↓ Version .md brute (pour NotebookLM)

Loi Ripost : comment le législateur français a répondu au juge sur la surveillance automatisée

Une loi « fourre-tout » et son volet invisible

Le 21 juillet 2026, tard dans la nuit, le Parlement français a définitivement adopté le projet de loi surnommé « Ripost », acronyme de son intitulé officiel : *réponses immédiates aux phénomènes troublant l'ordre public, la sécurité et la tranquillité de nos concitoyens*. Dans la presse généraliste, le texte a été résumé à trois mesures : l'interdiction de la vente de protoxyde d'azote au grand public, la création de délits pour les rodéos motorisés et pour l'organisation de *free parties*, et le relèvement de l'amende forfaitaire délictuelle pour usage de stupéfiants. Ces mesures sont réelles et occupent effectivement une bonne partie du texte.

Mais la loi Ripost contient aussi un volet qui n'a pratiquement pas quitté les colonnes de la presse spécialisée, et qui pourrait pourtant avoir des effets bien plus durables : elle réécrit le cadre de deux technologies de surveillance automatisée de l'espace public — la lecture automatisée de plaques d'immatriculation (LAPI) et la vidéoprotection algorithmique (VSA). Le dossier officiel du Sénat le dit sans ambiguïté : le texte vise à « étendre les possibilités de recours à la lecture automatisée de plaque d'immatriculation » et à « prolonger et étendre le champ de l'expérimentation de la vidéoprotection algorithmique ».

Pour comprendre pourquoi ce vote compte, il faut remonter six mois en arrière.

Le verrou du juge, et sa levée par le législateur

Le 30 janvier 2026, le Conseil d'État a rendu une décision (n° 506370) qui a fait date. Saisi par la ville de Nice après une mise en demeure de la CNIL, il a jugé que le traitement algorithmique des images de vidéosurveillance de la voie publique n'était pas autorisé « en l'état actuel de la loi ». Le raisonnement est d'une simplicité redoutable : le titre V du code de la sécurité intérieure autorise la vidéoprotection de la voie publique, mais il ne dit rien de l'analyse automatisée des images ainsi collectées. Or, en matière de traitement de données à caractère personnel par les autorités publiques à des fins de police, le silence de la loi ne vaut pas autorisation. Filmer et faire analyser ce qui est filmé par une machine sont deux opérations juridiquement distinctes, quand bien même elles reposent sur le même matériel.

C'est précisément ce verrou que la loi Ripost lève. Le législateur ne conteste pas le raisonnement du juge — il en tire la conséquence en écrivant la base légale qui manquait, et en profite pour élargir le périmètre. La leçon vaut d'être retenue : un blocage juridictionnel fondé sur l'absence de base légale n'est jamais définitif, puisqu'il désigne lui-même le remède au législateur.

Ce que change la loi sur les plaques d'immatriculation

Les dispositifs LAPI existent en France depuis 2006 et sont encadrés par les articles L. 233-1 et L. 233-2 du code de la sécurité intérieure, complétés par l'arrêté du 18 mai 2009. Ils permettent à la police nationale, à la gendarmerie et aux douanes de mettre en œuvre des dispositifs fixes ou mobiles qui photographient automatiquement les plaques des véhicules — et, selon les cas, les véhicules eux-mêmes avec leurs occupants — pour les rapprocher de fichiers de recherche. Les finalités historiques sont limitées : prévention et répression du terrorisme, criminalité organisée, vol et recel de véhicules, contrebande.

Selon le détail rapporté par la presse spécialisée à partir du texte adopté, la loi Ripost opère un changement d'échelle sur trois axes. D'abord les finalités : l'accès aux données LAPI serait étendu à onze catégories d'infractions, ajoutant notamment le vol aggravé, l'évasion, l'escroquerie, la soustraction de mineurs, la contrebande de tabac, le trafic de déchets, le refus d'obtempérer et — point le plus débattu au Parlement — l'aide à l'entrée et au séjour irréguliers.

