Vous entrez dans un supermarché, traversez une gare ou assistez à un match, et une caméra ne se contente plus de filmer : un logiciel analyse votre visage, mesure l’affluence, détecte un comportement jugé anormal ou compare vos traits à un fichier. Au travail, le même type d’outil contrôle les accès ou surveille l’activité. Dans votre immeuble, un dispositif repère les allées et venues. Ces scènes relèvent de deux réalités juridiques très différentes : la reconnaissance faciale, qui identifie une personne de manière unique à partir de ses traits, et la vidéosurveillance dite algorithmique ou augmentée, qui analyse des images sans identifier personne. La première est par principe interdite, sauf exceptions étroites ; la seconde est encadrée, et certains de ses usages policiers sont interdits sans loi qui les autorise expressément. Savoir dans laquelle de ces deux catégories se range le dispositif qui vous filme décide de tout : ce que l’exploitant doit vous dire, ce que vous pouvez exiger de lui, et les chances d’une plainte devant la CNIL ou d’un recours devant le juge. Ce guide suit ce parcours pas à pas, à partir des textes européens et français, de la doctrine de la CNIL et des décisions des juges.

I. Identifier le dispositif qui vous filme et le droit qui s’y applique

A. Reconnaissance faciale ou caméra augmentée : la distinction qui décide de tout

La Commission nationale de l’informatique et des libertés distingue les deux familles d’outils par deux critères cumulatifs : la nature des données traitées et l’objectif du dispositif. La CNIL, dans son état des lieux du 18 novembre 2024 sur les caméras augmentées ou algorithmiques dans l’espace public, explique qu’un dispositif de reconnaissance biométrique réunit toujours ces deux critères à la fois, alors qu’une caméra augmentée ne les réunit jamais tous les deux : elle n’en remplit aucun, comme celle qui classe les usages de la rue entre voitures et vélos, ou un seul, comme celle qui détecte une bagarre dans une foule. Autrement dit, un système qui traite une caractéristique physique ou comportementale dans le but d’identifier ou d’authentifier une personne de manière unique relève de la biométrie ; un système qui compte, classe ou détecte des situations sans identifier relève de la vidéo augmentée. Cette distinction emporte des conséquences juridiques majeures, car les dispositifs de reconnaissance biométrique sont soumis au régime le plus protecteur du droit européen des données.

La loi française pose une interdiction de principe qui vise directement ces outils : « Il est interdit de traiter des données à caractère personnel qui révèlent la prétendue origine raciale ou l’origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale d’une personne physique ou de traiter des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique » (article 6 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés). Le même article précise que les exceptions à cette interdiction sont fixées par le paragraphe 2 de l’article 9 du règlement européen sur la protection des données et par la loi elle-même, et le règlement européen définit les données biométriques comme celles qui résultent d’un traitement technique spécifique et permettent ou confirment l’identification unique, telles que les images faciales. Le traitement d’une simple photographie ne constitue donc pas systématiquement un traitement de données biométriques : c’est le mode technique spécifique permettant l’identification unique qui fait basculer l’image dans la biométrie. Le considérant 51 du même règlement précise que le traitement des photographies ne devrait pas systématiquement être considéré comme constituant un traitement de catégories particulières de données, étant donné que celles-ci ne relèvent de la définition de données biométriques que lorsqu’elles sont traitées selon un mode technique spécifique permettant l’identification ou l’authentification unique d’une personne physique. Filmer n’est pas identifier ; comparer automatiquement un visage à une base pour nommer la personne, c’est traiter de la biométrie.

