RGPD et reconnaissance faciale : quels droits pour les personnes

Le visage peut être une donnée personnelle. Il devient donnée biométrique quand un traitement technique spécifique permet d’identifier ou d’authentifier une personne de manière unique. Date de relevé des textes cités : 23/09/2026.

Contexte : pourquoi la reconnaissance faciale et le RGPD posent question

Le RGPD distingue les données personnelles des données biométriques. Le texte définit la donnée biométrique comme « données à caractère personnel résultant d’un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d’une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques ». Cette formulation montre que l’image seule n’est pas automatiquement biométrique.

Le considérant 51 du RGPD précise que la photo devient donnée biométrique si elle est traitée selon un mode technique permettant l’identification ou l’authentification unique. Autrement dit, c’est le traitement qui transforme l’image en donnée sensible.

Plusieurs réglementations européennes et nationales complètent le RGPD. Le règlement dit « AI Act » (règlement (UE) 2024/1689) introduit des interdictions et des définitions nouvelles. Des textes nationaux, le code pénal et des décisions administratives complètent le cadre en France. La loi VSA et des délibérations de la CNIL encadrent des usages précis.

Quand une image ou un visage devient‑elle une « donnée biométrique » ?

La condition technique est centrale. Une image devient donnée biométrique si un traitement technique spécifique extrait des caractéristiques permettant l’identification unique. Le RGPD et son considérant 51 posent ce critère.

La distinction technique se lit aussi dans les définitions de l’AI Act : « identification biométrique » signifie une recherche 1:N visant à reconnaître une personne dans une base ; « vérification biométrique » signifie une comparaison 1:1 visant à authentifier l’identité d’une personne. Cette différence a des conséquences juridiques : seule la seconde peut être licite dans des contextes très ciblés, la première est strictement encadrée voire interdite selon les finalités.

Un exemple pédagogique : déverrouiller son téléphone par reconnaissance 1:1 relève d’une vérification biométrique. Chercher une personne dans une base avec une photo pour la retrouver relève d’une identification 1:N et entre dans le champ des interdictions ou des contrôles renforcés.

Quels droits pour la personne concernée (droits pratiques)

Le RGPD donne des droits clairs : droit d’accès, droit de rectification, droit d’effacement, droit d’opposition. Ces droits s’exercent auprès du responsable de traitement. Le cadre pratique suppose d’adresser une demande motivée au responsable, de conserver des preuves et, si nécessaire, d’aller jusqu’à un signalement ou une plainte.

La CNIL propose des formulaires et des procédures pour les plaintes. En cas d’usage illégal ou sans base légale, la personne peut saisir la CNIL et engager une voie contentieuse. Le recours à la plainte administrative ou pénale dépend des faits et de la gravité.

Bloc pratique « Ce que vous pouvez faire tout de suite » : capturez les pages où l’image apparaît, conservez horodatage et URL, demandez le retrait au responsable de la plateforme, formulez une demande d’effacement au responsable du traitement, conservez les échanges comme preuve.

Bloc « Si mon image circule sans mon accord » : adresser une demande de retrait à la plateforme concernée ; exercer le droit d’effacement auprès du responsable de traitement ; saisir la CNIL si la réponse est insatisfaisante ; signaler les contenus illicites via PHAROS et envisager un dépôt de plainte pour les cas graves ou intimes. Les URLs et contacts officiels à vérifier le jour de la publication figurent dans la section Ressources.

Ce qui est interdit ou strictement encadré (AI Act et droit pénal)

Le règlement (UE) 2024/1689 interdit depuis le 02/02/2025 certaines pratiques : moissonnage non ciblé d’images faciales pour constituer des bases, inférence d’émotions en milieu scolaire ou professionnel, catégorisation biométrique individuelle pour attributs sensibles, et identification biométrique à distance en temps réel dans des espaces publics à des fins répressives, sous réserve d’exceptions strictes. Ces interdictions visent des usages à haut risque et non des outils de comparaison d’images non biométriques.

Le règlement 2026/1744 a ajouté des interdictions concernant les systèmes qui génèrent ou manipulent des images ou vidéos réalistes à caractère intime sans consentement (« nudification ») et d’autres matériels illicites, applicables depuis le 02/12/2026. Il a aussi reporté le statut « haut risque » pour la biométrie au 02/12/2027 et fixé des règles de marquage des contenus de synthèse applicables depuis le 02/08/2026.

En droit pénal français, des articles interdisent la captation et la diffusion non consenties selon des lieux et des circonstances. Les dispositions visant la diffusion de contenus manipulés ou générés sans consentement ont été renforcées par la loi SREN et figurent dans des articles spécifiques du Code pénal. Pour le détail des textes et des peines, consulter Légifrance et les textes consolidés.

La CNIL a sanctionné des pratiques illicites par des décisions publiques, dont une décision relative à Clearview AI, accessible sur le site de la CNIL. L’absence de base légale peut conduire à des sanctions publiques.

Dates clés02 février 2025interdiction AI Actinterdiction de moissonnage non ciblé d’images faciales02 décembre 2026interdictions supplémentairesinterdictions sur nudification et matériel illicite02 décembre 2027haut risque biométriereport du statut « haut risque » pour la biométrie02 août 2026marquage contenus synthèserègles de marquage applicables

Cas particuliers : employeur, école, forces de l’ordre, particulier

Au travail, la délibération 2019‑001 de la CNIL encadre l’usage de la biométrie : justification, analyse d’impact (AIPD), alternatives à privilégier, conservation des gabarits sous contrôle individuel. Le pointage horaire par biométrie a été jugé souvent excessif et le consentement en contexte de subordination est rarement considéré comme libre.

Pour les écoles et les établissements éducatifs, l’AI Act interdit l’inférence d’émotions et encadre strictement tout usage biométrique. Les traitements visant des mineurs nécessitent des garanties renforcées et des motifs très clairs.

Pour les forces de l’ordre, l’identification biométrique en temps réel dans l’espace public est en principe interdite par l’AI Act, sauf exceptions strictes et autorisations nationales prévues par la loi. La mise en œuvre de telles exceptions doit respecter un cadre légal précis.

Pour un particulier qui trouve une photo d’une personne en ligne et cherche à la « vérifier », la recommandation générale est de ne pas entreprendre de recherche visant à identifier un tiers. La recherche d’images inversée compare des images indexées ; la reconnaissance faciale implique la création ou l’usage d’un gabarit biométrique et soulève des risques juridiques et éthiques importants.

Fiabilité des détecteurs de deepfake et bonnes pratiques pour se protéger

Les détecteurs de deepfake sont des classifieurs probabilistes. Ils ne sont pas fiables à 100 %. Leurs scores ne constituent pas une preuve. Les performances doivent être croisées avec des sources techniques primaires, comme les travaux de référence technique.

Bonnes pratiques : croiser une analyse technique (métadonnées, comparaisons d’images), conserver preuves, limiter la diffusion d’une image litigieuse, signaler la diffusion aux plateformes, et déposer une plainte si nécessaire. Ne pas se fier à un seul outil ni à un score isolé.