Ensuite la durée : la conservation passerait de quinze jours à un an. C'est le changement le plus lourd de conséquences, et il mérite qu'on s'y arrête. Quinze jours, c'est un tampon technique : de quoi rapprocher une plaque d'un signalement en cours. Un an, c'est un historique. Sur douze mois, la trace des passages d'un véhicule devant des points de lecture fixes ne dit plus seulement « ce véhicule est passé ici » ; elle dessine des habitudes, des trajets domicile-travail, des fréquentations, des lieux de culte ou de soin. La loi tempère cette extension par une gradation d'accès : la police, la gendarmerie et les douanes disposeraient d'un accès direct pendant un mois à compter de la collecte, l'accès ultérieur étant réservé aux enquêtes judiciaires sur autorisation d'un magistrat. Le texte précise également que les traitements concernés « ne comportent aucune technique de reconnaissance faciale ».

Enfin l'origine des données : l'article 15 donnerait une base légale à des conventions entre les services de l'État et des personnes morales de droit privé exploitant des dispositifs LAPI — gestionnaires de parkings, sociétés d'autoroutes — pour organiser la mise à disposition de leurs données aux forces de l'ordre. C'est ce point, avec l'extension des finalités, que La Quadrature du Net avait dénoncé dès le 17 juin 2026 comme l'installation d'une « surveillance massive des déplacements ».

Un article 15 bis ouvrirait par ailleurs une expérimentation de trois ans d'analyse algorithmique des trajets de véhicules, resserrée en fin de navette : trois finalités seulement (criminalité organisée, vol et recel de véhicules volés, vol aggravé), conservation limitée à quatre mois, accès réservé aux personnels de police et de gendarmerie affectés dans des services de renseignement, exclusion de toute exploitation des photographies des occupants, et interdiction de croiser ces données avec d'autres traitements.

Ce que change la loi sur la vidéoprotection algorithmique

La VSA avait été introduite en droit français par l'article 10 de la loi n° 2023-380 du 19 mai 2023 relative aux Jeux olympiques et paralympiques de 2024, dont les modalités ont été fixées par le décret n° 2023-828 du 28 août 2023. Il s'agissait alors d'une expérimentation strictement bornée : détection en temps réel d'« événements prédéterminés » susceptibles de présenter des risques d'actes de terrorisme ou d'atteinte grave à la sécurité des personnes, dans des lieux accueillant des manifestations sportives, récréatives ou culturelles particulièrement exposées, ainsi que dans les transports.

Le Conseil constitutionnel avait validé ce dispositif dans sa décision n° 2023-850 DC du 17 mai 2023, mais sous des réserves strictes qui constituent aujourd'hui le socle du régime : aucune reconnaissance faciale, aucune donnée biométrique, aucun rapprochement ni interconnexion avec d'autres fichiers, autorisation par arrêté préfectoral motivé et limité dans le temps, et surtout — c'est la garantie la plus structurante — le traitement ne produit qu'un signalement, qui ne peut à lui seul fonder aucune décision individuelle ni aucun acte de poursuite.

L'article 19 de la loi Ripost prolongerait cette expérimentation jusqu'au 31 décembre 2030, en conservant la finalité de prévention du terrorisme et des atteintes graves à la sécurité des personnes, mais en étendant le périmètre aux bâtiments ouverts au public exposés à un risque permanent ou exceptionnel — et non plus aux seuls grands événements. L'exclusion de toute identification biométrique est maintenue.

L'article 19 bis, lui, est entièrement nouveau, et c'est probablement la disposition la plus surprenante du texte. Il ouvrirait, jusqu'au 31 décembre 2027, une expérimentation de traitements algorithmiques appliqués aux images de surveillance des commerces de détail, grandes surfaces et centres commerciaux, à la seule fin de prévention du vol. Sur le papier, l'encadrement est dense : interdiction de toute identification biométrique ou reconnaissance faciale, contrôle humain obligatoire, analyse d'impact soumise à la CNIL, registre des suites données aux signalements, attestation de conformité publiée avant mise à disposition du système, interdiction d'utiliser les images captées comme données d'entraînement, et remise d'un rapport d'évaluation au Parlement avant le 30 septembre 2027.