Or le traitement des données biométriques aux fins d’identifier une personne de manière unique entre dans les catégories particulières de données de l’article 9 du règlement, dont le principe est l’interdiction. Cette interdiction n’est pas absolue : le texte prévoit des dérogations limitatives, entre autres lorsque la personne concernée donne son consentement explicite ou pour répondre à des besoins spécifiques encadrés, et lorsque le droit de l’Union ou le droit d’un État membre le prévoit sous réserve de garanties appropriées, notamment dans le domaine du droit du travail, de la santé ou pour des motifs d’intérêt public important. Chacune de ces dérogations est interprétée strictement, et c’est à l’exploitant du dispositif de démontrer qu’il entre dans l’une d’elles, pas à la personne filmée de démontrer le contraire. Un bandeau d’information ou un pictogramme ne vaut ni consentement explicite ni autorisation légale : l’information est une obligation distincte, qui ne purge pas l’absence de fondement.

Le droit français de la vidéoprotection ajoute une couche de règles propres aux lieux ouverts au public. L’article L. 251-2 du code de la sécurité intérieure dispose que « Des systèmes de vidéoprotection peuvent également être mis en œuvre dans des lieux et établissements ouverts au public aux fins d’y assurer la sécurité des personnes et des biens lorsque ces lieux et établissements sont particulièrement exposés à des risques d’agression ou de vol » (article L251-2 du code de la sécurité intérieure). La vidéoprotection classique suppose donc une exposition particulière aux risques, une finalité de sécurité et, sur la voie publique, une autorisation préfectorale. L’installation elle-même est en outre subordonnée à une autorisation administrative : « L’installation d’un système de vidéoprotection dans le cadre du présent titre est subordonnée à une autorisation du représentant de l’Etat dans le département » (article L252-1 du code de la sécurité intérieure). Mais ce texte ne couvre pas la reconnaissance faciale : identifier biométriquement les passants déborde très largement la simple vidéoprotection et doit trouver son fondement dans le régime européen des données biométriques, ce qu’aucune autorisation préfectorale de vidéoprotection ne fournit à elle seule.

Pour les usages répressifs, la CNIL pose une interdiction de principe en l’absence de loi spéciale. La CNIL, sur cette même page consacrée aux caméras augmentées dans l’espace public, considère que les dispositifs à finalité dite de police et de justice sont par principe interdits sans loi spéciale qui les autorise et les encadre, ce qui vise en particulier les analyses menées en temps réel pour permettre une intervention immédiate ou le déclenchement de procédures administratives ou judiciaires par les services de police. Une commune, un transporteur ou un organisateur d’événement ne peut donc pas adosser un traitement algorithmique à finalité policière au seul régime de la vidéoprotection : seuls les cas d’usage qu’une loi autorise et encadre spécifiquement, comme l’expérimentation prévue par la loi relative aux jeux Olympiques et Paralympiques de 2024 que la CNIL décrit sur cette même page, échappent à cette interdiction. Tout le reste relève de l’illégalité, et c’est un levier direct pour la personne qui veut contester.

Le règlement européen sur l’intelligence artificielle, entré en application progressive depuis 2024, resserre encore l’étau autour de l’identification biométrique dans l’espace public. Le texte subordonne toute utilisation d’un système d’identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives à l’autorisation expresse et spécifique d’une autorité judiciaire ou d’une autorité administrative indépendante dont la décision est contraignante, en principe avant l’utilisation (considérants 35 et 36 du règlement (UE) 2024/1689 sur l’intelligence artificielle). L’utilisation doit en outre rester limitée au strict nécessaire dans le temps et dans sa portée géographique et personnelle, et chaque utilisation fait l’objet d’une information des autorités de contrôle. Un déploiement généralisé et permanent de reconnaissance faciale en temps réel dans les rues, les gares ou les stades, sans autorisation judiciaire individualisée, ne passe pas ce filtre. Les systèmes dits a posteriori, qui comparent après coup des images enregistrées, ne sont pas soumis au même verrou procédural mais restent soumis au régime des données biométriques du règlement général sur la protection des données.

