I. Comprendre ce qui vous filme vraiment : simple vidéosurveillance ou reconnaissance faciale ?

A. La reconnaissance faciale crée un gabarit biométrique, une donnée sensible

Une caméra de vidéosurveillance classique enregistre des images. Un dispositif de reconnaissance faciale va plus loin : il détecte un visage, le mesure et le compare à une base pour identifier une personne ou vérifier qu’elle correspond à un profil. La Commission nationale de l’informatique et des libertés rappelle que la biométrie regroupe les techniques de reconnaissance automatique d’un individu à partir de ses caractéristiques physiques ou comportementales, au premier rang desquelles la reconnaissance du visage, et que ces caractéristiques uniques et le plus souvent permanentes appellent une protection renforcée des personnes.

Cette qualification change tout. Le règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données, subordonne tout traitement à une base légale : consentement, contrat, obligation légale, sauvegarde d’intérêts vitaux, mission d’intérêt public ou intérêts légitimes du responsable. Saisi d’un traitement public reposant sur la reconnaissance faciale, le Conseil d’État contrôle ainsi que « les données pertinentes au regard de la finalité d’un traitement sont celles qui sont en adéquation avec la finalité du traitement et qui sont proportionnées à cette finalité ». Pour les données biométriques utilisées aux fins d’identifier une personne de manière unique, le même règlement réserve en outre un régime renforcé au titre des catégories particulières de données. Ce cadre européen est relayé en droit interne par la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, qui confie à la CNIL le contrôle des traitements et un pouvoir de sanction administrative et pénale. Concrètement, le commerçant, l’exploitant de salle de sport ou le syndic qui déploie un tel système doit démontrer une base légale solide, et le simple fait d’avoir affiché un panneau « zone vidéoprotégée » ne suffit pas à régulariser un traitement biométrique.

Face à un dispositif suspect, le premier réflexe consiste donc à vérifier ce qui est réellement installé. Photographiez le panneau d’information et son contenu, notez l’emplacement des caméras, conservez tout document remis à l’entrée (conditions générales, règlement intérieur, notice du syndic) et demandez par écrit au responsable des lieux la nature exacte du traitement : simple enregistrement d’images ou analyse biométrique avec identification. Cette demande écrite servira ensuite de point de départ daté pour l’exercice de vos droits. Si le responsable élude la réponse ou se contredit, cette attitude sera relevée par la CNIL puis par le juge au moment d’apprécier sa bonne foi.

B. Identifier le responsable du traitement et son prestataire avant d’écrire

En droit des données personnelles, les rôles ne se confondent pas. Le responsable du traitement est celui qui décide des finalités et des moyens : le magasin qui veut fluidifier ses caisses, la salle de sport qui veut contrôler les accès, le syndicat des copropriétaires représenté par le syndic qui veut surveiller le hall. Le prestataire qui fournit la caméra, l’algorithme ou l’hébergement agit en principe comme sous-traitant et doit être encadré par un contrat conforme aux exigences du règlement européen. Avant de choisir votre destinataire, identifiez ces deux acteurs : mentions légales du site du commerce, coordonnées du délégué à la protection des données, nom du syndic et de la société de vidéosurveillance, factures ou documentation commerciale du système.

Cette identification conditionne l’efficacité de vos démarches. Ajoutez à votre courrier trois questions précises dont l’absence de réponse sera exploitée devant la CNIL : le dispositif a-t-il fait l’objet d’une analyse d’impact relative à la protection des données, où figure-t-il dans le registre des activités de traitement, et quelles sont l’identité et les coordonnées du délégué à la protection des données. Un exploitant sérieux, conseillé et documenté, répond point par point ; un exploitant qui a acheté une caméra « intelligente » sur catalogue sans mesurer sa portée réglementaire s’enferre dans des réponses vagues, et ces réponses vagues constituent vos meilleures pièces. Vérifiez également la cohérence entre le panneau affiché, les mentions du site internet et les conditions générales : toute contradiction sur la finalité ou la durée de conservation démontre le défaut d’information et fragilise la base légale invoquée. Écrivez d’abord au responsable du traitement, par lettre recommandée avec accusé de réception ou par courriel conservé, pour exercer vos droits : droit d’accès à vos données, aux informations sur le traitement et, lorsque les conditions sont réunies, droit d’opposition et droit à l’effacement. Demandez la copie des images et des gabarits vous concernant, la finalité précise du dispositif, sa base légale, la durée de conservation et les destinataires des données. L’obstruction au droit d’accès est l’un des manquements que la CNIL sanctionne régulièrement : son tableau public des sanctions prononcées relève par exemple un manquement au droit d’accès (tableau public des sanctions prononcées) sanctionné de 5 000 euros d’amende à l’encontre d’une société de vente à distance. Pour votre dossier, fixez un délai de réponse raisonnable d’un mois, conservez chaque échange et chaque preuve de dépôt, et préparez déjà la saisine de la CNIL en cas de silence ou de refus.

