Vous découvrez qu’une photo de vous, publiée sur un réseau social, sur le site de votre employeur ou sur un blog, a été aspirée par un logiciel de reconnaissance faciale. Votre visage a été transformé en gabarit biométrique, stocké dans une base de plusieurs milliards d’images, et revendu à des services de police ou à des clients privés qui peuvent vous identifier à partir d’une simple photo. Vous n’avez jamais donné votre accord, vous n’avez jamais été informé, et la société qui exploite cette base se trouve parfois hors d’Europe.
Cette situation n’est pas une hypothèse. La Commission nationale de l’informatique et des libertés a sanctionné la société Clearview AI pour avoir collecté systématiquement des photographies accessibles en ligne afin d’alimenter un moteur de recherche faciale. Par sa délibération SAN-2022-019 du 17 octobre 2022, la formation restreinte a prononcé une amende de 20 millions d’euros, assortie d’une injonction de cesser la collecte et de supprimer les données sous astreinte de « 100 000 euros par jour de retard ». Faute de mise en conformité, la CNIL a ensuite liquidé l’astreinte pour « 5 200 000 euros » par sa délibération SAN-2023-005 du 17 avril 2023. Le Comité européen de la protection des données rapporte que l’autorité néerlandaise a infligé à la même société une amende de 30 500 000 euros pour collecte illégale à des fins de reconnaissance faciale.
Le droit européen donne au lecteur des armes concrètes : le règlement (UE) 2016/679, dont le texte est diffusé en français par la CNIL (principes et licéité), interdit par principe le traitement des données biométriques servant à identifier une personne de façon unique, impose une base légale à tout traitement, et ouvre un droit d’accès, un droit d’effacement, un droit d’opposition, une réclamation devant la CNIL et un recours indemnitaire devant le juge. Encore faut-il agir dans le bon ordre et constituer la preuve. Cet article décrit la méthode complète : identifier le responsable et le mettre en demeure, saisir la CNIL, puis obtenir du juge la suppression et la réparation.
I. Couper l’alimentation de la base : identifier le responsable et exiger vos droits
A. Comprendre ce qui a été collecté et sur quel fondement le contester
La première étape consiste à nommer précisément le traitement. Dans l’affaire Clearview, la CNIL a constaté que la société utilisait une technologie propre pour indexer les pages web librement accessibles et qu’elle collectait toutes les images sur lesquelles apparaissent des visages, sur des millions de sites web. Des photographies étaient extraites notamment de réseaux sociaux, de sites professionnels contenant des photographies de leurs salariés, de blogs et de tous sites web sur lesquels des photographies de personnes sont publiquement accessibles, ainsi que de vidéos disponibles en ligne. Cette collecte concernait des images de personnes majeures comme mineures, sans filtre appliqué à cet égard. À partir de chaque photographie, la société calculait un gabarit biométrique, décrit comme une empreinte numérique unique, propre au visage tel qu’il apparaît sur la photographie, à partir des points du visage.
Trois enseignements se dégagent pour votre dossier. D’abord, le fait qu’une photo soit publiquement accessible ne retire rien à sa nature de donnée personnelle. La CNIL rappelle que l’image de la personne photographiée permet son identification, notamment par les éléments propres à son identité physique, et que les métadonnées associées, les informations dérivées de l’apparence faciale et le gabarit biométrique constituent des données personnelles distinctes des images sources. Ensuite, le gabarit biométrique relève de l’article 9 du règlement : « le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, […] sont interdits ». Le Conseil d’État rappelle ces termes dans sa décision du 27 janvier 2025, rendue sur des plaintes CNIL portant sur des données de santé. La seule porte de sortie prévue pour des photos que vous auriez vous-même rendues publiques figure au e) du paragraphe 2 de ce même article : le traitement peut échapper à l’interdiction lorsqu’il porte sur des données « manifestement rendues publiques par la personne concernée ». Cette exception s’interprète strictement : publier une photo de profil sur un réseau social ne vaut pas autorisation de l’intégrer à une base mondiale de reconnaissance faciale revendue à des tiers. Reste l’exception du contentieux, rappelée par le Conseil d’État : le traitement demeure possible quand « le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice », ce qui couvre l’usage ciblé de vos photos comme preuve dans un procès, jamais leur exploitation commerciale massive. Enfin, à défaut de consentement, le responsable invoque en général l’intérêt légitime. Or l’article 6 du règlement pose que le traitement n’est licite que si au moins l’une des conditions qu’il énumère est remplie, et que l’intérêt légitime suppose une mise en balance avec les droits fondamentaux de la personne, compte tenu de ses attentes raisonnables (licéité du traitement). Dans l’affaire Clearview, la formation restreinte a jugé que les personnes qui publient leur photo en ligne ne s’attendent pas à alimenter un logiciel de reconnaissance faciale commercialisé auprès de forces de l’ordre, que le traitement présentait un caractère intrusif particulièrement fort, et que l’atteinte à la vie privée apparaissait disproportionnée au regard des intérêts commerciaux du responsable. Le fondement de l’intérêt légitime a donc été écarté et la société jugée sans aucune base juridique.
