Vous faites vos courses dans une galerie marchande. À l’entrée, un panneau annonce un système de vidéosurveillance. Rien d’étonnant : les caméras sont partout dans les commerces. Puis un détail vous arrête : le vigile vous refuse l’entrée en expliquant que le logiciel vous a reconnu comme une personne à surveiller, ou un salarié lâche que les caméras analysent les visages pour repérer les voleurs. Dans votre résidence, le scénario se répète autrement : le portique s’ouvre en scannant votre visage, et le syndic explique que les allées sont désormais contrôlées par reconnaissance faciale.

La question n’est plus seulement celle d’une caméra qui filme. Quand un dispositif identifie une personne à partir de son visage, le droit applicable change de nature : votre image devient une donnée biométrique, et ce type de traitement est interdit par principe en Europe. Le commerçant ou le gestionnaire qui déploie un tel système sans base légale solide s’expose à une mise en demeure de la CNIL, à une sanction financière lourde et à une action en justice de chaque personne filmée.

Cet article explique d’abord ce que la caméra fait réellement de votre visage et pourquoi ce traitement est interdit par principe dans un magasin ou une résidence. Il détaille ensuite les démarches concrètes pour contester le dispositif : constats utiles, demandes d’accès et d’effacement, plainte devant la CNIL, puis action devant le juge pour faire cesser le traitement et obtenir réparation de votre préjudice.

I. Une caméra qui reconnaît votre visage n’est pas une caméra ordinaire

A. Ce que le dispositif fait réellement de votre image

Une caméra de surveillance classique enregistre des images. Un système de reconnaissance faciale fait davantage : il détecte chaque visage, le transforme en modèle mathématique unique, appelé gabarit biométrique, puis compare ce gabarit à une base de données pour identifier la personne ou vérifier son identité. La CNIL distingue ainsi, dans sa doctrine sur les caméras dites augmentées, les dispositifs qui se contentent d’analyser des situations, comme compter des véhicules ou détecter une bagarre dans une foule, de ceux qui identifient une personne de manière unique en comparant un gabarit filmé ou existant. Seuls les seconds relèvent de la reconnaissance biométrique.

Dès lors que votre visage est identifiable, l’image captée est une donnée personnelle. Le règlement européen retient une définition large : est une donnée personnelle toute information se rapportant à une personne physique « identifiée ou identifiable », et les données biométriques correspondent aux données issues d’un traitement technique spécifique qui permettent ou confirment une « identification unique », telles que les images faciales (la distinction entre caméras augmentées et biométrie selon la CNIL). Surtout, une simple photographie ne devient une donnée sensible que lorsqu’elle est traitée selon un « mode technique spécifique » permettant l’identification ou l’authentification unique : c’est la bascule exacte entre la vidéosurveillance classique et la reconnaissance faciale. Autrement dit, une simple photo de vidéosurveillance n’est pas biométrique, mais le gabarit calculé à partir de votre visage l’est. Effacer la vidéo ne suffit donc pas : tant que le gabarit subsiste dans la base, le traitement continue.

Filmer, visionner et exploiter ces images constitue un traitement de données à caractère personnel au sens du règlement européen. La chambre sociale de la Cour de cassation l’a confirmé le 21 mai 2025, au sujet d’images issues du système de vidéoprotection d’un aéroport : « Il en résulte que l’utilisation de constats et attestations réalisés à partir de la captation et du visionnage des images issues du système de vidéoprotection de l’aéroport constitue un traitement de données à caractère personnel au sens de l’article 4 du RGPD, de sorte que l’employeur des opérateurs de sûreté affectés au contrôle des bagages est tenu au respect des obligations instituées par les dispositions des articles 5, 6, 13 et 14 du RGPD. » (pourvoi n° 22-19.925, rejet). Le raisonnement vaut pour un commerce : dès que le commerçant visionne, enregistre, analyse ou fait analyser les images de ses clients, il met en œuvre un traitement soumis à l’ensemble des règles européennes et françaises.

