On ne va pas se mentir : le fantasme de la surveillance totale à la sauce Minority Report excite un paquet de décideurs politiques et de marchands d'armes numériques. Entre les promesses marketing des vendeurs de caméras intelligentes et les discours martiaux sur la sécurité urbaine, on a vite l'impression que la France est devenue un gigantesque plateau de tournage sous monitoring biométrique continu. Pourtant, sur le terrain juridique, la réalité est nettement plus verrouillée qu'il n'y paraît. Alors, qu'ont réellement le droit de faire la police, votre mairie et les entreprises privées avec votre visage ? Spoiler : beaucoup moins que ce qu'ils aimeraient, mais déjà bien trop si vous tenez à votre anonymat dans l'espace public.
Pourquoi c'est important
Un mot de passe compromis dans un dump SQL ? Vous ouvrez Bitwarden ou Keepass, vous générez une chaîne aléatoire de 32 caractères, et l'incident est clos. En revanche, votre visage n'est pas révocable. Si votre modèle biométrique - c'est-à-dire la cartographie géométrique de vos traits, l'écartement de vos yeux, l'arête de votre nez - se retrouve indexé dans une base de données de surveillance, vous ne pouvez pas changer de tête au réveil. C'est précisément pour cela que le Règlement Général sur la Protection des Données (RGPD) classe les données biométriques dans sa catégorie la plus sensible : l'article 9 pose un principe clair d'interdiction de traitement, sauf exceptions strictement délimitées par la loi.
Le cadre juridique : l'interdiction de principe et l'AI Act européen
Sur le plan légal, la reconnaissance faciale en temps réel dans la rue reste formellement proscrite pour un usage généralisé. Le Règlement européen sur l'intelligence artificielle (AI Act, Règlement UE 2024/1689) classe l'identification biométrique à distance en temps réel dans les espaces accessibles au public parmi les systèmes à risque inacceptable ou strictement encadrés. En clair : une mairie n'a pas le droit de braquer une caméra sur une place publique pour faire matcher en direct les passants avec un fichier municipal.
La CNIL (Commission Nationale de l'Informatique et des Libertés) a d'ailleurs frappé fort par le passé en infligeant des sanctions records, notamment une amende de 20 millions d'euros à la société américaine Clearview AI en 2022 pour avoir moissonné sauvagement des milliards de clichés sur le web sans le consentement des personnes. Les exceptions autorisées par l'AI Act pour les forces de l'ordre sont ultra-ciblées : recherche d'une victime d'enlèvement, prévention d'une menace terroriste imminente ou poursuite d'auteurs d'infractions pénales graves, le tout conditionné à une autorisation judiciaire préalable.
Ce qui est légal : TAJ, aéroports et vidéosurveillance algorithmique
Ne criez pas victoire trop vite. Si le temps réel sauvage est verrouillé, l'identification a posteriori bat son plein. En France, l'outil central s'appelle le TAJ (Traitement d'Antécédents Judiciaires), encadré par le Code de procédure pénale. Lorsqu'un suspect est filmé par une caméra de voie publique, les enquêteurs peuvent légalement comparer une image fixe issue de l'enregistrement avec les millions de photographies d'identité judiciaire stockées dans le TAJ pour identifier un individu. C'est de la reconnaissance faciale différée, et elle tourne à plein régime dans les commissariats.
Deuxième cas d'usage légal : le consentement explicite ou le contrôle aux frontières. Les sas Parafe dans les aéroports comparent la puce de votre passeport biométrique avec votre visage en direct. C'est du un-contre-un (vérification d'identité) et non du un-contre-tous (surveillance de masse).
Enfin, attention à ne pas confondre biométrie et vidéosurveillance algorithmique (VSA). Introduite par la loi relative aux Jeux Olympiques de 2024, la VSA permet à des logiciels d'analyser des flux vidéo pour détecter des comportements anormaux (mouvement de foule, colis abandonné, départ de feu). Officiellement, la loi interdit à ces algorithmes de traiter des données biométriques ou d'identifier les individus. Mais comme le rappellent régulièrement les collectifs de défense des libertés numériques comme La Quadrature du Net, la frontière technique entre analyse comportementale et identification reste particulièrement poreuse.
Comment limiter son exposition face aux technologies d'analyse d'image
Face à l'appétit des algorithmes, la résistance passive commence par de l'hygiène numérique basique et quelques outils spécialisés :
- Empoisonner les modèles d'entraînement : Si vous publiez des photos de votre visage en ligne, utilisez des outils de perturbation d'image comme Fawkes ou LowKey (issus de travaux de recherche universitaire en open source). Ces logiciels modifient imperceptiblement les pixels de vos clichés pour fausser l'apprentissage des réseaux de neurones sans altérer l'image à l'œil nu.
- Fermer la vanne sur les réseaux sociaux : Arrêtez d'alimenter gratuitement les modèles des GAFAM. Verrouillez la visibilité de vos profils, refusez l'indexation par les moteurs de recherche et supprimez vos vieux albums photo accessibles publiquement.
- Exercer votre droit d'accès CNIL : Vous avez le droit, en vertu du RGPD et du Code de procédure pénale, de demander la vérification de vos données enregistrées au fichier TAJ en saisissant directement le ministère de l'Intérieur ou le magistrat référent de la CNIL.
Les erreurs à éviter
La première erreur consiste à croire que des accessoires basiques suffisent à vous masquer. Un masque chirurgical ou une casquette ne trompent plus les algorithmes modernes, qui analysent la région péri-orbitaire (le contour des yeux et l'arcade sourcilière) avec une efficacité redoutable.
La deuxième erreur est de tomber dans le piège de la biométrie volontaire contre rétribution. Le projet Worldcoin (qui scanne l'iris contre des jetons numériques) illustre parfaitement la dérive consistant à monnayer une donnée corporelle inaliénable. Ne fournissez jamais votre biométrie à des acteurs privés sous prétexte de simplifier une connexion ou de gagner trois sous.
Enfin, ne partez pas du principe que l'absence de reconnaissance faciale en direct signifie absence de traçage : le croisement des métadonnées de téléphonie, des bornages 4G/5G et de la lecture automatisée des plaques d'immatriculation (LAPI) permet déjà de reconstituer un parcours sans même regarder votre visage.
Notre verdict
Le cadre juridique français et européen reste pour l'instant un rempart réel contre le déploiement généralisé d'un crédit social à la chinoise, mais les dérogations sécuritaires et la normalisation de la vidéosurveillance algorithmique grignotent du terrain chaque année. Votre action concrète aujourd'hui : faites le ménage sur vos réseaux sociaux publics, supprimez les photos plein cadre de votre visage accessibles à n'importe quel scraper tiers, et soutenez les associations comme La Quadrature du Net qui attaquent systématiquement les arrêtés préfectoraux illégaux devant le Conseil d'État.
Sources et références
- Règlement (UE) 2024/1689 du Parlement européen et du Conseil (AI Act / Règlement sur l'intelligence artificielle).
- Règlement général sur la protection des données (RGPD), Article 9 : Traitement portant sur des catégories particulières de données à caractère personnel.
- Commission Nationale de l'Informatique et des Libertés (CNIL) : Délibération SAN-2022-019 concernant la société Clearview AI.
- Code de procédure pénale, Article 230-6 et suivants : Cadre légal du Traitement d'Antécédents Judiciaires (TAJ).
- Loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 (Article 10 sur la vidéosurveillance algorithmique).
- Analyses et recours juridiques de La Quadrature du Net (technopolice.fr).