Concrètement, avant d’écrire au responsable, rassemblez les preuves de la collecte : captures datées des pages où votre photo apparaît, adresse exacte des URL, date de votre découverte, résultat d’une recherche inversée d’image si elle révèle la reprise de votre photo, et tout échange montrant que vous n’avez jamais consenti. Si votre photo a été publiée par votre employeur ou par un tiers, conservez aussi la preuve du contexte initial de publication : elle servira à démontrer que la finalité première n’avait rien à voir avec la reconnaissance faciale. Identifiez ensuite le responsable du traitement, c’est-à-dire la société qui exploite le moteur de recherche faciale, et son éventuel représentant dans l’Union européenne. Lorsque ce représentant n’existe pas ou ne répond pas, cette carence nourrira la plainte devant la CNIL et le dossier indemnitaire.
B. Mettre le responsable en demeure : accès, effacement et opposition dans les formes qui portent
Le règlement impose au responsable de faciliter l’exercice de vos droits et de répondre vite. L’article 12 prévoit que le responsable répond « dans les meilleurs délais » et en tout état de cause « dans un délai d’un mois » à compter de la réception de la demande (droits de la personne). S’il ne donne pas suite, il doit informer la personne des motifs de son inaction et de la possibilité d’une « réclamation auprès d’une autorité de contrôle » comme d’un recours juridictionnel. Quand vos données ont été aspirées sans passer par vous, l’article 14 ajoute une obligation d’information : les données n’ayant pas été « collectées auprès de la personne concernée », le responsable doit lui fournir une série d’informations, dont la source des données, dans un délai raisonnable ne dépassant pas un mois.
Votre courrier doit donc cumuler trois demandes. Premièrement, une demande d’accès fondée sur l’article 15 : la personne a le droit d’obtenir la confirmation que des données la concernant sont traitées et, lorsqu’elles le sont, « l’accès auxdites données à caractère personnel » ainsi qu’aux informations énumérées par le texte. Réclamez la copie de votre gabarit biométrique, la liste des images vous représentant conservées dans la base, les sources exactes de collecte, les destinataires de vos données et la durée de conservation. Deuxièmement, une demande d’effacement fondée sur l’article 17 : la personne a le droit d’obtenir l’effacement « dans les meilleurs délais » lorsque l’un des motifs prévus s’applique, notamment quand les données ont fait l’objet d’un « traitement illicite ». Visez expressément ce motif, en rappelant l’absence de base légale et l’interdiction de principe de l’article 9. Troisièmement, une opposition fondée sur l’article 21 : la personne peut s’opposer « tenant à sa situation particulière » à un traitement fondé sur l’intérêt légitime, y compris un profilage, et le responsable « ne traite plus les données », à moins qu’il ne démontre des motifs légitimes et impérieux qui prévalent sur vos intérêts, ou un besoin lié à un droit en justice. Exposez votre situation particulière : exposition professionnelle, sécurité de vos enfants présents sur les photos, risque d’identification dans l’espace public.
Envoyez ce courrier par un moyen qui prouve la réception et le contenu, et conservez-en une copie intégrale. La méthode pas à pas de cette mise en demeure est détaillée dans notre guide du droit d’accès quand l’organisme ne répond pas, qui décrit la relance au bout d’un mois puis la plainte devant la CNIL.
Un mot sur la preuve, car tout le dossier en dépend. Les pages où votre photo apparaît peuvent disparaître ou changer d’adresse pendant la procédure. Faites établir un constat par un commissaire de justice : il fige les URL, les dates, le contenu des pages et, le cas échéant, l’existence de votre image dans les résultats du moteur facial. Faites également constater l’envoi et le contenu de votre mise en demeure, ainsi que l’absence de réponse à l’expiration du délai d’un mois. Devant la CNIL comme devant le juge, un dossier horodaté par un officier ministériel pèse davantage qu’une série de captures d’écran dont l’adversaire conteste l’origine. Agissez vite : tant que la base reste alimentée, chaque jour de diffusion aggrave le préjudice moral et complique l’effacement complet, puisque vos données peuvent déjà avoir été cédées à des clients du responsable.
