Vous retrouvez votre visage sur PimEyes, un service de recherche faciale inversée : à partir d’une simple photo, le service affiche d’autres images de vous diffusées sur internet, avec les sites qui les hébergent. Vous n’avez jamais contacté cet éditeur, jamais ouvert de compte chez lui, jamais donné votre accord, et pourtant votre visage est devenu une clé de recherche que n’importe qui peut utiliser. Le trouble est légitime, car ce qui circule n’est pas une simple photo : c’est une donnée biométrique, traitée à grande échelle, sans que vous en ayez été informé, alors même que chacun a droit au respect de sa vie privée.
La question juridique est double. D’abord, ce traitement est-il licite alors que vous n’avez rien consenti et que les données biométriques relèvent d’un régime d’interdiction de principe. Ensuite, comment agir concrètement : obtenir le retrait de votre image des résultats, exercer votre droit d’opposition et votre droit à l’effacement, saisir la CNIL puis le juge, et obtenir réparation du préjudice subi. Cet article décrit chaque étape, avec les textes applicables et les décisions qui encadrent ces services.
I. Ce que le moteur fait de votre visage, et pourquoi le droit s’en mêle
A. Un gabarit biométrique fabriqué sans jamais vous avoir rencontré
Un moteur de recherche faciale ne se contente pas de retrouver une photo déjà connue. La Commission nationale de l’informatique et des libertés décrit un traitement en deux phases : à partir de l’image, un modèle qui représente, d’un point de vue informatique, les caractéristiques du visage est calculé, puis ce modèle est comparé aux modèles calculés sur d’autres images. La CNIL précise que les données extraites pour constituer ce gabarit constituent des données biométriques au sens du règlement. Autrement dit, dès la première analyse de votre photo, le service crée une donnée qui identifie votre corps de manière unique, et cette donnée est ensuite conservée et comparée.
Le règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données qualifie ce mécanisme à trois niveaux. D’abord, votre visage identifiable constitue une donnée à caractère personnel, et chaque opération, de la collecte à la diffusion des résultats, constitue un traitement. Ensuite, l’article 9 du règlement pose une interdiction de principe : il vise notamment les données biométriques destinées à identifier une personne physique de manière unique et en interdit le traitement, sauf si l’une des exceptions limitativement énumérées est remplie, au premier rang desquelles le consentement explicite. Enfin, même hors données sensibles, l’article 6 n’autorise un traitement que si au moins une condition de licéité est remplie : consentement, contrat, obligation légale, sauvegarde d’intérêts vitaux, mission d’intérêt public ou intérêts légitimes du responsable. Un service qui aspire des photos publiées par des tiers, sans relation avec vous, aura en pratique les plus grandes difficultés à démontrer une base légale solide, et vos droits s’exercent précisément contre ce responsable.
S’y ajoute une obligation d’information renforcée. Lorsque les données n’ont pas été collectées auprès de vous, ce qui est exactement le cas d’une photo aspirée sur un site tiers, le responsable doit vous fournir son identité et ses coordonnées, les finalités et la base juridique du traitement, les catégories de données concernées et vos droits (article 14 du règlement). L’article 14 impose ainsi au responsable, lorsque les données n’ont pas été collectées auprès de la personne concernée, de lui fournir son identité et ses coordonnées, les finalités et la base juridique du traitement, les catégories de données concernées et les droits dont elle dispose. Si aucun contact, aucune notice, aucune information ne vous est jamais parvenue, ce silence constitue déjà un premier manquement exploitable dans vos démarches.
Pour bien comprendre l’étendue de vos droits, il faut mesurer la largeur des définitions européennes. Entre dans la notion de donnée personnelle toute information relative à une personne physique identifiée ou identifiable, y compris par des éléments propres à son identité physique, et constitue un traitement toute opération appliquée à ces données, de la collecte à la diffusion (article 4 du règlement). Chaque maillon de la chaîne du moteur, aspiration de la photo, calcul du gabarit, indexation, affichage des résultats, relève donc du règlement, et chacun doit être justifié. Cette analyse vaut quel que soit le pays d’établissement de l’éditeur dès lors que le service vise des personnes situées dans l’Union, et l’absence de représentant européen, relevée comme une violation à part entière dans la décision néerlandaise contre Clearview, ne prive pas les personnes concernées de leurs recours : elle ajoute un grief au dossier.