La jurisprudence pénale française illustre l’exigence qui pèse sur tout traitement biométrique imposé à une personne. Dans un arrêt du 4 avril 2024, la chambre criminelle de la Cour de cassation rappelle que le traitement des données génétiques, comme celui des données biométriques aux fins d’identifier une personne de manière unique, n’est autorisé qu’en cas de nécessité absolue et sous réserve de garanties appropriées, sur le fondement de l’article 10 de la directive relative aux traitements menés par les autorités compétentes à des fins pénales (Cour de cassation, chambre criminelle, 4 avril 2024, pourvoi n° 23-84.520). Le raisonnement vaut au-delà du relevé signalétique : chaque fois qu’une autorité veut imposer un traitement biométrique, elle doit démontrer une nécessité absolue, pas une simple utilité. Cette grille de lecture aide à contester les dispositifs dont la nécessité n’est ni démontrée ni documentée.

Concrètement, face à un dispositif qui vous filme, la première question est donc : identifie-t-il ? Un portique qui ouvre une porte parce qu’il a reconnu votre visage, une application qui retrouve votre identité à partir d’une photographie, un système qui signale une personne recherchée dans une foule traitent de la biométrie et doivent justifier d’une dérogation à l’interdiction de principe. Un compteur de flux dans une gare, un détecteur de bagages abandonnés ou un outil qui signale une chute sans nommer personne relèvent de la vidéo augmentée et doivent respecter le régime de la vidéoprotection et de la protection des données, sans franchir la ligne de l’identification. Le site de la CNIL, les analyses publiées par les praticiens du droit du numérique et les revues juridiques spécialisées décrivent tous cette même ligne de partage, et c’est elle que les développements suivants mettent en œuvre : vos droits ne sont pas les mêmes selon le côté de la ligne où se trouve le dispositif, mais dans les deux cas, l’exploitant vous doit des comptes.

B. Les lieux où ces dispositifs se rencontrent et les règles propres à chacun

Dans les commerces, les centres commerciaux, les stades et les gares, la base juridique la plus souvent invoquée est l’intérêt légitime : sécuriser les lieux, prévenir les vols, gérer les flux. Cet intérêt doit être réel, documenté et mis en balance avec vos droits, et il ne couvre jamais la reconnaissance faciale des clients sans dérogation à l’article 9. L’exploitant doit en outre vous informer par un panneau visible indiquant l’existence du dispositif, le responsable à contacter et vos droits, tenir un registre des traitements, limiter la durée de conservation à ce qui est strictement nécessaire et sécuriser les images. Un affichage absent, illisible ou placé après la zone filmée constitue déjà un manquement, facile à prouver par photographies. Lorsque le dispositif analyse les comportements en temps réel pour déclencher des interventions, il bascule vers la finalité dite police-justice et se heurte à l’interdiction rappelée par la CNIL en l’absence de cadre légal spécifique. Demander à l’exploitant la base juridique exacte, la finalité précise et l’analyse d’impact, comme la section II l’explique, permet de situer rapidement le dispositif.

En copropriété et dans les résidences, les caméras qui filment les parties communes relèvent du même régime, avec une particularité procédurale : leur installation doit avoir été votée en assemblée générale, et le dispositif ne doit pas filmer les portes des appartements, l’intérieur des logements ni la voie publique au-delà des abords immédiats. Un système qui ajouterait une couche biométrique, par exemple pour reconnaître les résidents au portail, franchirait la ligne de l’identification unique et devrait justifier d’une dérogation à l’interdiction des traitements biométriques, ce qu’un simple vote de copropriété ne fournit pas. Les occupants et les visiteurs disposent des mêmes droits d’information, d’accès et d’opposition, et le syndic, en qualité de responsable du traitement pour le compte du syndicat, est le premier destinataire des demandes. Lorsque la caméra d’un voisin ou d’un commerce filme votre domicile ou votre jardin, le contentieux se déplace vers l’atteinte à la vie privée et l’effacement, que d’autres analyses de ce site traitent en détail.

