585 U.S. 296 (2018) : accéder aux données de bornage téléphonique est une perquisition, car chacun a une attente raisonnable de vie privée « dans l'ensemble de ses déplacements physiques »n° 25-112, 29 juin 2026 : les policiers effectuent une perquisition en obtenant l'historique de localisation via un mandat de géorepérage. La Cour écarte l'argument de la courte durée (« même une surveillance de courte durée » révèle les associations familiales, politiques, professionnelles, religieuses) et écarte la doctrine du tiers625 ILCS 5/2-130, interdit de partager des données LAPI en vue d'enquêter sur le statut migratoire ou d'entraver l'accès aux soins de santé reproductive ; Californie, SB 34 (2015), interdit aux polices locales de partager ces données avec des agences fédérales ou hors de l'Étatart. L. 233-1 et L. 233-1-1 du code de la sécurité intérieure : seules la police nationale, la gendarmerie nationale et les douanes peuvent mettre en œuvre des dispositifs LAPI de prévention et de répression, pour des finalités énumérées (terrorisme, criminalité organisée, vol de véhicules, contrebande, infractions routières)art. L. 130-9-1 du code de la route et arrêté du 19 avril 2024 (système ACVR, voies réservées) : suppression dès que le véhicule est en règle, sinon 8 jours ouvrés, et 3 ans pour les seules données d'infractionart. 10 du RGPD : les données relatives aux infractions ne peuvent être traitées que sous le contrôle de l'autorité publique ou si un texte l'autorise — verrou décisif pour un opérateur privéC-817/19, Ligue des droits humains (données PNR) et CJUE, gr. ch., 6 octobre 2020, C-511/18, La Quadrature du Net : la conservation généralisée et indifférenciée de données de déplacement n'est admissible que sous conditions strictes de nécessité, de proportionnalité et de contrôle indépendant préalableFlock Safety, entreprise établie à Atlanta, exploite un réseau national de caméras qui enregistrent chaque jour les numéros de plaque et d'autres caractéristiques de tous les véhicules qui passent. Selon l'Associated Press, des milliers de services de police répartis dans 49 États peuvent interroger et partager ces données d'une juridiction à l'autre. Ce n'est pas un fichier public : c'est un service commercial, dont l'entreprise affirme que les clients restent propriétaires des données enregistrées.
Le jeudi 13 août 2026, son directeur général Garrett Langley a annoncé une refonte de la plateforme. Ce qui n'était qu'optionnel devient obligatoire au 1er janvier : outil d'audit détectant les recherches anormales, avec verrouillage automatique du compte dans l'attente d'un examen interne ; obligation de rattacher chaque recherche à un numéro de dossier issu du système de gestion des procédures, les dérogations d'urgence étant automatiquement signalées ; possibilité pour chaque client de choisir les catégories d'infractions pour lesquelles des services extérieurs peuvent interroger ses données — donc de bloquer les recherches liées à l'immigration. Surtout, la durée de conservation standard passe de 30 à 7 jours, au-delà desquels seules les données rattachées à un dossier sont préservées.
Ce recul intervient sous pression convergente. Le Washington Post a recensé début août près de cinquante cas de policiers poursuivis ou mis en cause pour usage détourné des caméras, souvent pour suivre un compagnon, une ancienne compagne ou un membre de leur famille. Cette semaine, six agents de la police de Savannah, dont quatre policiers, ont été licenciés après avoir été accusés d'avoir recherché des proches et laissé un agent extérieur utiliser les caméras de la ville ; quatre employés du shérif du comté de Richmond ont été arrêtés et licenciés depuis juin. Selon le compteur tenu par le collectif DeFlock, plus de 50 collectivités ou services ont annulé, suspendu ou refusé un contrat, ou désactivé leurs caméras, depuis le début de l'année.
