La reconnaissance faciale fascine autant qu’elle inquiète. Dans l’espace public, elle se heurte à une interdiction de principe. Le RGPD, l’AI Act, la CNIL et le CEPD encadrent strictement cette technologie. Voici ce qu’une entreprise peut faire, et surtout ce qu’elle ne peut pas.
La reconnaissance faciale est-elle autorisée dans l’espace public ?
Non, pas librement. Le principe reste l’interdiction. Le gabarit du visage constitue une donnée biométrique.
Le RGPD encadre ce traitement depuis 2018. L’AI Act le complète depuis 2024. Les deux textes se cumulent, ils ne se remplacent pas.
Résultat concret : deux conformités à démontrer en même temps. Beaucoup d’entreprises l’ignorent encore.
L’article 9 du RGPD classe ces données parmi les catégories particulières. Leur traitement est interdit sauf exception précise.
À cette règle s’ajoute l’AI Act. Son article 5 prohibe l’identification biométrique à distance en temps réel dans les lieux accessibles au public.
Quelles exceptions l’AI Act prévoit-il ?
Les dérogations sont rares et réservées aux forces de l’ordre. Elles supposent une autorisation préalable et une menace grave.
Chaque exception suppose un contrôle préalable. Un juge ou une autorité indépendante valide l’usage avant tout déclenchement.
Un acteur privé ne peut pas s’en prévaloir pour surveiller la voie publique. Voici les seuls cas admis.
| Cas autorisé | Condition stricte |
|---|---|
| Recherche de victimes | Enlèvement, traite, exploitation sexuelle |
| Menace imminente | Risque grave pour la vie ou attaque terroriste |
| Localisation d’un suspect | Infraction grave, autorisation d’un juge |
Ces cas restent exceptionnels et strictement bornés. Ils ne créent aucun droit pour les entreprises privées.
Hors de ces cas, le moissonnage d’images de visages pour créer une base de reconnaissance est lui aussi interdit.
La catégorisation biométrique qui devine l’origine, les opinions ou l’orientation est également prohibée. Idem pour la reconnaissance des émotions au travail.
Que disent la CNIL et le CEPD ?
La CNIL réclame depuis 2019 un débat démocratique avant tout déploiement. Elle refuse les expérimentations sans base solide.
Elle a par exemple écarté un projet de portique biométrique à l’entrée de lycées en 2019. Le tribunal administratif l’a suivie.
Ce refus n’est pas de la frilosité. Il protège un droit fondamental, celui d’aller et venir sans être suivi.
Le CEPD et le Contrôleur européen ont demandé dès 2021 une interdiction générale de ces dispositifs dans les lieux publics.
Le message des autorités est constant depuis cinq ans. La surveillance biométrique de masse reste hors du cadre légal.
En France, la CNIL supervise désormais l’application des interdictions de l’AI Act, entrées en vigueur le 2 février 2025.
Vous hésitez à déployer un dispositif biométrique ou une caméra intelligente ? Un DPO externalisé qui sécurise vos projets tranche le risque avant l’investissement.
Comment une entreprise doit-elle se positionner ?
Partez du principe que la reconnaissance faciale dans l’espace public est interdite. Cherchez d’abord une alternative moins intrusive.
Associez votre délégué à la protection des données très tôt. Son analyse oriente le projet dès la conception.
Si un dispositif reste envisagé, documentez une base légale et une analyse d’impact. Le consentement explicite est rarement suffisant en pratique.
Avant tout projet, passez ce filtre simple.
- Le dispositif vise-t-il l’espace public ? Si oui, l’interdiction s’applique.
- Existe-t-il une alternative sans biométrie ? Privilégiez-la toujours.
- Disposez-vous d’une base légale solide et documentée ?
- Une analyse d’impact a-t-elle été réalisée et tenue à jour ?
Ce réflexe évite un investissement voué à l’arrêt. Il rassure aussi vos clients et vos partenaires.
Anticipez enfin l’évolution du cadre. Les interdictions de l’AI Act se durcissent, la marge de manoeuvre se réduit chaque année.
Les Jeux de Paris 2024 illustrent la ligne. Les caméras augmentées ont été autorisées, mais la reconnaissance faciale explicitement écartée.
FAQ
La reconnaissance faciale est-elle totalement interdite en France ?
Non, mais elle est très encadrée. Dans l’espace public, le principe reste l’interdiction. Seules des exceptions étroites, réservées aux autorités et soumises à autorisation, existent. Un acteur privé ne peut pas surveiller la voie publique par reconnaissance faciale, même pour des motifs de sécurité.
Une entreprise peut-elle utiliser la reconnaissance faciale avec le consentement des personnes ?
Le consentement explicite peut lever l’interdiction de l’article 9, mais il doit rester libre. Dans l’espace public, cette condition est presque impossible à réunir. Une personne ne peut pas refuser sans être fichée. La CNIL considère ce consentement comme rarement valable pour ce type de dispositif.
Les caméras augmentées sont-elles de la reconnaissance faciale ?
Non. Les caméras augmentées analysent des situations, par exemple un mouvement de foule ou un colis abandonné. Elles ne cherchent pas à identifier une personne par son visage. La reconnaissance faciale, elle, compare un gabarit biométrique à une base. La loi française a nettement séparé ces deux usages.
Quel risque en cas de déploiement non conforme ?
Le risque est double. La CNIL peut prononcer une amende allant jusqu’à 20 millions d’euros ou 4 pour cent du chiffre d’affaires mondial. L’AI Act prévoit des sanctions encore plus lourdes pour les pratiques interdites. S’ajoutent l’atteinte à l’image et l’arrêt forcé du dispositif.