Au travail, la protection est renforcée par le cumul du droit des données et du droit du travail. L’article L. 1121-1 du code du travail dispose que « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché » (article L1121-1 du code du travail). Un contrôle d’accès par reconnaissance faciale des salariés, une mesure des temps de présence par analyse d’images ou une évaluation du comportement au poste par intelligence artificielle doit donc passer ce double filtre de justification et de proportionnalité, en plus du régime des données biométriques. Le code du travail l’impose en deux temps : d’une part, « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance » (article L1222-4 du code du travail) ; d’autre part, « Le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés » (article L2312-38 du code du travail). Un dispositif détourné de sa finalité de sécurité vers la surveillance individuelle des salariés, sans information ni consultation préalables, s’expose à la censure du juge.

La Cour de cassation l’a montré dans un arrêt du 21 mai 2025 à propos d’un système de vidéoprotection aéroportuaire utilisé pour licencier un agent de sûreté : la chambre sociale vérifie l’information préalable des salariés et des représentants du personnel, la réalité des finalités de sécurité invoquées, la limitation du cercle des personnes autorisées à visionner les images et la brièveté de la conservation, en l’espèce cinq jours, avant de juger la preuve licite (Cour de cassation, chambre sociale, 21 mai 2025, pourvoi n° 22-19.925). A contrario, un employeur qui déploierait une analyse biométrique ou algorithmique sans information préalable, sans consultation des représentants et sans finalité de sécurité établie verrait la licéité de son dispositif et des preuves qu’il en tire contestée sur le fondement des articles 5, 6, 13 et 14 du règlement général sur la protection des données. Pour le salarié filmé par un outil intelligent, la demande d’accès aux images et aux informations sur le traitement est donc aussi un moyen de préparer la contestation d’une sanction.

S’agissant des autorités publiques, le principe est la compétence liée : une caméra qui analyse en temps réel pour interpeller, verbaliser ou ouvrir une procédure ne peut fonctionner que si une loi le prévoit. L’expérimentation menée à l’occasion des jeux Olympiques et Paralympiques de 2024, que la CNIL présente sur sa page consacrée aux caméras augmentées, illustre ce cadre : des cas d’usage limitativement énumérés, une durée bornée, un contrôle de l’autorité. Hors de ce type de cadre, les analyses policières automatisées en temps réel restent interdites, et les dispositifs biométriques déployés par les forces de l’ordre doivent en outre satisfaire aux garanties du droit européen, dont l’autorisation judiciaire pour l’identification à distance en temps réel dans l’espace public. La personne interpellée ou verbalisée à la suite d’un tel dispositif peut donc interroger le fondement légal exact de l’outil, et l’absence de réponse précise constitue un premier indice d’illégalité.

Reste le cas des outils grand public : applications qui retrouvent une personne à partir d’une photographie, moteurs de recherche de visages, bases constituées par aspiration massive d’images publiées en ligne. Plusieurs autorités européennes ont sanctionné des acteurs qui avaient constitué de telles bases sans fondement valable, et la CNIL a pris position contre la constitution de bases biométriques par collecte indiscriminée. Si votre visage est référencé dans un tel service, les droits d’accès, d’opposition et d’effacement s’exercent directement auprès de son éditeur, puis devant la CNIL et le juge. La question de la loi applicable et du juge compétent face à un éditeur établi hors de France se pose, mais le règlement européen s’applique aux traitements qui visent des personnes se trouvant sur le territoire de l’Union, ce qui ouvre la voie aux recours décrits dans la seconde partie.