La question du consentement mérite une attention particulière car les exploitants l’invoquent souvent. La CNIL rappelle, à propos de la biométrie mise à disposition du public, que le consentement n’est valable que s’il est donné librement, pour un usage biométrique déterminé et en connaissance de cause (page de la CNIL consacrée à la biométrie), ce qui implique une information individuelle renforcée, un accord portant spécifiquement sur l’authentification biométrique et, surtout, la possibilité de recourir à un autre mode d’authentification, par badge ou mot de passe, sans contrainte ni contrepartie. Dans un magasin où le client ne peut pas entrer sans passer devant la caméra, ou dans une résidence où le résident ne peut pas regagner son logement sans être filmé, cette alternative réelle fait presque toujours défaut. Le consentement affiché sur un panneau ou noyé dans des conditions générales ne résiste alors pas à l’examen. L’autre fondement souvent avancé, l’intérêt légitime de l’exploitant, suppose une mise en balance avec vos droits : la CNIL a jugé disproportionné (position sur l’expérimentation dans deux lycées) le recours à la reconnaissance faciale pour contrôler des accès alors même que l’établissement invoquait la sécurité, dès lors qu’un contrôle par badge suffisait. La lutte contre la démarque inconnue ou le confort de gestion des accès, aussi respectables soient-ils, peinent à justifier un flicage biométrique de chaque visiteur.

II. Faire cesser le dispositif illicite et obtenir réparation : CNIL, juge civil et plainte pénale

A. Saisir la CNIL : plainte documentée, mise en demeure, sanction et injonction

La plainte devant la CNIL se dépose directement en ligne, sans avocat obligatoire, mais elle doit être construite comme un dossier contentieux. Joignez la chronologie des faits, vos courriers au responsable et ses réponses, les photographies du dispositif et des panneaux, les témoignages éventuels et la description précise du préjudice : refus d’accès au magasin sans acceptation du dispositif, impossibilité d’entrer dans la résidence sans être identifié, sentiment d’être suivi lors de chaque visite. La CNIL peut contrôler l’organisme puis le mettre en demeure, c’est-à-dire une décision de la présidente qui énumère les manquements reprochés et les mesures de mise en conformité à prendre dans un délai fixé (définition de la mise en demeure), avant une sanction en cas d’inaction.

Les pouvoirs de la formation restreinte donnent la mesure de ce qu’encourt l’exploitant : une injonction de mise en conformité du traitement ou de satisfaction des demandes d’exercice des droits, assortissable d’une astreinte, et une amende pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial en cas d’atteinte aux principes fondamentaux du règlement européen (pouvoirs de la formation restreinte). Le tableau public des sanctions montre que ces pouvoirs visent aussi des manquements du quotidien : une société exploitant des boutiques-toilettes a été sanctionnée pour son dispositif de vidéoprotection sur le terrain de la licéité, de la minimisation et de l’absence d’analyse d’impact, et une société d’optique a vu liquider une astreinte de 4 000 euros après une réponse tardive à une mise en demeure.

Deux précédents nationaux éclairent directement votre situation. D’abord, la position prise par la CNIL sur l’expérimentation de la reconnaissance faciale aux entrées de deux lycées : les rapporteurs avaient estimé que le dispositif, destiné à fluidifier et sécuriser les accès d’élèves pour la plupart mineurs, n’était ni nécessaire ni proportionné au regard de ces finalités (position de la CNIL). Après examen, la CNIL a jugé le projet contraire aux principes de proportionnalité et de minimisation, en relevant qu’en présence de moyens alternatifs moins intrusifs, tel un contrôle par badge, le recours à un dispositif de reconnaissance faciale pour contrôler les accès apparaît disproportionné. Si la reconnaissance faciale est jugée disproportionnée pour sécuriser l’entrée d’un lycée alors même que l’établissement invoque la sécurité des élèves, elle l’est à plus forte raison pour fluidifier une file de caisse ou compter les clients d’une galerie marchande, là où un badge, un vigile ou une caméra classique suffit. Ensuite, l’arrêt du Conseil d’État du 4 novembre 2020 sur le dispositif Alicem, qui autorisait une identification électronique reposant sur la reconnaissance faciale, montre la méthode du juge administratif : examen du consentement au sens de l’article 7 du règlement européen, contrôle de la minimisation au sens de l’article 5 et vérification des garanties, le décret prévoyant notamment que le traitement « utilise un système de reconnaissance faciale statique et de reconnaissance faciale dynamique », avec des données collectées « à cette seule fin » et « effacées sitôt ces reconnaissances terminées ». Un dispositif privé qui ne prévoit ni alternative réelle ni effacement rapide part donc avec une fragilité juridique majeure.

