Vous traversez une gare, vous entrez dans un stade ou vous assistez à un concert, et une caméra ne se contente plus de filmer : un logiciel analyse l’image en temps réel pour repérer un bagage abandonné, un mouvement de foule ou une densité anormale. Depuis l’été 2026, ce dispositif ne relève plus seulement des Jeux olympiques : la loi n° 2026-798 du 18 août 2026, dite loi Ripost, a prolongé jusqu’au 31 décembre 2030 l’expérimentation de la vidéosurveillance algorithmique et l’a étendue à des bâtiments et des lieux ouverts au public. Le Conseil constitutionnel, dans sa décision n° 2026-915 DC du 14 août 2026, a validé ce cadre sous une réserve précise qui limite la durée des autorisations.
Pour la personne filmée, la question est concrète : ces images augmentées restent des données personnelles, et la loi maintient l’ensemble des droits du RGPD — information, accès, effacement, opposition — ainsi que des recours devant la CNIL et le juge. Encore faut-il savoir à qui s’adresser, dans quel délai et avec quelles preuves, car le dispositif mêle préfet, services de sécurité et responsable de traitement dans un montage que les panneaux d’information résument rarement.
Cet article expose le cadre exact en vigueur, ce que les caméras intelligentes peuvent et ne peuvent pas faire, puis la marche à suivre quand vous voulez savoir si vous avez été filmé, obtenir l’effacement de vos images ou contester une autorisation.
I. Caméras intelligentes : ce que la loi autorise jusqu’en 2030, et les lignes rouges
A. Une expérimentation prolongée et élargie, sous contrôle du préfet et du juge
Le point de départ est l’article 10 de la loi n° 2023-380 du 19 mai 2023 relative aux Jeux olympiques et Paralympiques de 2024. Ce texte avait autorisé, à titre expérimental et jusqu’au 31 mars 2025, des traitements algorithmiques sur les images de vidéoprotection et de caméras installées sur des aéronefs, à la seule fin de sécuriser des manifestations sportives, récréatives ou culturelles particulièrement exposées à des risques d’actes de terrorisme ou d’atteintes graves à la sécurité des personnes. Une première prolongation avait repoussé le terme au 31 décembre 2027. La loi Ripost franchit une étape supplémentaire : dans sa rédaction en vigueur, le texte dispose qu’« A titre expérimental, jusqu’au 31 décembre 2030, à la seule fin de prévenir des risques d’actes de terrorisme ou d’atteintes graves à la sécurité des personnes, des images collectées au moyen de systèmes de vidéoprotection […] peuvent faire l’objet de traitements algorithmiques ».
Deux extensions accompagnent cette prolongation. D’une part, le dispositif ne vise plus seulement les manifestations et leurs abords, les véhicules et emprises de transport public : il couvre désormais aussi des bâtiments ou des lieux ouverts au public qui, par leur nature, sont de façon permanente — ou en raison de circonstances exceptionnelles — particulièrement exposés à ces risques, et dont la liste est définie par arrêté du ministre de l’intérieur. D’autre part, les services destinataires du signalement ne se limitent plus à une liste fermée d’acteurs parisiens et nationaux : ce sont les services de sécurité compétents qui reçoivent l’alerte.
Le fonctionnement reste strictement borné. Les traitements ont pour unique objet de détecter, en temps réel, des événements prédéterminés susceptibles de présenter ou de révéler ces risques, puis de les signaler pour que les services compétents prennent les mesures nécessaires. Le décret n° 2023-828 du 28 août 2023, pris pour l’application de l’article 10, fixe les cas d’usage autorisés : la CNIL les résume ainsi — présence d’objets abandonnés, présence ou utilisation d’armes, non-respect du sens de circulation, franchissement d’une limite ou présence dans une zone interdite ou sensible, personne au sol après une chute, mouvement de foule, densité trop importante, départ de feu. Tout autre cas d’usage non prévu par le décret ne peut pas être mis en œuvre : la détection d’une bagarre ou d’une agression physique, par exemple, n’entre pas dans le périmètre autorisé pour les manifestations.
