Reconnaissance faciale et RGPD : six questions à poser au prestataire

Vous organisez un séminaire. Le photographe livre huit cents photographies, et vous cherchez comment les distribuer à deux cents collaborateurs sans y passer la semaine. Un prestataire vous propose le tri automatique par reconnaissance faciale : chacun se reconnaît, chacun repart avec ses photos.

La fonction est séduisante. Elle repose aussi sur le traitement de données biométriques qui servent à identifier une personne de manière unique, ce que l'article 9 du RGPD classe parmi les catégories particulières, au même titre que les données de santé ou les opinions politiques. Le régime est celui de l'interdiction de principe, avec des exceptions limitées.

Cet article donne les six questions à poser avant de signer, et dit franchement lesquelles n'ont pas de réponse simple.

1. Que devient le portrait envoyé par chaque participant ?

Le mécanisme est toujours le même : la personne envoie un autoportrait, le service en calcule une signature numérique, puis compare cette signature à celles des visages détectés sur les photographies.

Trois choses à faire préciser :

• Le portrait lui-même est-il conservé après le calcul de la signature ? Il n'y a aucune raison de le garder : une fois la signature calculée, l'image d'origine ne sert plus à rien.
• La signature est-elle chiffrée au repos, et la clé vit-elle ailleurs que dans la base ?
• Combien de temps la signature est-elle conservée, et que se passe-t-il au terme ?

Une réponse du type « nous conservons les données le temps nécessaire à la finalité » ne dit rien. Demandez un nombre de jours.

2. Peut-on accéder aux photographies sans donner son visage ?

C'est la question qui sépare un consentement d'une formalité.

Si la seule façon de voir les photographies d'un événement est d'envoyer son portrait, alors le refus n'existe pas : accepter devient le prix d'entrée. Or un consentement n'est valable que s'il est libre, ce qui suppose qu'un refus soit possible sans perdre le service.

Vérifiez donc qu'il existe un parcours réel pour qui refuse. Et vérifiez le détail qui trahit tout : la case de consentement est-elle pré-cochée ? Une case déjà cochée n'est pas un consentement : le considérant 32 du RGPD l'écrit en toutes lettres, et la Cour de justice de l'Union l'a confirmé en 2019 dans l'arrêt Planet49.

3. Et les personnes qui n'ont rien demandé ?

Voici la question que presque personne ne pose, et c'est la plus importante.

Pour retrouver les photographies où figure Anne, il faut analyser tous les visages de toutes les photographies, y compris ceux de Bernard et Claire, qui n'ont rien envoyé, rien signé, et ne se connecteront jamais au service.

Ces personnes font pourtant l'objet d'un traitement biométrique.

Posez la question directement : sur quelle base légale traitez-vous les visages des personnes qui n'ont pas consenti ? Puis écoutez la réponse.

⚠️ Un prestataire qui répond « nous sommes conformes au RGPD » sans autre précision ne répond pas. Aucun label n'atteste qu'une entreprise est conforme au RGPD dans son ensemble. Les certifications prévues par l'article 42 existent, mais elles portent sur des traitements précis : si un prestataire en avance une, demandez lequel elle couvre. Et la conformité n'est pas un état qu'on acquiert une fois pour toutes : c'est une démonstration que chaque responsable de traitement doit pouvoir produire.

Les réponses sérieuses ressemblent plutôt à : combien de temps ces signatures vivent, si elles sont cloisonnées par événement, si elles sont associées à une identité, et si le prestataire reconnaît que ce point est le plus délicat de son produit. Un fournisseur qui vous dit ce que son analyse ne couvre pas est plus fiable que celui qui affirme que tout est réglé.

Nous appliquons cette exigence à nous-mêmes : notre position écrite sur ce point précis est disponible sur demande, et elle dit ce que nous ne prétendons pas.

4. Où sont hébergées les données, et sous quel droit ?

« Serveurs en Europe » ne suffit pas. La question est de savoir qui peut être contraint de livrer les données.

Le CLOUD Act permet aux autorités des États-Unis d'exiger d'une entreprise soumise à leur juridiction les données qu'elle détient ou contrôle, où qu'elles soient stockées. Une filiale européenne d'un groupe américain peut donc y être exposée, même quand ses serveurs sont en France.

Le cadre des transferts vers les États-Unis est, lui, instable. La Cour de justice de l'Union en a annulé deux, en 2015 puis en 2020 avec l'arrêt Schrems II, en raison de l'accès des services de renseignement américains aux données. Le troisième, le Data Privacy Framework, s'applique depuis juillet 2023 ; le Tribunal de l'Union l'a validé en septembre 2025, et un pourvoi est pendant devant la Cour de justice. Ce n'est pas une interdiction, c'est un risque que votre prestataire doit savoir décrire.

Demandez le nom de l'hébergeur et le pays d'établissement de la société qui l'exploite, pas seulement l'emplacement du centre de données.

5. Une analyse d'impact a-t-elle été réalisée ?

L'analyse d'impact relative à la protection des données est obligatoire, pas facultative, pour un traitement biométrique à grande échelle. La liste publiée par la CNIL y ajoute les traitements biométriques de reconnaissance qui portent sur des personnes vulnérables, et cite les élèves parmi les exemples. Un mariage ou une fête d'entreprise compte souvent des enfants : l'hypothèse n'a rien de théorique.

Demandez si elle existe. Un prestataire qui n'a pas fait cette analyse n'a pas mesuré son propre risque, et c'est vous qui le porterez avec lui.

Vous n'avez pas à en exiger le texte intégral, qui contient des éléments techniques confidentiels. Mais son existence, sa date, et la liste des écarts qu'elle recense sont des demandes légitimes.

6. Comment une personne fait-elle retirer son visage ?

Le droit à l'effacement s'exerce, il ne se promet pas. Vérifiez qu'il existe un mécanisme concret, accessible sans créer de compte, et demandez le délai de traitement.

Une personne qui découvre trois mois plus tard qu'elle figure sur des photographies doit pouvoir agir sans passer par vous.

Ce qui reste votre responsabilité

Un point que les prestataires mentionnent rarement, et qui compte pour un employeur.

Pour les photographies de votre événement, c'est vous le responsable de traitement. Vous décidez de photographier, vous choisissez les images, vous les diffusez. Le prestataire traite pour votre compte. L'obligation d'informer les personnes photographiées vous revient donc, et elle préexiste au choix de l'outil.

⚠️ Un point délicat en contexte professionnel : le consentement d'un salarié à son employeur est fragile par nature. Le Comité européen de la protection des données estime qu'en raison du déséquilibre entre les deux, un salarié ne peut consentir librement qu'à titre exceptionnel, lorsqu'un refus n'a pour lui aucune conséquence. Concrètement, faire signer une décharge à vos collaborateurs ne règle pas la question aussi bien qu'on l'espère.

Ce qui fonctionne mieux : informer clairement en amont, s'assurer qu'un refus n'a aucune conséquence, et proposer une alternative réelle. C'est exactement ce que permet un parcours où l'on peut voir les photographies sans donner son visage.