II. Contester pas à pas : droits, preuves, CNIL, juge et réparation

A. Exiger des comptes de l’exploitant et constituer vos preuves

Tout commence par l’identification du responsable : l’enseigne, le transporteur, l’organisateur, le syndic ou l’employeur qui a décidé du dispositif et en détermine les finalités et les moyens. Le panneau d’information apposé à l’entrée de la zone filmée doit désigner ce responsable et indiquer comment exercer vos droits ; photographiez-le, avec son emplacement par rapport à la zone filmée, car un panneau absent ou placé après le passage sous caméra établit déjà un défaut d’information. Si aucun panneau n’existe, adressez-vous à l’exploitant du lieu par écrit et demandez-lui de se désigner comme responsable ou de désigner celui-ci. Conservez chaque envoi et chaque réponse : le dossier que vous constituez dès maintenant servira devant la CNIL puis devant le juge, et la procédure de plainte devant la CNIL exige la preuve de démarches préalables auprès du responsable.

Votre premier courrier exerce le droit d’accès et demande les informations que le responsable doit délivrer. Le règlement impose au responsable de vous indiquer les finalités du traitement, sa base juridique, les destinataires des données, la durée de conservation, vos droits d’opposition, d’effacement et de recours, ainsi que les coordonnées du délégué à la protection des données lorsqu’il en existe un. Demandez précisément : le dispositif procède-t-il à une identification biométrique ou à une simple analyse sans identification ; sur quelle dérogation à l’interdiction des traitements biométriques l’exploitant se fonde-t-il ; où figure l’analyse d’impact relative à la protection des données ; qui sont les destinataires, y compris les prestataires et les autorités ; combien de temps les images et les gabarits sont-ils conservés. Une réponse évasive ou l’absence de réponse est en soi un élément du dossier : elle montre que l’exploitant ne satisfait pas à son obligation de transparence.

Le règlement européen impose en effet au responsable, avant tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, en particulier avec des technologies nouvelles, d’effectuer une analyse de l’impact des opérations envisagées sur la protection des données (article 35 du règlement (UE) 2016/679). Un dispositif de reconnaissance faciale ou d’analyse algorithmique déployé sur du public entre typiquement dans cette catégorie, et l’analyse doit documenter la nécessité, la proportionnalité et les garanties. Demander la communication des conclusions de cette analyse, ou à défaut la preuve de son existence, n’est donc pas une provocation : c’est l’exercice normal du droit de comprendre sur quelle base un traitement à risque élevé a été décidé. Un exploitant qui n’a mené aucune analyse s’expose à un manquement caractérisé.

Selon ce que la réponse révèle, exercez le droit adapté. Si le dispositif vous identifie biométriquement sans que l’exploitant établisse une dérogation valable, demandez l’effacement des données vous concernant et l’opposition au traitement pour des raisons tenant à votre situation particulière, en visant l’interdiction de principe des traitements biométriques. Si le dispositif est une vidéo augmentée sans identification, l’opposition reste ouverte pour des motifs légitimes, et vous pouvez exiger la limitation de la conservation et la sécurisation des images. Au travail, doublez la demande d’un rappel à l’employeur de son obligation d’information préalable et de proportionnalité, et adressez une copie au délégué à la protection des données et, si la situation s’y prête, aux représentants du personnel. Chaque demande doit être datée, précise et conservée avec son accusé de réception : captures d’écran, lettres recommandées, courriels avec accusés, photographies du panneau et de la zone filmée, témoignages des personnes présentes.

Documentez aussi l’usage réel du dispositif, car l’écart entre le discours affiché et la pratique fait souvent le succès du recours. Le système a-t-il servi à vous refuser l’entrée, à vous signaler au vigile, à fonder un avertissement ou un licenciement, à vous verbaliser ? Recueillez les écrits qui le montrent : notification de refus, convocation, sanction, procès-verbal. Dans l’affaire aéroportuaire jugée en mai 2025, c’est précisément l’articulation entre le dispositif de vidéoprotection et son utilisation comme preuve disciplinaire que la Cour a examinée, en vérifiant l’information, les finalités, le cercle des visionneurs et la conservation. Plus votre dossier montre comment les images ont été concrètement utilisées contre vous, plus le juge peut contrôler la licéité du traitement qui les a produites. Et si des images de vous circulent, par exemple une alerte diffusée à partir d’une reconnaissance erronée, faites constater sans attendre : constat de commissaire de justice, captures datées, signalements conservés.