L’expérience de la plaignante dans l’affaire Clearview montre pourquoi : sa demande d’accès n’a reçu qu’une réponse partielle, limitée au résultat de la recherche dans l’outil commercialisé, après « sept courriers et plus de quatre mois », avec exigence d’une pièce d’identité alors qu’elle s’était déjà identifiée, et sa demande d’effacement est restée sans aucune réponse. Ces manquements ont été retenus comme des violations des articles 12, 15 et 17. Chaque relance sans réponse, chaque pièce d’identité exigée sans nécessité, chaque renvoi vers une plateforme qui ne traite pas la demande constitue une pièce de votre futur dossier CNIL et judiciaire. Si le responsable est établi aux États-Unis ou hors Union européenne, rappelez dans le courrier que le règlement s’applique dès lors que le traitement vise des personnes qui se trouvent sur le territoire français, et exigez la désignation d’un interlocuteur dans l’Union.
II. Obtenir la sanction et la réparation : CNIL puis juge
A. Saisir la CNIL dans le bon ordre et obtenir une décision qui compte
Avant de saisir la CNIL, écrivez d’abord au responsable du traitement. Cette condition de bon sens est devenue une règle de recevabilité : le Conseil d’État a jugé, le 27 janvier 2025, que « La CNIL était, par suite, en droit de clôturer les plaintes » déposées directement devant elle par une personne qui n’avait adressé au responsable aucune demande d’effacement ni fait valoir son droit d’opposition, faute pour ces plaintes d’avoir un objet. Conservez donc la preuve de votre demande préalable et du délai d’un mois laissé sans réponse utile. Ce n’est qu’ensuite que la plainte prend toute sa force.
La réclamation devant l’autorité de contrôle est un droit ouvert par l’article 77 du règlement, dont le chapitre VIII est diffusé par la CNIL. Votre plainte doit être précise et pièces à l’appui : identité du responsable, description du traitement avec captures et URL, copie de votre demande d’accès, d’effacement et d’opposition avec les preuves d’envoi et de réception, chronologie des réponses partielles ou de l’absence de réponse, et indication du préjudice, même moral, que vous ressentez. Demandez expressément à la CNIL d’ordonner la suppression de vos données et de votre gabarit biométrique, d’enjoindre l’information des destinataires auxquels vos données ont été cédées, et de prononcer les mesures correctrices adaptées à la gravité des manquements constatés. La procédure suit en général un chemin connu : instruction de la plainte, mise en demeure de se conformer dans un délai déterminé, puis, en cas d’inertie, saisine de la formation restreinte qui peut prononcer une amende et une injonction sous astreinte. Dans l’affaire Clearview, la présidente de la CNIL avait, par une mise en demeure du 26 novembre 2021, mis la société en demeure de se conformer aux articles 6, 12, 15 et 17 dans un délai de deux mois. Faute de mise en conformité, la formation restreinte a prononcé 20 millions d’euros d’amende, en relevant que les manquements aux articles 6, 12, 15 et 17 touchent à des principes fondamentaux passibles, en vertu de l’article 83, d’une amende pouvant atteindre 20 millions d’euros et jusqu’à 4 % du chiffre d’affaires annuel. Elle a ajouté une injonction de ne pas procéder sans base légale à la collecte et au traitement des données des personnes se trouvant sur le territoire français et de supprimer l’ensemble de leurs données, sous une astreinte de « 100 000 euros par jour de retard » à l’issue d’un délai de deux mois. Puis, constatant l’absence de justificatifs de mise en conformité, elle a liquidé l’astreinte pour « 5 200 000 euros » au titre de la période du 19 décembre 2022 au 9 février 2023.
Ces montants ne reviennent pas aux victimes, mais ils pèsent dans votre négociation et devant le juge : ils établissent officiellement le caractère massif, intrusif et persistant du traitement. Si la CNIL classe votre plainte sans suite ou la clôt, sachez que cette clôture peut être contestée devant le Conseil d’État par un recours pour excès de pouvoir, comme l’illustre l’arrêt du 27 janvier 2025. Le juge administratif vérifie alors si la CNIL a correctement apprécié le caractère manifestement infondé de la plainte et l’application des articles 9, 17 et 21. Pour le lecteur, la leçon pratique tient en trois points : saisir le responsable avant la CNIL, dater chaque étape, et demander à la CNIL des mesures précises plutôt qu’une intervention vague. Si votre photo concerne aussi votre enfant mineur, signalez-le expressément dès la mise en demeure puis dans la plainte : la collecte indifférenciée visant des majeurs comme des mineurs, sans filtre, a été relevée comme un facteur de gravité, et l’article 6 accorde une protection particulière aux données des enfants face à l’intérêt légitime.
