Reconnaissance faciale en France : les règles, les usages et les interdits

Un visage peut servir à déverrouiller un smartphone, vérifier l’identité d’un voyageur ou aider des enquêteurs à rapprocher une photographie d’un fichier. Ces gestes, qui semblent relever d’une même technologie, n’ont pourtant ni le même objectif, ni le même degré d’intrusion, ni le même régime juridique. En France, la reconnaissance faciale n’est pas interdite dans son ensemble. Elle est en revanche soumise à un cadre particulièrement exigeant, car elle touche à ce que chacun possède de plus difficile à modifier : ses caractéristiques physiques.

La question ne se réduit donc pas à savoir si un algorithme reconnaît correctement un visage. Elle porte aussi sur le lieu de son utilisation, les personnes concernées, la base de données consultée, la durée de conservation des informations et la possibilité, ou non, de refuser le dispositif. Entre le contrôle aux frontières et une caméra qui identifierait continuellement les passants, l’écart juridique est considérable.

Reconnaissance faciale : de quoi parle-t-on exactement ?

La reconnaissance faciale désigne des procédés informatiques qui analysent des caractéristiques du visage afin de les comparer à une ou plusieurs images de référence. L’algorithme transforme généralement le visage en un gabarit mathématique, puis calcule une correspondance avec les gabarits qu’il peut consulter.

Il faut distinguer deux opérations très différentes :

• L’authentification, aussi appelée comparaison « un pour un », vérifie qu’une personne est bien celle qu’elle prétend être. C’est le principe d’un téléphone qui compare le visage présenté à son propriétaire déjà enregistré.
• L’identification, ou comparaison « un pour plusieurs », cherche qui est une personne parmi une base d’images. Elle peut, par exemple, rapprocher le visage visible sur une photographie avec un fichier contenant de nombreux portraits.

Cette nuance est centrale. Un déverrouillage local sur un appareil personnel ne crée pas les mêmes risques qu’une recherche dans une base de plusieurs millions de photographies. Il en va de même pour une vérification volontaire à un guichet et pour l’analyse de flux vidéo de personnes qui ne savent pas qu’elles sont observées.

La fiabilité technique ne règle pas tous les problèmes. Même lorsque les taux de précision progressent, les systèmes peuvent produire des erreurs. Les performances peuvent aussi différer selon les profils, notamment selon le sexe ou le teint de peau. Une erreur d’identification n’a évidemment pas les mêmes conséquences selon qu’elle bloque l’accès à un téléphone ou qu’elle oriente une enquête policière.

Pourquoi le droit français est-il si strict ?

Le point de départ est le Règlement général sur la protection des données, le RGPD. Son article 9 interdit en principe le traitement de catégories particulières de données, parmi lesquelles les données biométriques utilisées pour identifier une personne de façon unique. Cette interdiction de principe ne signifie pas qu’aucun usage n’est possible, mais les exceptions sont limitées et doivent être interprétées strictement.

Parmi les fondements possibles figurent notamment le consentement explicite, la sauvegarde des intérêts vitaux d’une personne ou un motif d’intérêt public important prévu par le droit. Pour les traitements mis en œuvre par les autorités publiques, notamment dans les domaines de la sécurité et de la justice, une base juridique précise est indispensable. Selon le dispositif envisagé, une loi ou un décret peut être nécessaire, avec un rôle de contrôle de la Commission nationale de l’informatique et des libertés, la CNIL.

Le consentement n’est pas une solution automatique. Pour être valable, il doit être libre, éclairé et spécifique. Dans une relation de travail, le déséquilibre entre l’employeur et le salarié rend difficile l’idée d’un consentement réellement libre. Plus largement, le fait d’invoquer un intérêt légitime ne dispense pas une organisation de satisfaire aux exigences renforcées applicables aux données biométriques.

Avant un déploiement, l’organisme doit notamment s’interroger sur plusieurs éléments :

• la finalité exacte du dispositif, qui ne peut pas être vague ou évoluer librement ;
• la nécessité de recourir au visage plutôt qu’à un badge, un code ou une autre solution moins intrusive ;
• la proportionnalité du traitement au regard du risque poursuivi ;
• la sécurité des données, leur durée de conservation et les personnes qui peuvent y accéder ;
• l’analyse d’impact sur la protection des données, souvent requise lorsqu’un traitement présente un risque élevé pour les libertés.