B. L’éditeur du moteur reste responsable du traitement, même sans héberger vos photos
L’objection la plus courante des exploitants de ces services tient en une phrase : nous ne faisons que chercher, les photos appartiennent aux sites d’origine. L’éditeur de PimEyes présente ainsi son service comme un simple moteur qui afficherait des correspondances trouvées sur des sites externes. Cette présentation ne change rien à la qualification juridique. La Cour de cassation a jugé, dans un arrêt du 14 février 2018 rendu contre l’exploitant d’un moteur de recherche, que « l’activité d’un moteur de recherche consistant à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné doit être qualifiée de « traitement de données à caractère personnel » », et que « l’exploitant de ce moteur de recherche doit être considéré comme le « responsable » dudit traitement » (Cass. civ. 1re, 14 février 2018, n° 17-10.499). La Cour s’appuie sur l’arrêt de la Cour de justice de l’Union européenne du 13 mai 2014, Google Spain et Google (C-131/12). Un moteur de recherche faciale, qui trouve des photos publiées par des tiers, les indexe automatiquement et les met à disposition selon ses résultats, entre exactement dans cette définition : son éditeur est responsable du traitement et doit répondre de sa licéité.
Les autorités européennes de protection des données appliquent ce raisonnement sans hésitation aux services de reconnaissance faciale. Le Comité européen de la protection des données relate la décision de l’autorité néerlandaise du 16 mai 2024 contre la société Clearview : collecte sans base légale en violation des articles 5 et 6 du règlement, traitement de données biométriques en violation de l’article 9, information insuffisante des personnes en violation des articles 12 et 14, absence de réponse à des demandes d’accès en violation des articles 12 et 15, et absence de représentant dans l’Union en violation de l’article 27. L’autorité a prononcé une amende de 30 500 000 euros, assortie de quatre injonctions sous astreinte. Cette décision montre que l’aspiration massive de visages sur internet, sans consentement ni information, est regardée par les autorités comme une violation caractérisée du règlement, et elle donne un précédent officiel que votre propre dossier peut invoquer.
Concrètement, cette qualité de responsable du traitement désigne votre interlocuteur : c’est contre l’éditeur du moteur que s’exercent l’opposition, l’effacement et l’action en réparation, même si les photos d’origine restent hébergées ailleurs. Le retrait obtenu auprès du moteur ne supprime pas les images des sites sources, et la démarche inverse est également vraie : faire retirer la photo du site d’origine ne purge pas l’index du moteur. Les deux actions sont donc complémentaires, et c’est l’objet de la seconde partie, qui détaille l’ordre des démarches et les délais à respecter.
II. Agir pas à pas, du retrait à la réparation
A. Exiger le retrait : preuves, procédure de l’éditeur, opposition et effacement
Avant toute demande, figez la preuve. Capturez les pages de résultats datées, avec l’URL visible et la photo fournie en entrée, conservez les liens des sites sources pointés par le moteur, et notez les dates de vos constats. Si l’enjeu est important, un constat dressé par un commissaire de justice donne à ces captures une force probante que de simples impressions d’écran n’ont pas toujours. Conservez également tout élément montrant le retentissement : message d’un employeur ou d’un recruteur qui a vu ces images, reprise de votre photo sur un faux profil, signalements déjà effectués. Ces pièces serviront à chaque étape, de la demande amiable jusqu’à la demande de réparation.
Premier réflexe utile : la procédure de retrait mise en place par l’éditeur lui-même. PimEyes explique dans sa documentation officielle que le retrait de ses résultats suit deux voies, l’exclusion volontaire et l’exclusion manuelle, et indique qu’aucune procédure de type DMCA n’est nécessaire pour obtenir ce retrait. Suivez cette procédure depuis le site officiel, conservez chaque accusé de réception et chaque numéro de dossier, et vérifiez quelques jours plus tard que votre visage ne ressort plus. Gardez à l’esprit la limite rappelée par l’éditeur : le retrait de l’index ne supprime pas les images des sites d’origine. Adressez donc en parallèle une demande de retrait à chaque site source qui diffuse une photo que vous n’aviez pas vocation à voir exposée, en particulier les sites qui reprennent votre image sans autorisation.
Si les pages sources qui exposent votre photo sont elles-mêmes indexées par les moteurs de recherche généralistes sous votre nom, demandez également leur déréférencement : la suppression dans l’index facial ne purge pas l’index textuel, et les deux démarches avancent en parallèle. Conservez la preuve de chaque demande et de chaque refus, car l’accumulation des refus documente la résistance du responsable et prépare la saisine de la CNIL.