Enfin, ne laissez pas le temps effacer vos preuves : les images sont par nature éphémères, et les durées de conservation courtes jouent contre la personne filmée si elle tarde. Adressez vos demandes dès que vous avez connaissance du dispositif, demandez expressément la conservation des données vous concernant le temps de l’instruction de votre demande et de vos recours, et saisissez la CNIL sans attendre l’issue d’un dialogue qui s’éternise. La rapidité n’est pas une question de délai légal couperet, que les textes applicables à votre situation détermineront au cas par cas, mais une question d’efficacité : une image effacée conformément à une courte durée de conservation ne pourra plus être produite, ni par vous ni contre vous. C’est aussi pour cela que le courrier initial doit demander la gel des données litigieuses, en plus de l’accès et de l’effacement.

B. Saisir la CNIL et le juge, et obtenir réparation du préjudice

Si l’exploitant ne répond pas, répond de manière incomplète ou maintient un dispositif que vous estimez illégal, la plainte devant la CNIL est l’étape suivante, à déposer via le service de plainte en ligne de la CNIL après avoir exercé vos droits auprès du responsable du traitement. Joignez-y la copie de vos demandes préalables et des réponses reçues, les photographies du lieu et du panneau, les constats et tout document montrant l’utilisation du dispositif à votre égard. La CNIL peut instruire, contrôler, mettre en demeure et sanctionner, et sa doctrine sur les caméras augmentées et la biométrie, rappelée dans la première partie, fournit la grille d’analyse qu’elle appliquera à votre dossier : identification ou non, dérogation établie ou non, cadre légal spécifique pour les usages policiers, information et garanties. Une plainte précise, qui reprend les deux critères de la CNIL et vise les manquements un par un, s’instruit mieux qu’une dénonciation générale. Le parcours complet de la plainte, de son dépôt à ses suites et à l’articulation avec le juge, est décrit dans l’analyse que ce site consacre à la plainte CNIL sans réponse et à ses recours, à laquelle il convient de se reporter pour la conduite pratique de cette étape.

La voie judiciaire s’ouvre en parallèle et ne suppose pas d’attendre l’issue de la plainte. Le juge judiciaire peut ordonner la cessation du traitement illicite, l’effacement des données et toute mesure propre à faire cesser l’atteinte, en référé lorsque l’urgence et l’évidence sont réunies. Ce pouvoir s’appuie sur le principe selon lequel « Chacun a droit au respect de sa vie privée » (article 9 du code civil), dont les juges assurent la protection par toutes mesures propres à empêcher ou faire cesser l’atteinte, sans préjudice de la réparation du dommage subi. Le salarié sanctionné sur le fondement d’images issues d’un dispositif illicite conteste la sanction devant le conseil de prud’hommes en soulevant l’illicéité du moyen de preuve ; la personne verbalisée ou interpellée à partir d’une analyse automatisée sans fondement légal conteste la procédure devant le juge compétent pour l’infraction reprochée ; la personne fichée biométriquement par un acteur privé agit devant le tribunal judiciaire pour faire constater l’illicéité et ordonner l’effacement. Dans chaque cas, le dossier constitué dans la première phase, demandes, réponses, analyse d’impact réclamée, constats d’usage, fait la différence entre une affirmation générale et une illicéité démontrée.

Le volet pénal ne doit pas être oublié lorsque le dispositif porte atteinte à l’intimité de la vie privée. L’article 226-1 du code pénal punit d’un an d’emprisonnement et de 45 000 euros d’amende le fait, au moyen d’un procédé quelconque, de porter volontairement atteinte à l’intimité de la vie privée d’autrui, notamment en fixant, enregistrant ou transmettant sans son consentement l’image d’une personne se trouvant dans un lieu privé (article 226-1 du code pénal). Une caméra qui capte l’intérieur d’un domicile, même depuis un commerce ou une partie commune, ou un dispositif qui enregistre des images à des fins étrangères à toute finalité légitime expose son exploitant à cette incrimination, sans préjudice des sanctions administratives de la CNIL. Le dépôt de plainte pénale et la constitution de partie civile permettent alors de joindre la réparation du préjudice à la répression du comportement. Au-delà de l’atteinte à la vie privée, le fait de mettre en œuvre un traitement de données en méconnaissance des formalités préalables prévues par la loi est lui-même puni : « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende » (article 226-16 du code pénal).

