art. L. 233-1 et L. 233-2 du code de la sécurité intérieure — contrôle automatisé des données signalétiques des véhicules (LAPI)art. 10 de la loi n° 2023-380 du 19 mai 2023 (JOP 2024) — expérimentation des traitements algorithmiques sur images de vidéoprotectiondécret n° 2023-828 du 28 août 2023 — modalités de mise en œuvre de ces traitementsdécision n° 2023-850 DC du 17 mai 2023 — conformité de la VSA sous strictes réservesn° 506370 — le silence de la loi ne vaut pas autorisation d'algorithmeart. L. 521-3-1 du code de la consommation — retrait et blocage administratifs de contenus en ligneDéposé au Sénat le 25 mars 2026 par le ministre de l'Intérieur Laurent Nuñez avec engagement de la procédure accélérée, le projet de loi « Ripost » — réponses immédiates aux phénomènes troublant l'ordre public, la sécurité et la tranquillité de nos concitoyens — a été adopté par le Sénat le 26 mai 2026 (T.A. n° 118), puis transmis à l'Assemblée nationale. Après une commission mixte paritaire conclusive le 20 juillet 2026 (rapport n° 904, texte n° 905), les deux chambres ont adopté ses conclusions le 21 juillet 2026 — par 351 voix contre 179 à l'Assemblée.
Derrière les mesures qui ont fait les titres (protoxyde d'azote, rodéos motorisés, free parties), le texte contient un volet surveillance substantiel. Selon le dossier officiel du Sénat, il « étend les possibilités de recours à la lecture automatisée de plaque d'immatriculation » et « prolonge et étend le champ de l'expérimentation de la vidéoprotection algorithmique ».
Dans le détail rapporté par la presse spécialisée : la durée de conservation des données LAPI passerait de quinze jours à un an, les finalités d'accès à onze catégories d'infractions, avec un accès direct de la police, de la gendarmerie et des douanes limité au premier mois puis réservé aux enquêtes judiciaires sur autorisation d'un magistrat ; l'article 15 permettrait en outre des conventions avec des exploitants privés de dispositifs LAPI (parkings, autoroutes). L'article 19 prolongerait la VSA jusqu'au 31 décembre 2030 en l'étendant aux bâtiments ouverts au public, et l'article 19 bis ouvrirait, jusqu'au 31 décembre 2027, une expérimentation d'analyse algorithmique des images de commerces et centres commerciaux à seule fin de prévention du vol. L'identification biométrique et la reconnaissance faciale restent exclues dans les deux cas.
Au 31 juillet 2026, aucune saisine relative à ce texte ne figurait au tableau des affaires en instance « DC » du Conseil constitutionnel.
C'est la réponse législative directe au verrou posé six mois plus tôt par le juge. Le 30 janvier 2026, le Conseil d'État avait jugé que l'analyse algorithmique d'images de vidéoprotection n'était pas autorisée faute de base légale explicite : le législateur répond en écrivant cette base légale, et en l'élargissant. La leçon de méthode vaut au-delà du cas d'espèce — un blocage juridictionnel sur la surveillance automatisée n'est jamais définitif tant que le législateur peut le lever.
Pour un chercheur en cybersécurité ou un consultant en automatisation offensive, trois points sont concrets. D'abord, une base LAPI conservée un an au lieu de quinze jours change radicalement le modèle de menace : ce n'est plus un tampon volatil, c'est un historique de déplacements exploitable — et donc une cible d'exfiltration ou d'abus d'accès interne de première valeur. Ensuite, l'ouverture de conventions avec des exploitants privés déplace une partie de la surface d'attaque vers des systèmes de parkings et d'autoroutes rarement audités au niveau d'exigence d'un fichier de police. Enfin, l'article 19 bis fait entrer la détection algorithmique dans la grande distribution : des milliers d'exploitants privés vont devoir produire analyses d'impact, attestations de conformité, registres de suites données aux signalements et contrôle humain effectif — un périmètre d'audit et de conseil entièrement nouveau, où la conformité se démontre techniquement autant que juridiquement.