Si la procédure de l’éditeur reste sans effet, ou si vous préférez fonder votre demande sur le droit européen, exercez vos droits directement contre lui. Le droit d’opposition permet à toute personne de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur les intérêts légitimes ou une mission d’intérêt public, le responsable devant alors cesser de traiter les données sauf à démontrer des motifs légitimes et impérieux qui prévaudraient sur les intérêts, les droits et les libertés de la personne (article 21 du règlement). Le droit à l’effacement va plus loin en permettant d’obtenir du responsable l’effacement de ses données dans les meilleurs délais, notamment lorsque les données ne sont plus nécessaires, lorsque le consentement est retiré sans autre fondement, ou lorsque la personne s’oppose au traitement sans motif impérieux contraire (article 17 du règlement). Votre courrier doit décliner votre identité, désigner précisément les résultats contestés avec leurs URL et vos captures, viser ces deux articles, et demander l’effacement du gabarit biométrique comme des résultats associés.
Rédigez votre courrier comme une pièce de procédure. En objet, indiquez l’exercice de vos droits d’opposition et d’effacement sur le fondement des articles 17 et 21 du règlement. En corps, déclinez votre identité avec une copie de pièce d’identité si nécessaire, listez les URL contestées, décrivez les captures jointes, rappelez l’absence d’information préalable au titre de l’article 14, et fixez un délai de réponse d’un mois conformément à l’article 12. Demandez expressément l’effacement du gabarit biométrique et pas seulement le déréférencement de quelques liens, car un simple retrait d’affichage qui conserverait le modèle permettrait une réindexation ultérieure. Adressez une copie de ce courrier au délégué à la protection des données de l’éditeur lorsque ses coordonnées sont publiées, et conservez l’ensemble des échanges. Si le site source qui héberge la photo d’origine est identifié, écrivez-lui séparément : le retrait à la source tarit l’alimentation du moteur et prépare, à défaut, une action contre l’hébergeur.
Le règlement impose un calendrier de réponse : le responsable doit informer la personne des mesures prises à la suite de sa demande dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de sa réception, prolongeable de deux mois en cas de complexité (article 12, paragraphe 3, du règlement). Envoyez donc votre demande par un moyen qui prouve la réception, et faites partir le délai de cette date. L’absence de réponse dans le mois, ou un refus sommaire qui n’expose aucun motif légitime et impérieux, ouvre la voie du recours devant l’autorité puis devant le juge.
Deux situations appellent une vigilance particulière. Celle des mineurs d’abord : lorsque l’image concerne un enfant, la demande doit émaner des titulaires de l’autorité parentale, et le droit commun protège l’enfant avec une intensité redoublée. Le code pénal prévoit ainsi que « Lorsque les actes mentionnés au présent article ont été accomplis sur la personne d’un mineur, le consentement doit émaner des titulaires de l’autorité parentale » (article 226-1 du code pénal). Celle de l’usurpation ensuite : si votre photo retrouvée alimente un faux compte qui se fait passer pour vous sur un réseau social, la démarche de retrait du moteur ne suffit pas et la procédure propre aux faux profils s’ajoute, comme l’explique le guide consacré au faux compte créé avec vos photos et à son retrait. De même, si c’est un dispositif de captation installé dans un lieu, un commerce ou une copropriété qui vous a filmé sans base légale, les règles propres à la vidéosurveillance et à la biométrie locale s’appliquent, décrites dans l’analyse des dispositifs de reconnaissance faciale en magasin, salle de sport ou copropriété.
B. Saisir la CNIL et le juge, et obtenir réparation
Lorsque l’éditeur ne répond pas, refuse sans motif sérieux ou maintient votre visage dans ses résultats, la réclamation devant la CNIL est l’étape suivante. Le règlement ouvre ce recours à toute personne qui estime subir une violation : elle peut introduire une réclamation auprès d’une autorité de contrôle, en particulier celle de l’État membre de sa résidence habituelle, de son lieu de travail ou du lieu où la violation aurait été commise (article 77 du règlement). Pour une personne résidant en France, la CNIL est donc l’autorité compétente, y compris lorsque l’éditeur est établi hors de France, et la réclamation s’effectue en ligne depuis la page des plaintes de la CNIL. Joignez un dossier ordonné : captures datées des résultats, copie de votre demande d’opposition et d’effacement avec la preuve de réception, réponse de l’éditeur ou constat de son silence à l’expiration du délai d’un mois, et description précise du préjudice. La CNIL peut contrôler, mettre en demeure et sanctionner, et la présentation de ses droits par la CNIL rappelle l’éventail des actions ouvertes aux particuliers. Mentionnez si d’autres personnes sont concernées par les mêmes résultats, car un dossier qui révèle une pratique massive a plus de poids qu’un cas isolé.