Car toute violation du règlement ouvre un droit propre à réparation : l’article 82 du règlement (UE) 2016/679 reconnaît à toute personne ayant subi un dommage matériel ou moral du fait d’une violation le droit d’obtenir réparation auprès du responsable du traitement ou du sous-traitant. En droit français, ce droit s’adosse au principe général selon lequel « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil). Le préjudice moral est expressément couvert : l’angoisse d’être identifié et suivi, la privation de l’accès à un lieu, la diffusion d’une fausse alerte, la sanction professionnelle fondée sur des images illicites constituent des dommages réparables dès lors qu’ils résultent de la violation. Le responsable ne s’exonère qu’en prouvant que le fait dommageable ne lui est nullement imputable, et lorsque plusieurs acteurs participent au traitement, chacun peut être tenu pour le tout afin de garantir une réparation effective. Documenter le lien entre la violation et le dommage, certificats, attestations, perte de revenus, frais exposés, retentissement personnel, conditionne le montant obtenu, et les juges apprécient ce lien au cas par cas.

Face à un éditeur d’outil de reconnaissance faciale qui a constitué sa base par aspiration massive d’images, la stratégie combine l’effacement individuel et la sanction de la pratique : demande d’effacement et d’opposition auprès de l’éditeur, plainte devant la CNIL en visant l’absence de dérogation à l’interdiction des traitements biométriques, puis action judiciaire en cessation et en réparation. Les sanctions déjà prononcées en Europe contre de telles pratiques montrent que les autorités considèrent la collecte indiscriminée comme incompatible avec le règlement, et votre dossier individuel s’inscrit dans cette ligne. Si l’éditeur est établi hors de France, conservez néanmoins vos preuves d’exposition sur le territoire français, captures montrant que votre visage est référencé, réponses à vos demandes, car l’application du règlement aux traitements visant des personnes situées dans l’Union fonde la compétence des autorités et des juges européens.

Un dernier point de méthode conditionne l’ensemble : ne mélangez pas les registres de preuve et d’argumentation. Devant la CNIL, visez les manquements au règlement et à la doctrine applicable, point par point, pièces à l’appui. Devant le juge prud’homal, attaquez la licéité du moyen de preuve et la proportionnalité de la mesure au regard de la tâche accomplie. Devant le juge pénal, caractérisez l’atteinte volontaire à la vie privée. Devant le tribunal judiciaire, articulez cessation, effacement et réparation sur le fondement des articles visés dans la première partie. Chaque juge applique sa grille, et c’est la précision du dossier, l’exactitude des références et la conservation des preuves qui transforment une indignation légitime face à une caméra intelligente en décision favorable.

Une caméra qui vous reconnaît dans un magasin, une gare ou votre entreprise n’est jamais un simple équipement de sécurité : c’est un traitement de données sensibles que le droit européen interdit par principe et n’autorise que par exception, ou une analyse algorithmique que la CNIL n’admet que dans un cadre précis et jamais, pour les usages policiers, sans loi spéciale. Vérifier si le dispositif identifie, exiger la base juridique et l’analyse d’impact, exercer l’accès, l’opposition et l’effacement, saisir la CNIL puis le juge avec un dossier documenté, et demander réparation du dommage subi : ce parcours, mené avec rigueur et preuves à l’appui, donne à la personne filmée les moyens concrets de faire respecter ses droits face aux caméras qui voient trop loin.