Chaque déploiement suppose une autorisation du représentant de l’Etat dans le département ou, à Paris, du préfet de police, accordée uniquement lorsque le recours au traitement est proportionné à la finalité poursuivie. La décision d’autorisation est motivée et publiée : elle précise notamment le responsable du traitement, le bâtiment ou le lieu visé, les motifs, le périmètre géographique et la durée. Surtout, le Conseil constitutionnel a assorti sa validation d’une réserve qui compte pour vos recours : pour les lieux exposés à un risque permanent, la durée de l’autorisation suivait celle de la vidéoprotection elle-même, jusqu’à cinq ans ; le Conseil juge que, le Conseil n’a validé le dispositif que sous la réserve expresse que la durée de l’autorisation n’excède pas trois mois, avec renouvellement possible selon les mêmes modalités tant que les conditions de délivrance demeurent réunies (décision n° 2026-915 DC du 14 août 2026). Sous cette réserve, le Conseil a jugé le dispositif conforme au droit au respect de la vie privée comme au droit à un recours juridictionnel effectif. Concrètement, une autorisation qui excéderait trois mois sans réexamen est contestable sur ce fondement. Lors des débats, plusieurs sénateurs ont d’ailleurs jugé le bilan mitigé, reprochant au dispositif son inefficacité sur les mouvements de foule ou le port d’arme et dénonçant une pérennisation déguisée, tandis que le ministre de l’intérieur le défendait comme une simple assistance aux opérateurs humains face à une multitude d’écrans : ces échanges, rapportés par la presse parlementaire, expliquent pourquoi le Conseil a verrouillé la durée des autorisations plutôt que de censurer le principe.
Le public doit être préalablement informé, par tout moyen approprié, de l’emploi de ces traitements, sauf lorsque les circonstances l’interdisent ou que cette information contredirait les objectifs poursuivis ; une information générale est en outre organisée par le ministre de l’intérieur. L’absence totale d’information, hors ces exceptions, constitue déjà un premier indice d’irrégularité à faire constater.
Chaque traitement doit en outre être autorisé par un décret pris après avis de la CNIL, et une attestation de conformité est publiée avant sa mise à disposition des services : l’article 10 prévoit que « le recours à un traitement mentionné au I du présent article est autorisé par un décret pris après avis de la Commission nationale de l’informatique et des libertés » et que « la décision d’autorisation est motivée et publiée ». Vérifiez donc trois publications : le décret d’autorisation du traitement — le premier, le décret n° 2023-828 du 28 août 2023, fixe déjà les modalités de mise en œuvre —, l’attestation de conformité, puis l’autorisation préfectorale du lieu précis où vous avez été filmé, prise sur le fondement de l’article L. 252-1 du code de la sécurité intérieure qui régit la vidéoprotection. Si l’une de ces marches manque, le dispositif est fragile : le parcours législatif, résumé par le Sénat dans sa présentation de la loi Ripost, montre que chaque élargissement a été conditionné à ces garanties, et la loi n° 2023-380 du 19 mai 2023 qui porte l’article 10 reste le socle de l’ensemble.
B. Ni reconnaissance faciale, ni fichage automatisé, ni décision prise par l’algorithme
La limite la plus nette du droit français tient en une phrase de l’article 10 : « Les traitements mentionnés au I du présent article n’utilisent aucun système d’identification biométrique, ne traitent aucune donnée biométrique et ne mettent en œuvre aucune technique de reconnaissance faciale. » Le même paragraphe ajoute qu’ils « ne peuvent procéder à aucun rapprochement, à aucune interconnexion ni à aucune mise en relation automatisée avec d’autres traitements de données à caractère personnel » et qu’ils « procèdent exclusivement à un signalement d’attention, strictement limité à l’indication du ou des événements prédéterminés qu’ils ont été programmés à détecter ». Ils « ne produisent aucun autre résultat et ne peuvent fonder, par eux-mêmes, aucune décision individuelle ni aucun acte de poursuite » et restent en permanence sous le contrôle des personnes chargées de leur mise en œuvre.
Le Conseil constitutionnel a repris ces garanties à son compte : les traitements ne mettent en œuvre aucune technique de reconnaissance faciale, n’utilisent aucun système d’identification biométrique et ne recourent pas à des données biométriques, c’est-à-dire relatives aux caractéristiques physiques, physiologiques ou comportementales permettant ou confirmant l’identification unique d’une personne. Il appartient au pouvoir réglementaire de s’assurer que les événements prédéterminés peuvent être détectés sans recourir à de telles techniques. Si vous découvrez qu’un dispositif déployé dans ce cadre identifie des personnes — par exemple en rapprochant les visages d’un fichier — il sort du cadre légal, et ce dépassement fonde à la fois une plainte à la CNIL et un recours au fond.
