Chaque fois que Marci Bakely quittait son domicile — une course à l'épicerie, une soirée en rendez-vous — son téléphone vibrait en quelques minutes. Son ex-petit ami semblait connaître ses déplacements presque en temps réel. Une enquête du Washington Post a ensuite documenté comment : Michael Steffman, chef de la police de Braselton et ancien partenaire de Marci Bakely, avait consulté sa plaque d'immatriculation ainsi que celle de sa fille adolescente environ 600 fois via Flock Safety, une entreprise qui construit et exploite des réseaux de lecteurs automatisés de plaques d'immatriculation, communément appelés ALPR.
Le Georgia Bureau of Investigation a arrêté Steffman en novembre 2025 pour des accusations de harcèlement criminel, de harcèlement et d'utilisation abusive d'un système ALPR. Il a été retrouvé mort avant que l'affaire ne puisse être jugée. Pour Bakely, l'affaire s'est terminée sans confrontation devant un tribunal ni reddition de comptes publique sur la manière dont un seul compte officiel a pu être pointé vers une citoyenne privée autant de fois.
Pas un cas isolé : l'ampleur des abus
L'expérience de Bakely est loin d'être un cas unique. L'enquête du Post a identifié au moins 50 agents des forces de l'ordre accusés d'avoir abusé des réseaux ALPR. Parmi eux, 26 auraient utilisé les caméras de Flock pour surveiller des partenaires romantiques actuels ou anciens — ou des personnes qu'ils espéraient courtiser. Depuis ce premier reportage, le journal affirme avoir identifié au moins 100 employés de services de police qui ont été inculpés ou accusés d'abus.
Dans le cas de Bakely, les consultations allaient au-delà d'une seule cible : Steffman a également recherché les plaques appartenant à sa fille adolescente, selon l'enquête. Ce détail illustre comment un seul compte autorisé peut exposer les habitudes quotidiennes de tout un foyer, des trajets scolaires aux rendez-vous médicaux, sans que la personne concernée ne sache jamais qu'une recherche a eu lieu.
Ce schéma recadre le débat. La question n'est plus seulement de savoir si une poignée d'agents s'est comportée de manière criminelle. Il s'agit de savoir si les systèmes qu'ils ont utilisés ont rendu ce comportement facile, discret et reproductible.
La réponse de Flock — et ses limites
Flock Safety conteste ce cadrage. L'entreprise souligne que les individus impliqués représentent une très faible proportion de ses plus de 140 000 utilisateurs mensuels, et elle met en avant les journaux d'audit permanents comme un outil qui aide à faire émerger les fautes après coup.
Les deux affirmations ont du poids. Une plateforme avec une base d'utilisateurs aussi large inclura inévitablement des acteurs malveillants, et des journaux consultables sont véritablement mieux que rien — c'est d'ailleurs ainsi que plusieurs de ces affaires ont été révélées.
Mais les pistes d'audit sont un mécanisme de détection, pas un mécanisme de prévention. Elles documentent les abus après que l'historique de localisation d'une personne a déjà été exposé. Pour une personne traquée par un ex-partenaire, une entrée de journal qui apparaît des mois plus tard offre peu de protection pendant les mois de surveillance eux-mêmes.
La porte d'entrée était grande ouverte
Ce qui rend les affaires ALPR distinctives, c'est l'absence de toute effraction technique. Aucun pirate n'a craqué une base de données. Aucun identifiant n'a été hameçonné. Aucun initié n'a exfiltré un disque dur. Selon le reportage, chacun de ces utilisateurs s'est simplement connecté par la porte d'entrée, utilisant un accès autorisé à des fins non autorisées.
Cette distinction sépare cet épisode d'une histoire de cybersécurité conventionnelle. Les pare-feu, le chiffrement et les tests d'intrusion ne font presque rien pour empêcher un titulaire de compte légitime de taper un numéro de plaque dans une case de recherche pour des raisons personnelles. La vulnérabilité ne réside pas dans les défenses du logiciel ; elle vit dans le modèle de permissions qui entoure les données.