Le contentieux avance en parallèle. Dans Schmidt v. City of Norfolk, deux habitants soutenus par l'Institute for Justice contestent le maillage d'environ 200 caméras Flock de la ville. Un juge fédéral de Virginie leur a donné tort en janvier 2026, retenant l'échelle limitée du dispositif et une fenêtre glissante de 21 jours ; l'appel est pendant devant la cour d'appel du quatrième circuit (n° 26-1227). Entre-temps, le 29 juin 2026, la Cour suprême a rendu Chatrie, dont la motivation — l'application du Quatrième amendement ne dépend pas de « la qualité ou de la quantité » d'informations obtenues — vise précisément le raisonnement retenu à Norfolk. Robert Frommer, avocat à l'Institute for Justice, qualifie les annonces de Flock d'« habillage de vitrine » et rappelle que « ce sont les policiers qui décident qui chercher et quand, alors que cela devrait être fait par des juges avec de vrais mandats ». L'ACLU voit dans la réduction de la durée de conservation « un pas dans la bonne direction » et considère le reste comme des redites.
En France, le même jour, le Conseil constitutionnel a rendu sa décision n° 2026-915 DC sur la loi Ripost, saisi par deux recours de plus de soixante députés portant sur trente articles. Il censure sept dispositions au fond, en écarte cinq autres comme cavaliers législatifs — les articles 10, 18, 26, 41 et 65 —, formule des réserves d'interprétation et valide les autres dispositions soumises à son examen. Les articles 15 et 15 bis, consacrés aux LAPI, ne figurent pas parmi les cavaliers censurés.
Aux États-Unis — légal par défaut, encadré par exception. Il n'existe pas de loi fédérale sur la protection des données applicable à ces dispositifs. Le point de départ est qu'une plaque exposée sur la voie publique n'est pas privée, et une entreprise privée peut donc installer des caméras, constituer une base et vendre l'accès à des services de police. L'encadrement vient de trois sources, aucune systématique : la Constitution, lorsque l'accumulation devient un traçage — c'est le débat ouvert par Carpenter, prolongé par Chatrie et pendant dans Schmidt ; les lois d'État, très inégales, l'Illinois et la Californie encadrant strictement les partages tandis que d'autres États ne prévoient rien ; enfin le contrat et la politique interne de chaque service, c'est-à-dire l'autorégulation dont Flock vient d'annoncer le durcissement.
En France — interdit par défaut, légal seulement là où un texte le prévoit. Un traitement de police n'a d'existence juridique que si une norme le crée. Trois conséquences se déduisent directement des textes. D'abord, seules la police nationale, la gendarmerie nationale et les douanes peuvent mettre en œuvre un LAPI à des fins de recherche et de constatation d'infractions ; la CNIL rappelle que les polices municipales n'y sont pas autorisées, y compris pour alimenter d'éventuelles réquisitions judiciaires. Ensuite, quand une commune finance des capteurs par convention avec le ministère de l'Intérieur, aucun traitement ne doit être opéré à son bénéfice et des mesures techniques doivent garantir qu'elle n'accède pas aux flux. Enfin, les LAPI de stationnement ou de voies réservées ont des finalités et des durées propres — suppression immédiate si le véhicule est en règle, 8 jours ouvrés à défaut — et ne peuvent pas servir de base de traçage général. Un opérateur privé qui exploiterait un réseau de lecture sur la voie publique et vendrait l'interrogation rétrospective aux forces de l'ordre se heurterait donc à trois obstacles cumulés : absence de base légale, absence de finalité admissible, et article 10 du RGPD, qui réserve le traitement des données relatives aux infractions au contrôle de l'autorité publique.
Ce qui est légal en France, et qui l'est beaucoup. L'absence de Flock ne signifie pas l'absence de traçage — elle signifie que l'État le fait lui-même. Selon le rapport de la commission des lois du Sénat, les trois administrations exploitaient 480 LAPI fixes au 28 août 2025, auxquels s'ajoutent 175 dispositifs douaniers de trois ou quatre capteurs chacun, 98 LAPI mobiles et 23 transportables — de l'ordre de 700 capteurs. Depuis 2024, le STCL centralise l'ensemble et supprime la contrainte pratique qui protégeait le plus efficacement : il fallait auparavant identifier un capteur précis pour le réquisitionner. Le ministère de l'Intérieur indique qu'un capteur en activité contient en moyenne les enregistrements de 90 000 véhicules, ce qui place la base autour de plusieurs dizaines de millions de photographies de plaques à chaque instant. La conservation par défaut est aujourd'hui de 15 jours — contre 8 avant 2024 —, portée à un mois supplémentaire en cas de rapprochement positif.