Le droit français ajoute ses propres règles, notamment à travers la loi Informatique et Libertés et les textes encadrant les fichiers de police. Autrement dit, une technologie performante ou commercialement disponible ne devient pas pour autant licite à installer.

Quels usages sont aujourd’hui autorisés en France ?

Les usages admis sont ciblés et reposent sur des contextes très différents. Aux frontières, les sas automatisés PARAFE permettent à des voyageurs éligibles de franchir plus rapidement le contrôle en vérifiant leur identité à partir de leur document et de leur visage. L’objectif est ici l’authentification d’une personne qui se présente volontairement au contrôle, dans un environnement réglementé.

Les forces de l’ordre peuvent aussi recourir à des rapprochements photographiques dans le cadre d’enquêtes. Le fichier de traitement des antécédents judiciaires, le TAJ, contient plusieurs millions de photographies. Des enquêteurs peuvent comparer une image obtenue après les faits, par exemple celle d’un suspect, avec les clichés présents dans ce fichier. Il s’agit d’une identification a posteriori, et non d’une caméra qui reconnaîtrait automatiquement les personnes en direct dans la rue. En 2022, le Conseil d’État a validé le cadre permettant ces rapprochements dans le TAJ, tout en laissant entier le débat sur leurs conséquences pour les libertés publiques.

Dans la sphère privée, des usages d’authentification se développent également. Certaines applications bancaires peuvent s’appuyer sur la reconnaissance faciale du téléphone pour remplacer la saisie d’un code. Dans ce cas, le gabarit biométrique est généralement géré localement par l’appareil, et l’utilisateur choisit d’activer ou non la fonction. Cela ne doit pas être confondu avec la constitution d’une base centralisée de visages par la banque.

Le groupe Proman a, de son côté, présenté Izicheck, un outil reposant sur le selfie pour vérifier une identité de manière instantanée. Ce type de service illustre l’essor de la vérification d’identité à distance. Il reste toutefois soumis aux mêmes questions de nécessité, de sécurité, d’information des personnes et de base légale.

Identification ou authentification : une différence décisive

La frontière entre ces deux usages explique largement le niveau de vigilance des autorités. L’authentification répond à une question limitée : « êtes-vous bien la personne annoncée ? ». L’identification répond à une question bien plus large : « qui êtes-vous parmi toutes les personnes de cette base ? ».

L’identification à grande échelle présente des risques supplémentaires. Elle suppose une base de référence, dont il faut connaître l’origine et la licéité. Elle peut aussi rendre une personne traçable dans différents lieux, parfois sans qu’elle ait conscience du traitement. Enfin, un faux positif peut associer à tort un individu à une image ou à un événement.

Cette distinction a notamment compté lors des expérimentations de caméras dites augmentées. La loi adoptée pour les Jeux olympiques et paralympiques de Paris 2024 a autorisé, sous conditions, des traitements algorithmiques visant à détecter certains événements prédéterminés dans les images. Elle n’a pas autorisé la reconnaissance faciale ni le traitement de données biométriques permettant d’identifier les personnes filmées.

Ce qui reste interdit ou fortement limité

La reconnaissance faciale en temps réel dans l’espace public ne peut pas servir de fondement à une surveillance généralisée. Installer de façon systématique des caméras qui identifieraient les passants dans les rues, les gares ou les commerces serait incompatible avec les principes de nécessité et de proportionnalité qui structurent le droit européen et français.

Les expérimentations envisagées dans des lycées de la région Provence-Alpes-Côte d’Azur l’ont montré. La CNIL a considéré que les dispositifs de contrôle d’accès par reconnaissance faciale proposés dans ces établissements ne reposaient pas sur une base légale suffisante et n’étaient pas nécessaires au regard des objectifs poursuivis. La présence d’élèves mineurs et l’absence de véritable possibilité de refus renforçaient les objections.

