Hors collection - Quels droits face aux innovations numériques ? - 1re - 99

CHAPITRE 2 - LA

PROTECTION DES LIBERTÉS INDIVIDUELLES

A. Un traitement de données personnelles
162. Réglementation applicable à la reconnaissance faciale - La reconnaissance faciale est un traitement automatisé de l'image d'une personne, laquelle constitue une donnée personnelle. À ce titre, la
personne qui souhaite mettre en place un système de reconnaissance faciale devra respecter la réglementation relative au traitement des données personnelles :
- la loi du 6 janvier 1978 « Informatique et liberté » modifiée par la loi du 20 juin 2018, puis par
l'Ordonnance du 12 décembre 2018 ;
- le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel
(RGPD) ;
- la Directive (UE) 2016/680 du Parlement européen et du conseil du 27 avril 2016 relative au
traitement des données en matière pénale (« Police Justice »).
163. Données biométriques : un principe d'interdiction - La reconnaissance faciale a plus précisément pour objet des données biométriques qui sont définies par l'article 4 du RGPD comme les
données à caractère personnel résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou
confirment son identification unique, telles que des images faciales ou des données dactyloscopiques.
La réglementation sur le traitement des données sensibles pose un principe d'interdiction (RGPD,
art. 9, 1). Elle précise que sont interdits les traitements de données biométriques aux fins d'identifier
une personne physique de manière unique. La reconnaissance faciale étant un traitement de données
biométriques permettant d'identifier une personne physique de manière unique, elle est donc par principe interdite.
164. Les exceptions - La réglementation prévoit néanmoins plusieurs cas dans lesquels ce traitement
peut être effectué, et notamment :
- lorsque la personne concernée a donné son consentement ;
- lorsque le traitement porte sur des données à caractère personnel qui sont manifestement rendues
publiques par la personne concernée ;
- lorsque le traitement est nécessaire pour des motifs d'intérêt public important (RGPD, art. 9, 2).
La reconnaissance faciale peut également échapper au principe d'interdiction, lorsqu'elle est intégrée
dans un système. Elle peut permettre par exemple de déverrouiller l'accès à un système d'information
tel qu'un smartphone, ou un ordinateur.
Dans ce cas, la CNIL distingue selon que le dispositif biométrique est intégré dans le système, ou qu'il
fonctionne depuis des serveurs distants. Dans le premier cas, le dispositif peut bénéficier de l'exemption dite « domestique », et ne pas être soumis à la réglementation sur le traitement des données
personnelles (RGPD, art. 2, 2) c). Dans le second cas, le droit est applicable, et la CNIL recommande
d'effectuer une analyse d'impact.

B. Exemples concrets d'application
165. La reconnaissance faciale sur les lieux de travail - Les employeurs privés ou publics peuvent
mettre en œuvre des dispositifs de contrôle d'accès biométriques à condition d'être conformes à un
règlement type élaboré par la CNIL.

Hors collection - Quels droits face aux innovations numériques ? - 1re

Table des matières de la publication Hors collection - Quels droits face aux innovations numériques ? - 1re