une collectivité
Pour le pré-contrôle, le dispositif collecte trois données : le numéro de plaque, l’horodatage et la géolocalisation du véhicule. Par ailleurs, la collectivité peut photographier le contexte de stationnement, à la seule fin de constater l’irrégularité et d’établir le forfait post-stationnement à distance.
Ces données ne servent à aucune autre fin. De plus, la CNIL rappelle les principes de la loi Informatique et Libertés : finalité déterminée, données strictement nécessaires, durée de conservation limitée, sécurité et information des automobilistes. Enfin, le sous-traitant qui gère le dispositif doit offrir des garanties suffisantes.
La leçon de l’affaire américaine pour les communes
Les caméras décrites plus haut diffusaient leurs flux faute d’authentification. Par conséquent, une commune qui déploie des LAPI doit exiger de son prestataire un accès authentifié, un réseau fermé et des tests de sécurité. Notre page DPO des collectivités détaille l’accompagnement des communes sur ces dispositifs.
Sources
Pré-contrôle LAPI, données collectées et rôle de l’agent assermenté : Stationnement payant : les recommandations de la CNIL.
Questions fréquentes
Qu’est-ce qu’un LAPI ?
Une commune peut-elle verbaliser avec un LAPI ?
Quelles données collecte un LAPI de stationnement ?