Pour les traitements mis en œuvre dans un cadre répressif ou policier, le Conseil d’État a fixé un niveau d’exigence encore plus élevé : à propos du traitement d’antécédents judiciaires et de la reconnaissance faciale associée, il exige que la collecte biométrique systématique soit absolument nécessaire aux objectifs poursuivis et que ceux-ci ne puissent être atteints par des mesures moins attentatoires aux droits et libertés. La leçon vaut pour le secteur privé : plus le dispositif est systématique et invisible, plus l’exploitant doit démontrer qu’aucun moyen moins intrusif ne permettait d’atteindre le même but. La chambre criminelle de la Cour de cassation raisonne de même pour les fichiers biométriques : dans un arrêt du 4 avril 2024, elle exige que la collecte systématique des données biométriques et génétiques soit absolument nécessaire aux objectifs poursuivis et que ceux-ci ne puissent être atteints par des mesures constituant une ingérence de moindre gravité (Cass. crim., 4 avril 2024, n° 23-84.520). Conservez donc la preuve qu’un moyen simple existait : badge d’accès, liste d’émargement, contrôle humain, vidéosurveillance sans biométrie. Cette démonstration de l’alternative disponible est souvent l’argument qui fait basculer un dossier devant la CNIL.

B. Saisir le juge : faire ordonner l’arrêt et l’effacement, puis obtenir réparation

La saisine de la CNIL ne vous indemnise pas. Pour obtenir la cessation du dispositif et la réparation de votre préjudice, c’est au juge judiciaire qu’il faut s’adresser, en référé pour l’urgence puis au fond pour la responsabilité. En référé, vous pouvez demander au président du tribunal judiciaire d’ordonner sous astreinte la suspension du traitement biométrique, l’effacement de vos gabarits et images, et la communication des informations dues au titre du droit d’accès. Le juge des référés statue vite lorsqu’un trouble manifestement illicite est établi, et un traitement biométrique sans base légale, documenté par vos courriers restés sans réponse et par l’avis de la CNIL sur des dispositifs comparables, caractérise un tel trouble. Faites établir un constat : faites constater le dispositif par commissaire de justice avant toute assignation, car les exploitants démontent parfois les caméras dès réception d’une mise en demeure. Le procès-verbal de constat, daté et circonstancié, fige la preuve du panneau, de l’angle des caméras, de l’absence d’alternative et du caractère obligatoire du passage.

Au fond, l’action en responsabilité s’appuie sur le règlement européen, qui ouvre à toute personne ayant subi un préjudice du fait d’un traitement illicite le droit d’obtenir réparation du responsable ou du sous-traitant. Le préjudice peut être matériel, par exemple l’abonnement à la salle de sport résilié parce que vous refusiez le portique biométrique, ou moral : sentiment d’être fiché à chaque visite, crainte d’un piratage de vos gabarits, démarches répétées pour exercer vos droits. Chiffrez chaque poste avec des pièces : contrat résilié et facture, attestations de proches, copies de vos courriers et du temps passé, éventuel avis médical si l’anxiété est établie. Les juges apprécient les dossiers qui distinguent la règle, ses conditions et ses conséquences : un traitement biométrique suppose une base légale effective, un consentement véritablement libre avec alternative, une information complète et une conservation limitée ; à défaut, l’illicéité est constituée et le lien avec le préjudice s’établit par la privation de vos droits et l’exposition subie.

Le raisonnement de la Cour de cassation sur la géolocalisation des salariés éclaire cette appréciation, car il s’agit de la même logique de proportionnalité appliquée aux dispositifs de surveillance. La chambre sociale juge qu’un système de géolocalisation utilisé pour contrôler la durée du travail n’est licite que si ce contrôle ne peut être assuré par un autre moyen, même moins efficace, et qu’il n’est pas justifié lorsque le salarié organise librement son travail (Cass. soc., 19 décembre 2018, n° 17-14.631), en visa de l’article L. 1121-1 du code du travail selon lequel « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ». Transposée à votre cas, la formule est redoutable pour l’exploitant : la reconnaissance faciale n’est licite que si le but poursuivi ne pouvait être atteint par un autre moyen, même moins efficace. Or un contrôle d’accès par badge, un comptage par cellule infrarouge ou une vidéosurveillance classique sans identification biométrique atteignent les finalités affichées par les commerces et les résidences. Les lecteurs confrontés à un autre dispositif de surveillance disproportionné trouveront dans les règles de contestation d’un dispositif de surveillance disproportionné jugées à propos de la géolocalisation des salariés le même triptyque : base légale, alternative moins intrusive, preuve du préjudice.