Face à un dispositif douteux, plusieurs indices doivent alerter. Le panneau d’information parle d’analyse comportementale, de détection des vols par intelligence artificielle ou de listes de personnes surveillées. L’accès au magasin vous est refusé ou vous êtes interpellé sur le fondement d’une alerte logicielle, sans qu’aucun vigile n’ait constaté quoi que ce soit par lui-même. Le portique de votre résidence s’ouvre par lecture du visage, sans badge ni code alternatif proposé. Le commerçant refuse de répondre quand vous demandez qui voit les images, combien de temps elles sont conservées, si un prestataire extérieur les traite et si une analyse d’impact a été réalisée. Chacun de ces signaux justifie de demander des comptes par écrit, car c’est le responsable du dispositif qui doit démontrer qu’il respecte la loi, et non à vous de prouver qu’il la viole.

La CNIL résume ainsi la ligne rouge dans sa page consacrée aux caméras augmentées dans l’espace public : les dispositifs de reconnaissance biométrique impliquent des traitements de données sensibles « par principe, interdits » par le RGPD et la loi Informatique et Libertés, sauf exceptions (caméras augmentées et biométrie selon la CNIL). Le responsable doit aussi informer chaque personne filmée et documenter son dispositif. La Cour de cassation rappelle que « Selon les articles 13 et 14 du RGPD, le responsable du traitement de données personnelles doit délivrer aux personnes concernées des informations relatives notamment aux finalités du dispositif de contrôle, à leur droit d’accès et de rectification, aux coordonnées du délégué à la protection des données. » Concrètement, le panneau apposé à l’entrée doit indiquer qui traite vos images, pourquoi, combien de temps et comment exercer vos droits. L’absence d’information complète, l’absence de registre des traitements et l’absence d’analyse d’impact pour une surveillance à grande échelle constituent autant de manquements distincts à invoquer dans votre plainte : même si le commerçant prétendait disposer d’une base légale, ces manquements suffisent à fragiliser tout le dispositif. Un magasin, une galerie ou les parties communes d’une résidence ne changent rien à ce principe : ce sont des lieux où circulent des clients, des visiteurs, parfois des enfants, qui n’ont donné aucun accord à une analyse de leur visage.

B. Un traitement biométrique interdit par principe dans un commerce

Le règlement général sur la protection des données pose une interdiction de principe à son article 9 : le traitement des données biométriques utilisées pour identifier une personne « de manière unique » est interdit (article 9 du règlement sur le site de la CNIL). La reconnaissance faciale déployée pour identifier les clients d’un magasin entre exactement dans cette définition, puisque sa finalité est d’identifier chaque visiteur à partir de son visage.

L’interdiction ne peut être levée que dans des cas limitativement énumérés. Le seul qui pourrait concerner un commerce serait le « consentement explicite » de la personne, donné pour une ou plusieurs finalités spécifiques (article 9 du règlement sur le site de la CNIL). Or un consentement n’est valable que s’il est libre, spécifique, éclairé et révocable à tout moment. Dans un magasin, le client qui veut acheter une baguette n’a pas de véritable choix : s’il refuse l’analyse de son visage, il doit renoncer à entrer. Dans une résidence, le copropriétaire ou le locataire qui veut rentrer chez lui ne peut pas contourner le portique sans contrainte. Un accord arraché par la nécessité d’accéder à un lieu n’est pas un consentement libre, et un panneau d’information ne vaut jamais consentement explicite. L’argument de l’intérêt légitime du commerçant, souvent invoqué pour la lutte contre le vol, ne figure pas parmi les exceptions à l’interdiction des données biométriques : la sécurité des rayons justifie une vidéosurveillance classique, proportionnée et déclarée, pas une identification faciale de chaque visiteur.

La sanction prononcée contre Clearview AI illustre ce que coûte l’absence de base légale. La société avait constitué une base de visages en aspirant des photographies publiées sur internet, sans aucun accord des personnes. La formation restreinte de la CNIL a constaté qu’elle ne disposait d’aucun fondement juridique, ni intérêt légitime ni consentement des intéressés, et lui a infligé une amende de 20 millions d’euros, assortie d’une injonction de mise en conformité sous deux mois avec une astreinte de 100 000 euros par jour de retard (sanctions prononcées par la CNIL, délibération SAN-2022-019 du 17 octobre 2022). Le règlement prévoit pour de tels manquements des amendes administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 83 du règlement sur le site de la CNIL). Un commerçant français encourt la même logique de sanction, à proportion de la gravité et de la durée du manquement.

