Qu’est-ce que le Texas CUBI Act ?

Texas CUBI Act : définition

Le Texas CUBI Act est l’appellation courante de la réglementation texane relative aux données biométriques, à savoir le Capture or Use of Biometric Identifier Act. Cette loi a été adoptée en 2009 et est codifiée dans le Texas Business and Commerce Code, Chapter 503. Elle encadre la collecte, la conservation, l’utilisation et la transmission commerciales d’identifiants biométriques. En pratique, dans les analyses de conformité, elle est le plus souvent examinée dans le contexte des systèmes de reconnaissance faciale, car l’image d’un visage peut servir à extraire un gabarit biométrique permettant d’identifier une personne.

Dans le contexte de l’anonymisation des photos et des vidéos, le Texas CUBI Act n’interdit pas en soi le floutage des visages. La question essentielle est de savoir si l’organisation effectue, avant le masquage de l’image, des opérations pouvant être qualifiées de collecte ou d’utilisation d’un identifiant biométrique. Si un système d’IA analyse un contenu uniquement pour détecter un visage en tant qu’objet et appliquer immédiatement un masque de flou, le risque réglementaire est en général plus faible que dans le cas de la création de modèles faciaux durables, de la comparaison de personnes entre plusieurs enregistrements ou de l’identification d’individus précis. En pratique, la frontière se situe donc entre la détection d’objet à des fins d’anonymisation et l’identification ou la vérification biométrique d’une personne.

Du point de vue des sources primaires, les références les plus importantes sont : le texte du Texas Business and Commerce Code, Chapter 503, les prises de position et mesures d’exécution de l’Attorney General of Texas, ainsi que, à titre comparatif, la jurisprudence et la pratique relatives à la loi de l’Illinois, la BIPA. Le CUBI Act est une réglementation étatique, et non fédérale, applicable aux activités commerciales menées au Texas.

Champ d’application matériel et personnel du Texas CUBI Act

La loi s’applique aux entités commerciales qui capturent un identifiant biométrique à des fins commerciales. Il ne s’agit pas d’un texte limité au seul secteur de la vidéosurveillance ou de l’IA. Il peut concerner les éditeurs de logiciels d’analyse d’images, les intégrateurs CCTV, les fournisseurs d’outils de traitement photo ainsi que les responsables de contenus vidéo.

Sur le plan normatif, trois éléments sont déterminants : la nature des données, la finalité du traitement et les obligations incombant à l’entreprise. Dans le Texas CUBI Act, l’identifiant biométrique comprend un scan de la rétine ou de l’iris, une empreinte digitale, une empreinte vocale, ainsi qu’un enregistrement de la géométrie de la main ou du visage. Ce dernier point est directement pertinent pour les systèmes de traitement d’image.

Domaine

Importance pratique pour les photos et vidéos

Géométrie du visage

Peut être créée lorsque le système calcule un vecteur de caractéristiques faciales afin d’identifier ou d’apparier une personne

Détection de visage

La simple détection d’une zone du visage à flouter ne signifie pas toujours la création d’un identifiant biométrique, mais elle exige une analyse de l’architecture du modèle et de la logique de traitement

Conservation

Le risque augmente lorsque les caractéristiques faciales sont enregistrées, indexées ou reliées aux métadonnées d’une personne

Partage

La transmission de gabarits biométriques à des tiers est soumise à des restrictions spécifiques

Obligations des entreprises au titre du Texas CUBI Act

La loi impose aux entreprises des obligations matérielles qui doivent être interprétées strictement. Pour les équipes chargées de l’anonymisation vidéo, l’enjeu principal est d’identifier le moment où la chaîne de traitement technique commence à créer des données biométriques au sens de la loi.

En simplifiant, une organisation commerciale ne peut pas capturer un identifiant biométrique sans avoir préalablement informé la personne concernée et obtenu son consentement. En outre, la loi limite la vente, la location et la divulgation de ces données, sauf en présence d’un fondement juridique déterminé. Elle exige également de protéger les données biométriques avec un degré de diligence raisonnable et de les supprimer dans un délai raisonnable, au plus tard un an après la réalisation de la finalité de leur collecte.

• information préalable de la personne sur la capture de l’identifiant biométrique,
• obtention du consentement avant la collecte des données,
• interdiction, dans la plupart des cas, de vendre, louer ou autrement divulguer un identifiant biométrique,
• limitation de la communication des données biométriques à des tiers,
• mise en œuvre de mesures de sécurité raisonnables, au moins comparables à celles appliquées aux autres données confidentielles,
• suppression des données dans un délai raisonnable, au maximum dans l’année suivant la finalité de leur collecte.

Pour les contenus photo et vidéo, cela signifie que la conformité ne dépend pas seulement du fait que le fichier final comporte des visages floutés, mais aussi de ce qui se passe pendant le traitement. Si le modèle crée un embedding facial, l’enregistre et l’utilise pour reconnaître à nouveau la même personne, les obligations de conformité sont nettement plus étendues que dans le cas d’une simple détection ponctuelle de la zone du visage à anonymiser.