Cette interdiction française s’articule avec le droit européen. Le règlement (UE) 2024/1689 sur l’intelligence artificielle, dit AI Act, interdit par principe « l’utilisation de systèmes d’identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives, sauf si et dans la mesure où cette utilisation est strictement nécessaire » à l’un des objectifs énumérés — recherche ciblée de victimes ou de personnes disparues, menace spécifique et imminente pour la vie ou la sécurité, ou localisation d’un suspect d’infraction grave. Ces interdictions sont applicables depuis le 2 février 2025. La vidéosurveillance algorithmique française, qui exclut toute identification, se situe donc en deçà de cette ligne rouge européenne : c’est un argument à manier avec précision, car il ne faut pas confondre une caméra qui signale un bagage abandonné avec un système qui reconnaît un visage. En revanche, dès qu’un acteur — collectivité, organisateur privé, commerçant — analyse automatiquement des images pour déclencher une intervention immédiate ou une procédure sans texte qui l’y autorise, la CNIL rappelle que c’est interdit : les analyses en temps réel en vue d’une intervention immédiate ou de procédures administratives ou judiciaires relèvent d’une finalité dite police-justice qui exige un cadre légal spécifique.
II. Filmé par une caméra intelligente : vos droits et vos recours pas à pas
A. Savoir, accéder, faire effacer : les droits RGPD s’appliquent aux images augmentées
L’article 10 soumet expressément les traitements, y compris pendant leur conception, aux dispositions applicables du règlement (UE) 2016/679, règlement général sur la protection des données, et de la loi n° 78-17 du 6 janvier 1978. Les images sur lesquelles vous êtes identifiable sont des données personnelles, et l’analyse algorithmique ne change rien à cette qualification : vous disposez de l’information, de l’accès, de la rectification, de l’effacement et de l’opposition.
Commencez par identifier le responsable du traitement. La décision d’autorisation préfectorale, qui est motivée et publiée, le désigne : c’est elle qu’il faut demander à consulter en préfecture ou rechercher au recueil des actes administratifs. Selon les cas, le responsable est un service de l’Etat, un opérateur de transport ou l’organisateur d’un événement agissant avec les services de sécurité. Adressez-lui une demande écrite et conservée — lettre recommandée avec accusé de réception ou courriel avec preuve de dépôt — en précisant la date, le lieu et si possible l’heure de votre passage, et en joignant une copie de pièce d’identité. Demandez la confirmation que des images vous concernant ont été traitées, l’accès à ces images, les finalités, les destinataires, la durée de conservation et l’existence de vos droits : c’est le contenu exact du droit d’accès, car « La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ».
Le responsable doit répondre dans un délai d’un mois, avec une prolongation possible de deux mois en cas de complexité. En pratique, les images de vidéoprotection se conservent quelques jours à un mois avant écrasement automatique : la CNIL retient en principe une durée qui n’excède pas un mois pour la vidéosurveillance au travail, et la même logique de minimisation vaut ici. Agissez donc vite : une demande envoyée trois mois après les faits risque de se heurter à un effacement de routine, régulier, qui ne constituera pas un manquement. Si les images ont été extraites pour une procédure, elles sont conservées pour la durée de celle-ci et votre demande d’accès reste recevable.
L’effacement suit le même circuit. Vous pouvez l’obtenir notamment quand les images ne sont plus nécessaires au regard des finalités, quand elles ont fait l’objet d’un traitement illicite — par exemple un cas d’usage non autorisé par le décret — ou quand vous vous opposez au traitement et qu’aucun motif légitime impérieux ne prévaut. L’opposition est particulièrement adaptée aux traitements fondés sur l’intérêt légitime ou la mission d’intérêt public, avec cette limite : la sécurité publique constitue un motif légitime sérieux, et l’effacement sera refusé tant que la conservation reste nécessaire et proportionnée. En revanche, passé le délai de conservation annoncé, ou si le dispositif fonctionnait sans autorisation préfectorale en cours de validité, l’effacement devient difficile à refuser.
Si le responsable ne répond pas, répond de façon évasive ou refuse sans motif sérieux, saisissez la CNIL par une plainte en ligne en joignant vos échanges : la Commission peut contrôler, mettre en demeure et sanctionner. La CNIL a déjà sanctionné des employeurs pour des caméras plaçant un salarié sous surveillance permanente, accessibles en temps réel depuis un téléphone, et elle publie régulièrement ses mises en demeure : un dispositif de caméras augmentées déployé hors cas d’usage, sans information du public ou avec des durées excessives entre dans son champ de contrôle. Conservez chaque preuve — photographies des lieux et des panneaux d’information ou de leur absence, captures d’écran, récépissés, courriers : c’est ce dossier qui fera la différence devant la Commission comme devant le juge.