Deux dispositions numériques à ne pas manquer

Deux autres articles méritent l'attention. L'article 7 ter habilite l'autorité administrative à faire retirer, bloquer ou déréférencer des contenus en ligne relatifs à la vente illégale de protoxyde d'azote, via le mécanisme de l'article L. 521-3-1 du code de la consommation — c'est-à-dire un blocage administratif, sans intervention préalable d'un juge. À l'inverse, l'article 11 introduit une clause de souveraineté numérique : les données transmises dans le cadre de certaines procédures de coopération judiciaire ne pourraient être traitées, hébergées ou rendues accessibles au moyen d'une solution fournie par une entité susceptible d'être soumise à une législation extraterritoriale étrangère — une référence transparente au Cloud Act américain.

Où en est le texte

Au 31 juillet 2026, aucune saisine relative à la loi Ripost ne figurait au tableau des affaires en instance « DC » du Conseil constitutionnel, qui ne recensait alors que trois lois en attente de décision. Le texte adopté demeure donc, à cette date, en attente de promulgation. Les modalités d'application des dispositifs de caméras et de traitements algorithmiques qu'il prévoit devront par ailleurs être fixées par décrets en Conseil d'État, après avis de la CNIL — une étape où se jouera concrètement une bonne part du niveau de garantie.

Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Choisissez l'angle qui correspond le mieux à votre intérêt du moment ; les cinq propositions ci-dessous couvrent des perspectives différentes sur ce même dossier.

Angle 1 — Audit offensif et points de contrôle techniques. Concentre-toi sur ce que devient une base LAPI conservée un an au lieu de quinze jours du point de vue du modèle de menace : quels contrôles un auditeur devrait vérifier (cloisonnement des accès directs du premier mois et des accès judiciaires ultérieurs, journalisation et traçabilité des consultations, purge effective à échéance, protection des rapprochements), et quels scénarios d'abus d'accès interne ou d'exfiltration deviennent réalistes lorsqu'un fichier de passages se transforme en historique de déplacements.

Angle 2 — Architecture, API et chaîne de collecte privée. Détaille l'architecture qu'implique l'article 15, qui permettrait des conventions entre l'État et des exploitants privés de dispositifs LAPI (parkings, sociétés d'autoroutes) : par quels formats et quelles interfaces ces données transiteraient, quelles questions d'intégrité et d'authenticité se posent quand la donnée probante naît hors du système d'information de l'État, et pourquoi ces équipements privés constituent une surface d'attaque historiquement moins durcie que les fichiers de police.

Angle 3 — Comparaison avec les autres dossiers déjà traités dans ce dépôt. Mets ce texte en regard de la décision n° 2023-850 DC du 17 mai 2023 sur la VSA et de la décision du Conseil d'État du 30 janvier 2026 sur Nice, toutes deux déjà couvertes dans ce dépôt : montre comment on passe d'une validation sous réserves, à une censure pour absence de base légale, puis à une réponse législative qui écrit cette base et l'élargit — et ce que cette séquence en trois temps dit du rapport de force entre juge et législateur en matière de surveillance.

Angle 4 — Veille réglementaire automatisée sur les décrets d'application. Explique comment un consultant en automatisation construirait une veille qui suit la suite du dossier : publication de la loi au Journal officiel sur Légifrance, saisine éventuelle du Conseil constitutionnel via le tableau des affaires en instance, puis parution des décrets en Conseil d'État et des délibérations de la CNIL rendues sur leurs projets. Précise les sources à interroger, la fréquence utile, et pourquoi les avis CNIL publiés au JO sont souvent le document le plus informatif du lot.

Angle 5 — Prospective : la conformité algorithmique arrive dans la grande distribution. Explore ce que l'article 19 bis crée comme marché de conformité : des milliers d'exploitants privés devant produire analyses d'impact, attestations de conformité publiées, registres des suites données aux signalements et contrôle humain démontrable, avec interdiction d'utiliser les images comme données d'entraînement. Discute de la manière dont on vérifie techniquement une telle interdiction, et de l'articulation à venir avec les obligations de l'AI Act pour les systèmes d'IA déployés en environnement commercial.