Le règlement européen sur l’intelligence artificielle, entré en application progressivement depuis 2024, renforce l’interdit. Son article 5 prohibe la création de bases de données de reconnaissance faciale par « moissonnage non ciblé » d’images faciales provenant de l’internet ou de la vidéosurveillance. Il prohibe aussi l’identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives, sauf situation « strictement nécessaire » à des objectifs limitativement listés, comme la recherche de personnes disparues ou la prévention d’une menace terroriste imminente, avec autorisation judiciaire préalable. La lutte contre le vol à l’étalage d’un commerce privé ne figure pas parmi ces exceptions, et un magasin n’est de toute façon pas une autorité répressive.

Le droit français de la vidéoprotection ne sauve pas davantage le dispositif. Le code de la sécurité intérieure n’autorise les systèmes de vidéoprotection que dans un cadre strict : « Des systèmes de vidéoprotection peuvent être mis en œuvre sur la voie publique par les autorités publiques compétentes » pour des finalités énumérées, et « L’installation d’un système de vidéoprotection dans le cadre du présent titre est subordonnée à une autorisation du représentant de l’Etat dans le département ». Cette autorisation préfectorale couvre la vidéoprotection classique, pas l’ajout d’une couche d’identification biométrique, et un commerçant ne peut pas s’en prévaloir pour analyser les visages de ses clients. Quant à l’expérimentation des caméras dites augmentées encadrée pour les jeux Olympiques de 2024, elle excluait expressément tout traitement de données biométriques, notamment la reconnaissance faciale, comme la CNIL l’a rappelé dans ses avis des 15 et 29 juin 2023. Passée la période d’expérimentation, aucun texte n’autorise un acteur privé à identifier biométriquement ses clients.

Le volet pénal complète le tableau. L’article 226-1 du code pénal punit d’un an d’emprisonnement et de 45 000 euros d’amende le fait de fixer ou d’enregistrer « sans le consentement de celle-ci, l’image d’une personne se trouvant dans un lieu privé ». Les cabines d’essayage et les toilettes d’un commerce sont des lieux privés : la CNIL rappelle qu’il est interdit d’installer des caméras à l’intérieur des « cabines d’essayage » ou dans les toilettes et que les caméras des zones marchandes doivent respecter « la vie privée des clients » (vidéosurveillance dans les commerces selon la CNIL). La durée de conservation fait l’objet d’un contrôle strict. La CNIL indique que la durée de conservation des images en commerce doit rester en lien avec l’objectif poursuivi et qu’en principe elle n’excède pas un mois. Conserver des visages et des gabarits biométriques pendant des mois, voire des années, pour une finalité de sécurité courante méconnaît cette exigence et tombe sous le coup de l’article 226-20 du code pénal, qui punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, par la demande d’autorisation ou d’avis, ou par la déclaration préalable adressée à la Commission nationale de l’informatique et des libertés ». Demandez donc toujours par écrit depuis quand vos données sont conservées : une conservation manifestement excessive prouve à elle seule l’illicéité du traitement. L’article 226-18 punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite », ce qui vise directement une collecte de visages opérée à l’insu des clients ou sous couvert d’une fausse finalité de sécurité. L’article 226-16 punit des mêmes peines « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi ».

Même lorsque la biométrie est en jeu dans un cadre autorisé, les juges exigent une nécessité démontrée au cas par cas. La Cour de justice de l’Union européenne a jugé le 26 janvier 2023, dans l’affaire C-205/21, qu’une collecte systématique de données biométriques n’est admissible que si l’autorité démontre une nécessité absolue et l’absence de mesure moins intrusive. La chambre criminelle de la Cour de cassation a repris cette exigence le 4 avril 2024 : l’autorité doit vérifier et démontrer « si cette collecte est absolument nécessaire à la réalisation des objectifs concrets poursuivis et, d’autre part, si ces objectifs ne peuvent pas être atteints par des mesures constituant une ingérence de moindre gravité pour les droits et les libertés de la personne concernée » (pourvoi n° 23-84.520, rejet, publié au Bulletin). Si le droit pénal lui-même refuse la collecte biométrique systématique, un commerce ne peut pas l’imposer à chaque client au seul motif de la démarque inconnue : des mesures moins intrusives existent, comme les antivols, les vigiles et la vidéoprotection classique déclarée.