B. Faire juger la suppression et le préjudice : injonction, effacement et dommages-intérêts
La plainte CNIL ne vous indemnise pas. Pour cela, le règlement ouvre deux voies complémentaires devant le juge judiciaire, dont le chapitre VIII rappelle le principe : un droit à un recours juridictionnel effectif contre le responsable du traitement ou son sous-traitant, et un droit à réparation. L’article 82 dispose que toute personne ayant subi un « dommage matériel ou moral » du fait d’une violation du règlement a le droit d’obtenir « réparation du préjudice subi ». Le dommage moral suffit : l’angoisse d’être identifié à tout moment dans l’espace public, la perte de maîtrise de votre image, le temps passé à faire valoir vos droits et l’exposition de vos enfants constituent des préjudices réparables dès lors qu’ils sont établis et liés à la violation.
Devant le tribunal judiciaire, articulez trois demandes. Le droit français renforce ces demandes : « Chacun a droit au respect de sa vie privée » et les juges peuvent, sans préjudice de la réparation du dommage subi, « prescrire toutes mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée ». L’article 9 du Code civil fonde ainsi tant l’injonction de suppression que les dommages-intérêts. D’abord, une injonction de faire : ordonner sous astreinte la suppression de vos photographies, de votre gabarit biométrique et de toutes les données dérivées, ainsi que l’information des destinataires auxquels vos données ont été communiquées. Ensuite, une demande d’effacement fondée sur l’article 17, en démontrant le traitement illicite par l’absence de base légale et la méconnaissance de l’article 9. Enfin, une demande indemnitaire fondée sur l’article 82, chiffrée avec rigueur : détaillez chaque poste, produisez les justificatifs de vos démarches, et évitez les montants symboliques sans explication comme les demandes forfaitaires sans preuve. Le juge apprécie souverainement le préjudice, mais un dossier documenté mois par mois obtient davantage qu’une affirmation générale. Si le responsable est une société américaine sans établissement dans l’Union, assignez en visant son activité dirigée vers la France et demandez au juge de tirer les conséquences de l’absence de représentant et de garanties de transfert. La CNIL a retenu que le traitement visait des personnes se trouvant sur le territoire français et que la société y exerçait l’essentiel de son activité en ligne, ce qui fonde la compétence des autorités et des juridictions françaises. Devant le juge, exigez la « loyauté dans l’administration de la preuve », que le Conseil d’État rappelle comme l’office du juge dans les litiges de données personnelles.
Deux situations appellent une vigilance particulière. Quand la photo a été publiée par votre employeur sur le site de l’entreprise, agissez sur deux fronts : demandez à l’employeur le retrait de la publication ou sa limitation, et demandez à l’exploitant du moteur facial l’effacement de la copie aspirée. L’employeur n’est pas responsable du scraping commis par un tiers, mais il doit coopérer loyalement, et la preuve de sa publication initiale aide à établir la source de la collecte. Quand vos données ont été transférées vers des serveurs hors Union européenne, invoquez l’absence de garanties appropriées : un transfert vers un pays tiers suppose une décision d’adéquation ou des garanties équivalentes, et la commercialisation d’une base biométrique constituée sans base légale ne satisfait ni l’une ni l’autre. Sur le plan européen, rappelez que la France n’est pas isolée : l’autorité néerlandaise a infligé 30 500 000 euros d’amende à la même société pour collecte illégale, et plusieurs autorités ont ordonné l’effacement. Cette dimension collective renforce votre dossier individuel sans le remplacer : c’est votre demande d’accès restée sans réponse, votre demande d’effacement ignorée et votre opposition méprisée qui fondent votre réparation.
Conclusion
Une photo accessible en ligne n’est pas une photo offerte à la reconnaissance faciale. Le droit européen l’affirme nettement : les données biométriques destinées à identifier une personne de façon unique sont interdites par principe, tout traitement exige une base légale, et l’intérêt légitime ne couvre pas une aspiration massive de visages à des fins commerciales. La méthode qui aboutit combine trois temps : une mise en demeure complète du responsable, avec accès, effacement et opposition, dans des formes qui prouvent la réception ; une plainte CNIL précise, déposée après la saisine du responsable, qui demande la suppression et des mesures correctrices ; puis, si nécessaire, une action devant le tribunal judiciaire pour obtenir l’effacement sous astreinte et la réparation du préjudice matériel et moral. Les décisions Clearview montrent que les autorités savent frapper fort quand le responsable ignore ses obligations, et l’article 9 du Code civil donne au juge les moyens d’ordonner la suppression. À vous de leur donner, par un dossier daté et complet, les moyens de constater l’illicite et de le faire cesser pour votre compte.
Besoin d’un avis rapide sur votre dossier
Vous avez découvert que votre photo alimente une base de reconnaissance faciale et vous voulez la faire effacer. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles lors d’une consultation téléphonique : accès, effacement, opposition, plainte CNIL et réparation devant le juge. Joignez le cabinet au 06 46 60 58 22 ou écrivez via la page contact.