Le recours juridictionnel se cumule avec la réclamation, sans attendre son issue. chaque personne concernée dispose d’un recours juridictionnel effectif lorsqu’elle estime que les droits que lui confère le règlement ont été violés par un traitement non conforme, et l’action peut être portée devant les juridictions de l’État membre de votre résidence habituelle (article 79 du règlement). Devant le tribunal judiciaire, vous pouvez demander l’injonction de retrait et d’effacement sous astreinte, en référé si l’urgence le justifie. Le juge des référés peut en effet « prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite » (article 835 du code de procédure civile), et la diffusion non autorisée de votre image identifiable par un service que vous n’avez jamais sollicité entre dans ce trouble dès lors que le traitement est illicite. Le droit commun de la personnalité renforce cette action : « Chacun a droit au respect de sa vie privée. Les juges peuvent, sans préjudice de la réparation du dommage subi, prescrire toutes mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée : ces mesures peuvent, s’il y a urgence, être ordonnées en référé » (article 9 du code civil). La diffusion de votre image identifiable par un service que vous n’avez jamais sollicité caractérise une atteinte à ce droit dès lors qu’elle excède ce que vous aviez accepté en publiant, le cas échéant, la photo d’origine dans un cercle restreint.
Le volet pénal n’est pas à négliger dans les cas graves. Au-delà de la captation elle-même, la diffusion est visée : « Est puni des mêmes peines le fait de conserver, porter ou laisser porter à la connaissance du public ou d’un tiers ou d’utiliser de quelque manière que ce soit tout enregistrement ou document obtenu à l’aide de l’un des actes prévus par l’article 226-1 » (article 226-2 du code pénal). Verser votre image dans un moteur de recherche faciale après l’avoir captée sans consentement dans un lieu privé peut ainsi relever de ce texte, et chaque rediffusion alimente le dossier. L’article 226-1 du code pénal punit « d’un an d’emprisonnement et de 45 000 euros d’amende le fait, au moyen d’un procédé quelconque, volontairement de porter atteinte à l’intimité de la vie privée d’autrui », notamment « En fixant, enregistrant ou transmettant, sans le consentement de celle-ci, l’image d’une personne se trouvant dans un lieu privé » (article 226-1 du code pénal). Lorsque la photo d’origine a été captée dans un lieu privé puis a alimenté le moteur, ou lorsqu’un tiers transmet votre image intime à des fins malveillantes, un dépôt de plainte s’ajoute utilement aux actions civiles et administratives. La plainte ne remplace ni la demande d’effacement ni la réclamation à la CNIL, mais elle fige les faits, ouvre l’enquête sur la chaîne de diffusion et pèse dans l’appréciation du préjudice.
Reste la réparation. toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82 du règlement). Le préjudice moral, anxiété durable, sentiment d’être surveillé, crainte pour sa sécurité ou celle de ses enfants, réputation atteinte auprès d’un employeur, se répare dès lors qu’il est prouvé, et le préjudice matériel, perte d’une opportunité professionnelle, frais engagés pour faire retirer les images, se chiffre pièces à l’appui. Constituez ce dossier dès le premier jour : attestations de proches qui décrivent le changement de comportement, échanges montrant qu’un tiers a utilisé ces résultats contre vous, factures des démarches, constats d’huissier. Le juge apprécie souverainement le montant, sans barème imposé, au vu des pièces produites. Le droit commun conforte cette action indemnitaire : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil). L’exploitation illicite de votre image, lorsqu’elle est fautive, ouvre donc la réparation sur ce fondement comme sur celui de l’article 82 du règlement. Plus le dossier démontre une violation massive et durable, une absence totale d’information et un mépris des demandes, comme dans l’affaire sanctionnée par l’autorité néerlandaise, plus la réparation a des chances d’être substantielle.
Votre photo retrouvée sur un moteur de recherche faciale n’est donc ni une fatalité technique ni un vide juridique. Le traitement de votre gabarit biométrique doit reposer sur une base légale que l’éditeur aura bien du mal à établir sans votre consentement ; l’exploitant du moteur est responsable du traitement même s’il n’héberge pas les images ; et vous disposez d’une gradation complète, retrait auprès de l’éditeur, opposition et effacement fondés sur les articles 17 et 21 du règlement, réclamation devant la CNIL, injonction et réparation devant le juge. Agissez vite, écrivez avec des preuves datées, et ne laissez pas le silence de l’éditeur clore le dossier : c’est ce silence, passé le délai d’un mois, qui ouvre la porte des recours. Conservez chaque courrier, chaque accusé de réception et chaque capture dans un dossier unique, car la cohérence de ce dossier conditionne l’issue de la réclamation devant la CNIL comme celle de l’action devant le juge.