Reste à identifier qui répond du traitement. Le responsable est en premier lieu l’exploitant du magasin, le centre commercial ou le syndic qui a décidé du dispositif et de ses finalités. L’éditeur du logiciel ou le prestataire qui héberge les gabarits est sous-traitant, voire responsable conjoint s’il détermine lui-même des finalités. Cette répartition compte pour la réparation : l’article 82, paragraphe 4, du règlement prévoit que lorsque plusieurs acteurs participent au même traitement, chacun est tenu « responsable du dommage dans sa totalité » afin de garantir une réparation effective (article 82 du règlement sur le site de la CNIL). Vous pouvez donc agir contre le commerçant sans avoir à démêler seul la chaîne de sous-traitance.

II. Contester le dispositif, le faire cesser et obtenir réparation

A. Les démarches immédiates : constats, demandes écrites et plainte CNIL

La première étape consiste à figer les preuves, car un dispositif contesté est souvent modifié ou débranché rapidement. Photographiez le panneau d’information, les caméras et, dans une résidence, le portique ou la borne de lecture faciale. Conservez vos tickets de caisse, vos passages et toute alerte logicielle dont vous avez été l’objet, comme un refus d’entrée ou une interpellation fondée sur une reconnaissance automatisée. Recueillez les témoignages écrits des personnes qui vous accompagnaient ou d’un salarié qui confirme l’analyse des visages. Notez les dates, les heures et les propos tenus. Ces éléments serviront devant la CNIL comme devant le juge pour établir que le dispositif identifie réellement les personnes et ne se limite pas à filmer.

Écrivez ensuite au responsable du lieu, en lettre recommandée avec accusé de réception, pour exercer vos droits. Le règlement vous ouvre un droit d’accès à l’ensemble de vos données, prévu à son article 15, un droit à l’effacement de vos données, prévu à son article 17, et un droit d’opposition au traitement, prévu à son article 21 (texte du règlement sur le site de la CNIL). Demandez précisément : la copie de vos images et de votre gabarit biométrique, la base légale invoquée pour la reconnaissance faciale, les finalités exactes, la durée de conservation des images et des gabarits, les destinataires et sous-traitants, l’autorisation préfectorale de vidéoprotection et la copie de l’analyse d’impact relative à la protection des données. Le règlement exige en effet une analyse d’impact pour la surveillance à grande échelle des zones accessibles au public, en particulier avec des « dispositifs opto-électroniques » (l’analyse d’impact selon la CNIL). Exigez l’effacement de votre gabarit et la cessation de toute identification vous concernant. Le règlement impose au responsable une réponse dans un délai d’un mois, et le site officiel service-public.fr précise que c’est en cas de réponse insatisfaisante ou d’absence de réponse dans ce délai d’un mois que vous pouvez saisir la CNIL (fiches sur les caméras de surveillance et les recours).

La plainte devant la CNIL se dépose en ligne et doit décrire les faits, joindre votre courrier resté sans réponse et vos constats. La Commission peut alors contrôler l’organisme, le mettre en demeure de se conformer et, en cas de persistance, prononcer une injonction, une amende et une astreinte, comme dans l’affaire Clearview. Si le dispositif relève de la vidéoprotection sans autorisation, un signalement au préfet et à la commission départementale de vidéoprotection complète utilement la démarche, puisque l’autorisation préfectorale est une condition légale d’exploitation. N’endommagez jamais le matériel et ne tentez pas d’accéder vous-même au système informatique du magasin : la dégradation et l’intrusion sont des infractions qui retourneraient la procédure contre vous. La voie efficace reste l’écrit, la plainte et, si nécessaire, le juge.

Si vous êtes confronté à une caméra qui vous filme dans d’autres lieux de vie, la méthode reste la même : la caméra de copropriété ou du voisin qui vous filme, avec les démarches pour contester, exiger l’accès et l’effacement et saisir la CNIL et le juge suit exactement cette logique de constat écrit, de demande de droits et de recours.