Le volet pénal ne doit pas être négligé, sans pour autant être systématique. L’article 226-1 du code pénal punit d’un an d’emprisonnement et de 45 000 euros d’amende le fait, au moyen d’un procédé quelconque, de porter volontairement atteinte à l’intimité de la vie privée d’autrui, notamment « En fixant, enregistrant ou transmettant, sans le consentement de celle-ci, l’image d’une personne se trouvant dans un lieu privé ». Selon la configuration des lieux, les parties communes d’une résidence ou les vestiaires d’une salle de sport peuvent relever de cette protection, tandis que la surface de vente d’un magasin ouvert au public appelle une analyse plus fine que seul l’examen du dossier permet de trancher. L’article 226-16 du même code vise pour sa part les traitements de données personnelles mis en œuvre en méconnaissance des exigences légales : « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende ». Une plainte pénale, déposée avec constitution de partie civile et adossée au dossier CNIL, exerce une pression réelle sur l’exploitant et préserve vos droits à réparation dans l’hypothèse où le traitement dissimulerait une exploitation plus large de vos données, par exemple une revente à un prestataire ou un transfert hors de l’Union européenne sans garanties.

En copropriété, le raisonnement se durcit encore pour le syndic. La décision d’installer un dispositif biométrique dans les parties communes ne peut résulter d’une simple initiative du gardien ou d’un contrat signé sans information des copropriétaires : le traitement concerne chaque résident, chaque visiteur et chaque prestataire intervenant dans l’immeuble, sans possibilité de s’y soustraire pour regagner son logement. Le syndic doit donc produire la base légale du dispositif, l’analyse d’impact lorsqu’elle est requise, le registre des traitements et la preuve de l’information individuelle de chaque personne filmée. À défaut, chaque copropriétaire peut exercer ses droits à titre personnel, alerter le conseil syndical par écrit, saisir la CNIL et demander au juge l’arrêt du dispositif et l’effacement des gabarits. L’argument de la sécurité de l’immeuble, souvent invoqué, se heurte à la même objection que dans les lycées : une vidéosurveillance classique, un digicode et un contrôle des badges atteignent l’objectif sans identifier biométriquement chaque entrant.

Reste la question des transferts et de la conservation, souvent découverte en cours de dossier. Interrogez le responsable sur l’hébergeur des images et des gabarits, sur la durée de conservation effective et sur l’existence d’un transfert hors de l’Union européenne vers l’éditeur du logiciel. Le règlement européen encadre strictement ces transferts et impose des garanties appropriées, tandis que le règlement (UE) 2024/1689 sur l’intelligence artificielle traite à part les systèmes d’identification biométrique à distance, avec une entrée en application échelonnée qu’il faut vérifier au jour de votre litige. Si l’exploitant ignore où sont stockés vos gabarits ou annonce une conservation de plusieurs années pour un simple contrôle d’accès, relevez ces aveux : ils établissent le manquement aux principes de minimisation et de limitation de la conservation, et renforcent la demande d’effacement.

Conclusion : un dispositif spectaculaire, une défense méthodique

La reconnaissance faciale déployée par un commerce, une salle de sport ou une copropriété impressionne, mais sa licéité obéit à des conditions cumulatives simples à vérifier : une base légale effective au sens de l’article 6 du règlement européen, le respect du régime renforcé des données biométriques, un consentement véritablement libre avec une alternative réelle lorsqu’il est invoqué, une information complète, une conservation limitée et l’absence de moyen moins intrusif permettant d’atteindre le même but. La CNIL l’a rappelé pour les lycées comme pour Clearview, le Conseil d’État l’applique à la biométrie publique et la Cour de cassation l’exige pour la surveillance des salariés. Votre dossier doit donc suivre cet ordre : constater par écrit et par commissaire de justice, exercer vos droits auprès du responsable identifié, saisir la CNIL avec un dossier complet, puis demander au juge la cessation, l’effacement et la réparation, avec une plainte pénale lorsque la configuration des lieux ou l’opacité de l’exploitant le justifie. Chaque étape alimente la suivante, et c’est cette chaîne de preuves qui transforme une impression désagréable en une illicéité démontrée.