Pourquoi il s'agit d'un problème d'architecture
Un universitaire spécialiste de procédure pénale qui dirige une école consacrée à la criminalistique a soutenu que la controverse des ALPR pointe vers un défaut intégré à la conception du système de surveillance, et pas simplement vers la criminalité de certains utilisateurs. Ce cadrage est utile car il détourne l'attention de la faute individuelle vers des choix structurels qui peuvent être réingénierés.
Limitation des finalités et moindre privilège
Deux principes de longue date issus des pratiques de protection des données sont pertinents ici. La limitation des finalités veut que des informations collectées pour une raison déclarée ne soient pas réutilisées pour une autre. Le moindre privilège veut que les personnes reçoivent l'accès minimal nécessaire à l'exercice de leurs fonctions.
Une architecture qui permet à des milliers d'agents individuels d'effectuer des recherches de plaques en texte libre et sans restriction — sans numéro de dossier, sans motif déclaré et sans validation hiérarchique — va à l'encontre des deux principes à la fois. Dans cette conception, la seule chose qui se dresse entre une plaque et l'historique de localisation d'une personne, c'est la retenue de l'utilisateur lui-même. Les manuels de politique et les modules de formation supposent que cette retenue tient généralement. Le schéma documenté par le Post suggère que ce n'est pas toujours le cas.
À quoi ressemblerait une meilleure conception
Rien de tout cela ne signifie que les lecteurs de plaques doivent être abandonnés, ni que les agences doivent perdre un outil qui peut véritablement aider à résoudre des crimes. Cela signifie que la couche d'accès mérite le même examen que la couche des caméras.
- Exiger une justification documentée et liée à un dossier avant que toute recherche ne renvoie des résultats, plutôt qu'une entrée de journal rédigée après coup.
- Restreindre les permissions de recherche par rôle, afin qu'un petit nombre de personnels vérifiés puissent effectuer des recherches larges au lieu de tous les titulaires de compte.
- Signaler et verrouiller les recherches impliquant des plaques liées aux adresses des agents eux-mêmes, à leurs proches ou à des contacts personnels connus.
- Notifier la personne faisant l'objet d'une recherche, ou un organisme de contrôle indépendant, lorsque les consultations sortent du cadre des affaires déclarées.
- Donner aux civils un rôle significatif dans l'examen des données d'audit agrégées, plutôt que de laisser la surveillance entièrement à l'intérieur de l'agence.
Chaque mesure augmente les coûts : friction administrative, enquêtes plus lentes, logiciels plus complexes. Ces coûts sont réels et méritent d'être pesés honnêtement. Mais ils sont le prix à payer pour passer de la détection après le préjudice à la prévention avant celui-ci.
Les enjeux plus larges
Les lecteurs de plaques d'immatriculation ne sont qu'un nœud dans une toile croissante d'observation automatisée. Les mêmes questions de conception se répètent avec la reconnaissance faciale, les images de drones et les données de localisation agrégées provenant des véhicules et des téléphones. À mesure que ces réseaux s'étendent, l'écart entre un « utilisateur autorisé » et un utilisateur digne de confiance devient un risque systémique plutôt qu'un problème de ressources humaines.
L'affaire Bakely s'est terminée sans procès, et l'agent accusé de l'avoir traquée n'est plus en vie pour répondre aux accusations. Mais l'architecture qui a rendu possibles des centaines de consultations fonctionne toujours dans des services à travers le pays. Tant que l'accès ne sera pas repensé autour de la finalité, du privilège et du contrôle externe, la prochaine personne à être traquée le sera probablement par quelqu'un qui n'a jamais eu à vaincre les défenses du logiciel — seulement les limites de sa propre fiche de poste.
Cet article est basé sur un reportage de Fast Company. Lire l'article original.
Originally published on fastcompany.com