B. Devant le juge : faire cesser le traitement et être indemnisé

Quand le commerçant maintient son système malgré vos demandes, le juge des référés peut ordonner rapidement la cessation. L’article 9 du code civil dispose que « Chacun a droit au respect de sa vie privée. » et que les juges peuvent prescrire toutes mesures propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée, sachant que « ces mesures peuvent, s’il y a urgence, être ordonnées en référé ». La suppression de votre gabarit biométrique, l’interdiction de toute nouvelle identification vous concernant et, selon les cas, la désactivation du module facial du dispositif entrent dans ces mesures. Le caractère continu de la captation et le risque de diffusion ou de réutilisation de votre gabarit caractérisent l’urgence.

Le volet pénal sanctionne les collectes les plus graves. Une caméra dissimulée dans une cabine d’essayage ou des toilettes relève de l’article 226-1. Une collecte de visages organisée à votre insu ou sous une fausse finalité de sécurité relève de l’article 226-18 sur la collecte déloyale. Un traitement mis en œuvre sans respecter les formalités légales relève de l’article 226-16. Le dépôt de plainte, avec constitution de partie civile, permet de joindre votre demande d’indemnisation à l’action publique et de bénéficier de l’enquête pour établir l’ampleur du dispositif, le nombre de personnes concernées et la durée de la collecte.

La réparation civile du préjudice suit le régime de l’article 82 du règlement : « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » La Cour de justice a précisé le 4 mai 2023, dans l’affaire C-300/21, que la simple violation du règlement ne suffit pas à ouvrir droit à réparation et qu’aucun seuil de gravité ne peut être exigé pour le préjudice moral. La chambre sociale de la Cour de cassation a repris cette solution le 24 juin 2026 : « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation ; » et l’article 82 « s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité ; » (pourvoi n° 24-22.792, cassation partielle). Vous devez donc démontrer un préjudice causé par la violation, mais ce préjudice moral est réparé sans condition de gravité. Pour la fixation du montant, « les juges nationaux doivent appliquer les règles internes de chaque État membre relatives à l’étendue de la réparation pécuniaire, pour autant que les principes d’équivalence et d’effectivité du droit de l’Union soient respectés ».

Concrètement, le préjudice moral se prouve par le sentiment d’être surveillé et trié à chaque visite, la crainte d’une réutilisation de votre image, la perte de contrôle sur vos données, les démarches imposées pour faire valoir vos droits et, le cas échéant, l’humiliation d’une interpellation fondée sur une erreur du logiciel. Le règlement lui-même reconnaît ce type de dommage : ses considérants visent notamment la « perte de contrôle » sur ses données et la privation du contrôle comme sources de préjudice moral. Joignez vos courriers, l’absence de réponse du commerçant, vos constats d’huissier ou vos photographies, et toute pièce montrant la durée d’exposition. Si plusieurs membres de votre famille ou plusieurs voisins de la résidence sont concernés, des actions parallèles fondées sur le même dispositif renforcent la démonstration du caractère systématique du traitement.

En conclusion, une caméra qui se contente de filmer les allées d’un magasin pour la sécurité des biens reste licite si elle est déclarée, signalée et proportionnée. Dès qu’elle identifie votre visage pour vous reconnaître, vous trier ou alimenter une base, elle franchit une ligne que le droit européen interdit par principe : vos données biométriques ne peuvent être traitées sans votre consentement explicite, et un client ou un résident n’a aucun moyen de donner un tel consentement librement. Constatez les faits, exercez vos droits par écrit, saisissez la CNIL en cas de silence, puis demandez au juge la cessation du traitement et la réparation de votre préjudice moral. Chaque étape compte, car un dossier documenté dès le premier jour obtient plus vite la désactivation du module facial et une indemnisation à la mesure de l’atteinte subie.

Besoin d’un avis rapide sur votre dossier

Vous êtes filmé et identifié par reconnaissance faciale dans un magasin, une galerie ou votre résidence, et vous voulez contester le dispositif, obtenir l’effacement de votre gabarit biométrique et saisir la CNIL ou le juge. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles : consultation téléphonique : 80 EUR TTC. Téléphone : 06 46 60 58 22. Contact : formulaire de contact du cabinet.