B. Contester l’autorisation et obtenir réparation : juge administratif, juge judiciaire et CNIL
L’autorisation préfectorale peut être contestée devant le juge administratif. Le Conseil constitutionnel le rappelle dans sa décision du 14 août 2026 : la décision d’autorisation peut être déférée au juge administratif, y compris en référé, comme le rappelle la décision n° 2026-915 DC du 14 août 2026. Deux voies s’offrent à vous. Le référé-suspension permet de demander la suspension d’une autorisation dont vous démontrez l’urgence et le doute sérieux sur la légalité — par exemple un périmètre manifestement disproportionné, une absence de motivation ou une durée excédant trois mois sans réexamen pour un lieu à risque permanent. Le référé-suspension suppose une urgence et un moyen propre à créer un doute sérieux sur la légalité : « Quand une décision administrative, même de rejet, fait l’objet d’une requête en annulation ou en réformation, le juge des référés, saisi d’une demande en ce sens, peut ordonner la suspension de l’exécution de cette décision, ou de certains de ses effets, lorsque l’urgence le justifie et qu’il est fait état d’un moyen propre à créer, en l’état de l’instruction, un doute sérieux quant à la légalité de la décision ». Le référé-liberté permet au juge d’ordonner en quarante-huit heures toutes mesures nécessaires à la sauvegarde d’une liberté fondamentale : « le juge des référés peut ordonner toutes mesures nécessaires à la sauvegarde d’une liberté fondamentale à laquelle une personne morale de droit public ou un organisme de droit privé chargé de la gestion d’un service public aurait porté, dans l’exercice d’un de ses pouvoirs, une atteinte grave et manifestement illégale », dont le droit au respect de la vie privée. Au fond, le recours pour excès de pouvoir vise l’annulation de l’autorisation dans les deux mois de sa publication.
Le choix du juge dépend de ce que vous demandez. L’autorisation préfectorale relève du juge administratif ; la réparation de votre préjudice et la cessation d’un traitement mis en œuvre par une personne privée, ou l’accès à vos images détenues par un responsable privé, relèvent du juge judiciaire. Les deux peuvent se combiner : une annulation contentieuse de l’autorisation établit l’illicéité du traitement et nourrit l’action indemnitaire. Le fondement européen de la réparation est direct : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Le préjudice moral — sentiment d’être surveillé, anxiété liée à l’analyse de votre image, démarches imposées — est réparable dès lors qu’il est établi et lié à la violation ; documentez-le par des éléments concrets plutôt que par des formules générales.
Un point mérite une vigilance particulière : le signalement algorithmique ne peut fonder, à lui seul, ni décision individuelle ni poursuite. Si une mesure a été prise contre vous — éviction d’un stade, interdiction d’accès, convocation — vérifiez sur quel fondement : une alerte logicielle doit toujours être suivie d’une appréciation humaine et d’une procédure régulière. Une sanction ou une poursuite qui reposerait uniquement sur la détection automatique, sans vérification ni débat contradictoire, cumule les moyens d’annulation : violation de l’article 10, méconnaissance du droit à un recours effectif et, le cas échéant, atteinte au droit au respect de la vie privée. Demandez la communication des pièces — mainlevée de l’alerte, rapport d’intervention, images extraites — et faites constater par écrit tout refus.
Enfin, ne laissez pas passer les délais. Le recours contre l’autorisation préfectorale s’exerce dans les deux mois de sa publication ; la plainte CNIL n’interrompt aucun délai contentieux ; l’action en réparation suit les prescriptions de droit commun, et les images s’effacent vite. La bonne séquence est donc : demande d’accès immédiate et conservée, plainte CNIL en cas de silence ou de refus, référé administratif si une autorisation en cours vous expose, puis action indemnitaire. Ceux qui ont déjà pratiqué ces enchaînements le savent : la manière de répondre à un contrôle de la CNIL et de contester une sanction éclaire aussi, en miroir, la façon de construire un dossier offensif solide face à un traitement irrégulier.
En somme, la prolongation jusqu’en 2030 ne banalise pas les caméras intelligentes : elle les maintient dans un régime d’exception, autorisé au cas par cas, informé au public, limité à trois mois renouvelables et purgé de toute reconnaissance faciale. Chaque écart à ce régime — cas d’usage inventé, information absente, durée excessive, identification déguisée, décision automatique — ouvre un recours précis. A vous de le saisir avec des preuves datées et des demandes écrites.
Besoin d’un avis rapide sur votre dossier
Vous avez été filmé par une caméra intelligente lors d’un événement, dans une gare ou un lieu ouvert au public, et vous voulez savoir si le dispositif était autorisé, accéder à vos images ou les faire effacer : Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles.
Appelez le 06 46 60 58 22 ou écrivez via le formulaire de contact pour une consultation téléphonique en 48 heures avec un avocat du cabinet.