Le cas de Clearview AI est l’autre exemple marquant. L’entreprise avait constitué une base de visages en aspirant massivement des photographies accessibles en ligne, sans information adéquate des personnes ni base légale valable. La CNIL l’a sanctionnée en 2022 d’une amende de 20 millions d’euros, tout en lui ordonnant de cesser la collecte et le traitement des données des personnes se trouvant en France, ainsi que de les supprimer.

Ces décisions rappellent un principe simple : le caractère public d’une photographie sur internet ne donne pas à une entreprise le droit de la récupérer pour bâtir un outil d’identification. Le visage n’est pas une ressource librement exploitable.

Ce que l’AI Act change depuis 2025

L’AI Act européen, entré en vigueur le 1er août 2024, ne remplace ni le RGPD ni les lois françaises. Il ajoute une couche de règles consacrée aux systèmes d’intelligence artificielle. Ses premières interdictions, parmi lesquelles plusieurs pratiques biométriques jugées les plus risquées, s’appliquent depuis le 2 février 2025.

Le règlement interdit par principe l’utilisation, par les forces de l’ordre, de systèmes d’identification biométrique à distance en temps réel dans des espaces accessibles au public. Il prévoit toutefois des dérogations extrêmement encadrées, par exemple pour rechercher une victime de certains crimes, prévenir une menace spécifique et imminente pour la vie ou la sécurité, ou retrouver le suspect d’une infraction grave définie par le texte européen.

Ces dérogations ne constituent pas un permis général. Elles supposent une autorisation préalable par une autorité judiciaire ou administrative indépendante, sauf urgence, ainsi que des limites précises dans le temps, l’espace et les personnes recherchées. La France doit, en outre, disposer d’un cadre national compatible avec ces exigences.

L’AI Act interdit également certains usages de catégorisation biométrique et encadre fortement les systèmes considérés comme à haut risque. Ses autres obligations se déploieront progressivement. Pour les acteurs français, l’enjeu consiste donc à articuler ce nouveau règlement avec le RGPD, le droit national et les contrôles de la CNIL.

Quels droits pour les personnes concernées ?

Lorsqu’une organisation privée utilise un dispositif biométrique, les personnes doivent pouvoir comprendre ce qui est fait de leurs données. Elles peuvent demander des informations sur la finalité du traitement, la base légale retenue, les destinataires des données, leur durée de conservation et les mesures de sécurité appliquées.

Le RGPD prévoit aussi des droits d’accès, de rectification, d’effacement ou d’opposition, selon les situations. Des restrictions peuvent exister, notamment pour certains traitements relevant de la prévention des infractions, de la sécurité publique ou de la justice. Elles doivent toutefois être prévues par le droit et justifiées.

En cas de doute, une personne peut d’abord contacter l’organisme responsable du dispositif. Si la réponse est insuffisante ou si elle estime que ses droits ne sont pas respectés, elle peut saisir la CNIL. Cette possibilité de contrôle est particulièrement importante dans un domaine où les individus n’ont pas toujours conscience d’avoir été filmés ou analysés.

Ce qu’il faut surveiller

L’avenir de la reconnaissance faciale en France dépendra moins de la seule amélioration des algorithmes que de la capacité des institutions à fixer des limites compréhensibles et vérifiables. L’acceptabilité sociale d’un sas frontalier choisi par un voyageur ne préjuge pas de l’acceptation d’une identification continue dans l’espace public.

Trois questions resteront déterminantes : la démonstration qu’aucune solution moins intrusive ne peut remplir le même objectif, l’évaluation indépendante de la fiabilité et des biais des systèmes, et la transparence sur les bases de données utilisées. La vigilance portera aussi sur la frontière entre vidéo algorithmique et reconnaissance faciale, car des dispositifs proches en apparence peuvent avoir des conséquences très différentes.

La règle demeure claire en juin 2025 : la reconnaissance faciale peut répondre à des besoins précis, mais elle ne peut devenir un outil de surveillance ordinaire. Toute évolution devra respecter un équilibre exigeant entre sécurité, efficacité et protection de la vie privée.