Ce que la loi Ripost déplace. L'article 15 étend la liste des infractions ouvrant l'accès — y compris l'aide à l'entrée et au séjour irréguliers —, porte la conservation par défaut de 15 jours à un an, ce qui conduirait selon la CNIL à conserver « environ 700 millions de plaques d'immatriculation », et crée un accès administratif antiterroriste d'un mois, sans enquête judiciaire donc sans contrôle du juge ni du parquet. L'article 15 bis ouvre aux services de renseignement une conservation de quatre mois assortie d'une analyse algorithmique des « mouvements de véhicules susceptibles de révéler » certaines infractions, sans avis de la CNCTR. Le même texte autorise enfin les conventions par lesquelles communes, concessionnaires d'autoroutes et exploitants de parkings mettent leurs données à disposition de l'État — le point exact où le modèle français rejoint, par l'autre bout, l'agrégation que Flock opère par le marché.
La comparaison est instructive parce qu'elle inverse les intuitions. Le droit américain protège mal en amont — n'importe qui peut poser une caméra — mais dispose d'un juge constitutionnel capable de disqualifier d'un coup l'ensemble d'une pratique, et d'une société civile qui obtient des retraits contrat par contrat. Le droit français protège bien en amont — nul ne peut créer un tel fichier sans texte — mais, dès lors que le texte existe, l'extension se fait par voie législative ordinaire, sans que chaque élargissement ne rouvre le débat de principe. Autrement dit : aux États-Unis on discute de la constitutionnalité d'un dispositif déjà déployé ; en France on discute du périmètre d'un dispositif déjà légal.
Le point commun est la rétrospectivité. Tant que la lecture de plaque sert à déclencher une alerte immédiate contre un fichier de véhicules volés, elle reste un outil ciblé. Dès qu'elle alimente une base interrogeable a posteriori, elle change de nature : elle permet de reconstituer le trajet de personnes qui n'ont jamais été soupçonnées de rien, et de remonter dans le temps sur une durée qui n'a plus de rapport avec l'urgence opérationnelle. C'est exactement le raisonnement de Carpenter et de Chatrie côté américain ; c'est aussi celui qu'oppose la Cour de justice de l'Union à la conservation généralisée depuis La Quadrature du Net et Ligue des droits humains. Passer de 15 jours à un an n'est pas une différence de degré : c'est la constitution d'un historique.
Le deuxième point commun est le détournement par les agents, qui n'est ni marginal ni imprévisible. Près de cinquante policiers américains mis en cause, six agents licenciés à Savannah en une semaine, quatre dans le comté de Richmond depuis juin : ces « recherches de curiosité » sont le mode de défaillance le plus banal de toute base consultable. La réponse annoncée par Flock — journalisation, détection d'anomalies, rattachement obligatoire à un numéro de dossier — est précisément la réponse d'ingénierie attendue, et elle éclaire par contraste le point faible de l'article 15 de la loi Ripost : un accès administratif qui ne suppose aucune justification versée à un dossier ne produit aucune trace auditable, donc aucun détournement détectable.
Pour un praticien de la sécurité offensive et de l'automatisation, trois conséquences concrètes. D'abord, un réseau de lecture de plaques est une infrastructure exposée comme une autre : capteurs sur la voie publique, liaisons sans fil, portail web multi-tenant, API de recherche inter-juridictions, fédération d'identités entre services — sa surface d'attaque est celle d'un SaaS de surveillance, et l'agrégation nationale y transforme toute compromission de compte en accès à l'historique du pays entier. Ensuite, la traçabilité des requêtes devient le véritable objet de conformité : qui a cherché quoi, sous quel motif, avec quelle pièce au dossier, et pendant combien de temps ces journaux sont-ils conservés. Enfin, la cartographie des capteurs est devenue une pratique documentée et publique — OpenStreetMap et le projet DeFlock recensent des emplacements des deux côtés de l'Atlantique —, ce qui fait de l'inventaire du parc un exercice ouvert plutôt qu'un secret opérationnel.