Importance du Texas CUBI Act pour l’anonymisation des visages dans les photos et les enregistrements

En pratique, l’anonymisation d’images vise à réduire l’identifiabilité d’une personne. Cela favorise généralement la protection de la vie privée, mais ne dispense pas automatiquement d’une analyse réglementaire au stade du traitement initial. Un système de floutage de visages fonctionne généralement à l’aide de modèles de deep learning qui détectent le visage dans l’image, définissent un cadre englobant ou un masque de segmentation, puis appliquent un flou, une pixellisation ou un masque opaque. Un tel modèle d’IA doit au préalable être entraîné sur des jeux de données contenant des visages. Le seul recours au deep learning ne signifie pas encore qu’il y a traitement d’identifiants biométriques d’une personne précise figurant dans un contenu de production, mais l’architecture de la solution est ici déterminante.

Le modèle opérationnel le plus sûr pour l’anonymisation est celui dans lequel le système :

• détecte les visages localement ou dans un environnement contrôlé,
• ne crée pas de gabarits faciaux durables associés à une personne,
• ne compare pas les visages entre plusieurs fichiers afin d’identifier une personne,
• n’enregistre pas de journaux contenant des données biométriques ou des résultats de reconnaissance d’identité,
• limite, après anonymisation, la durée de conservation du contenu source conformément à la politique de l’organisation.

Cette distinction est également importante dans l’évaluation pratique des outils. Un logiciel d’anonymisation tel que Gallio PRO floute automatiquement les visages et les plaques d’immatriculation, mais il n’est pas conçu pour l’identification biométrique des personnes. Il ne réalise pas non plus l’anonymisation de flux vidéo ni en temps réel. Pour l’analyse au regard du Texas CUBI Act, il est essentiel de déterminer si le système est déployé comme un outil de masquage d’image ou comme un outil de reconnaissance d’identité.

Différences entre le Texas CUBI Act et l’Illinois BIPA

Le CUBI Act est le plus souvent comparé à la loi de l’Illinois, la BIPA, c’est-à-dire le Biometric Information Privacy Act, 740 ILCS 14, en vigueur depuis 2008. Les deux réglementations concernent les données biométriques, mais leurs conséquences pratiques pour les entreprises diffèrent.

Critère

Texas CUBI Act

Illinois BIPA

Année

2009

2008

Champ d’application

Capture d’un identifiant biométrique à des fins commerciales, ainsi que sa conservation, son utilisation et sa divulgation

Collecte, capture, achat, réception par voie commerciale et autres formes d’obtention de données biométriques

Action privée

En principe, absence de droit d’action privée comparable à celui de la BIPA

Oui : c’est la principale source du risque contentieux élevé

Conservation

Suppression dans un délai raisonnable, au plus tard un an après la finalité de la collecte

Exigence d’une politique publique de conservation et d’un calendrier de destruction des données

Enjeu contentieux

Risque d’exécution plus marqué de la part de l’autorité étatique

Risque très élevé de recours collectifs et de dommages-intérêts prévus par la loi

La différence la plus importante du point de vue de la conformité est que la BIPA a instauré un régime particulièrement fort de litiges civils, tandis que le Texas CUBI Act constitue avant tout un instrument d’exécution de droit public. Cela ne signifie pas que le risque est faible. Cela signifie simplement que le profil de risque juridique et la manière de documenter la conformité sont différents.

Paramètres clés pour évaluer la conformité des systèmes d’anonymisation

Lors de l’évaluation d’un outil de traitement de photos et de vidéos, il est utile de traduire les exigences légales en caractéristiques techniques mesurables. La seule efficacité de la détection de visages ne suffit pas. Il faut vérifier si la solution génère et conserve des données biométriques, pendant combien de temps elle les stocke et où le traitement a lieu.

• conservation des données - durée maximale de conservation du contenu source, des masques, des métadonnées et des éventuels embeddings faciaux,
• mode de déploiement - un déploiement on-premise ou dans un environnement contrôlé limite l’exposition des données,
• précision de la détection - le recall et la precision pour les visages influencent le risque de laisser une personne non anonymisée dans l’image,
• faux négatifs - les visages non détectés constituent un risque pour la vie privée et la conformité,
• absence d’identification - il convient de confirmer que le système n’est pas destiné à la reconnaissance d’identité,
• journalisation - les journaux ne doivent pas contenir de données personnelles ni de gabarits biométriques, sauf nécessité avérée.

En pratique, on peut appliquer une règle d’évaluation simple : moins il y a d’opérations dépassant la simple détection ponctuelle d’un visage à flouter, plus le risque d’entrer dans le régime biométrique est faible. Cela ne remplace pas une analyse juridique, mais aide à structurer l’architecture de la solution.

Références normatives et sources

La définition et les obligations doivent être vérifiées en priorité au niveau des sources primaires. En cas de divergences d’interprétation, le texte de loi et la pratique officielle d’exécution prévalent.

• Texas Business and Commerce Code, Chapter 503 - Biometric Identifiers, droit en vigueur au Texas
• Illinois Biometric Information Privacy Act - 740 ILCS 14
• Documents et communications de l’Attorney General of Texas relatifs à l’application des règles biométriques
• Documentation technique du système de traitement d’image - indispensable pour déterminer s’il y a création de gabarits biométriques

Voir aussi

• RGPD
• Anonymisation des données
• Floutage des visages
• Protection de la vie privée