Reconnaissance faciale : ce qui est légal en France 2026

La CNIL a infligé 20 millions d’euros à Clearview AI pour avoir constitué une base de reconnaissance faciale par aspiration d’images publiques. Depuis, la question que me posent les entreprises a changé : elle n’est plus « est-ce interdit ? » mais « lequel de mes six cas d’usage passe ? ». Car la reconnaissance faciale n’est pas interdite en bloc — elle est encadrée par trois couches de droit qui ne disent pas la même chose, et dont la plus récente vient d’être bouleversée.

Voici l’état du droit au 31 août 2026, cas d’usage par cas d’usage.

Reconnaissance faciale : de quoi parle-t-on juridiquement ?

Le mot « reconnaissance faciale » recouvre trois opérations techniques dont le régime juridique est radicalement différent. Confondre les trois est l’erreur la plus fréquente que je rencontre dans les dossiers.

La détection de visage consiste à repérer qu’un visage est présent dans une image, sans chercher à savoir de qui il s’agit. C’est ce que fait l’autofocus d’un appareil photo. Aucune donnée biométrique n’est produite.

L’estimation d’attributs analyse un visage pour en déduire un âge approximatif, une émotion ou une catégorie. Elle ne produit pas d’identifiant unique. Comme je l’ai détaillé dans l’article consacré à la vérification de l’âge en ligne, l’estimation d’âge par analyse faciale ne constitue pas un traitement de données biométriques au sens de l’article 4(14) du RGPD tant qu’elle ne vise ni à identifier ni à authentifier. Mais la frontière est mince : dès que le gabarit est conservé, indexé ou comparé, on bascule.

La reconnaissance proprement dite compare un gabarit facial à un ou plusieurs gabarits de référence. Elle se décline en deux modes qu’il faut absolument distinguer :

Mode	Question posée	Base de comparaison	Risque juridique
Authentification (1:1)	« Cette personne est-elle bien celle qu’elle prétend être ? »	Un seul gabarit, idéalement détenu par la personne	Élevé, mais admissible sous conditions
Identification (1:N)	« Qui est cette personne ? »	Une base centralisée de gabarits	Très élevé, rarement licite hors cadre légal spécifique

Cette distinction n’est pas académique. Elle conditionne à la fois la proportionnalité du dispositif au sens du RGPD et sa qualification au regard de l’AI Act. Un dispositif 1:1 dont le gabarit reste sous la maîtrise exclusive de la personne — sur sa carte, dans l’élément sécurisé de son téléphone — est structurellement plus défendable qu’une base centralisée de visages.

Le régime RGPD : une interdiction de principe, trois exceptions praticables

Le gabarit facial utilisé pour identifier ou authentifier une personne est une donnée biométrique au sens de l’article 4(14). À ce titre, il relève de l’article 9(1) du RGPD, qui pose une interdiction de principe de traiter les données sensibles. Le raisonnement juridique se déroule donc en trois temps, et non en un seul.

Premier temps : lever l’interdiction de l’article 9. Il faut identifier une exception de l’article 9(2). En pratique, trois seulement sont mobilisables :

• Art. 9(2)(a) — le consentement explicite. Valable pour des clients ou des usagers, à condition qu’il soit libre. Cela suppose une alternative non biométrique réelle et sans dégradation du service. Un consentement obtenu en échange d’une file d’attente plus courte n’est pas libre au sens de la CNIL.
• Art. 9(2)(g) — le motif d’intérêt public important. Il exige une base dans le droit de l’Union ou le droit national. En France, cela signifie un texte : décret, arrêté, ou disposition législative. C’est le fondement des traitements régaliens (contrôle aux frontières, titres d’identité).
• Art. 9(2)(b) — les obligations en matière de droit du travail. C’est la porte utilisée par le règlement type de la CNIL en entreprise (voir plus bas).

Deuxième temps : une base légale de l’article 6. L’exception de l’article 9(2) ne dispense pas de la base légale. Les deux sont cumulatives. En contexte salarié, l’intérêt légitime de l’article 6(1)(f) est fragilisé par le lien de subordination ; en contexte régalien, c’est l’article 6(1)© ou (e).

Troisième temps : l’analyse d’impact. Elle est obligatoire. L’article 35(3)(b) la déclenche pour tout traitement à grande échelle de données de l’article 9, et la liste CNIL des traitements soumis à AIPD (délibération n° 2018-327 du 11 octobre 2018) vise expressément les dispositifs biométriques de contrôle d’accès. Dans les faits, aucun projet de reconnaissance faciale n’échappe à l’AIPD.

Le règlement type CNIL sur les lieux de travail

Pour l’entreprise, le texte central est la délibération n° 2019-001 du 10 janvier 2019 portant règlement type relatif au contrôle d’accès biométrique sur les lieux de travail. Contrairement à un guide de bonnes pratiques, ce règlement type est juridiquement contraignant : l’employeur qui déploie un dispositif biométrique de contrôle d’accès aux locaux, aux appareils ou aux applications doit le respecter, faute de quoi le traitement est illicite.

Ses trois exigences structurantes :

1. Une justification circonstanciée du recours à la biométrie plutôt qu’à un badge ou un mot de passe. L’employeur doit démontrer un besoin spécifique de sécurité — pas un simple gain de confort.
2. Le stockage du gabarit sur un support individuel détenu par la personne, ou, à défaut, une justification écrite du choix d’une base centralisée avec chiffrement du gabarit par une clé propre au salarié.
3. La documentation de l’ensemble du raisonnement, opposable en cas de contrôle CNIL.

Le raisonnement de la CNIL est constant depuis dix ans : la biométrie ne se justifie que si un niveau de sécurité élevé est réellement nécessaire et qu’aucun moyen moins intrusif n’atteint le même objectif. C’est ce test qui condamne l’immense majorité des projets. Pour ouvrir une porte, une badgeuse suffit. C’est aussi ce raisonnement qui a conduit le tribunal administratif de Marseille à annuler, le 27 février 2020, la délibération de la région Provence-Alpes-Côte d’Azur autorisant des portiques de reconnaissance faciale à l’entrée de deux lycées : consentement non libre en raison du rapport d’autorité, et disproportion manifeste au regard du contrôle par badge.

Ce que l’AI Act interdit — et pourquoi ce n’est pas reporté

C’est ici que la plupart des analyses publiées ces dernières semaines se trompent. Le règlement (UE) 2026/1744, dit omnibus numérique IA, a reporté au 2 décembre 2027 les exigences substantielles applicables aux systèmes à haut risque de l’annexe III — dont relève précisément le point 1, consacré à la biométrie. Beaucoup en concluent que « la reconnaissance faciale, c’est pour 2027 ». C’est faux, pour deux raisons.

Première raison : les interdictions de l’article 5 s’appliquent depuis le 2 février 2025 et n’ont jamais été concernées par le report. Quatre d’entre elles visent directement le visage :

Disposition	Pratique interdite	Portée
Art. 5(1)(e)	Créer ou développer des bases de reconnaissance faciale par moissonnage non ciblé d’images sur Internet ou issues de la vidéosurveillance	Tous acteurs — c’est le modèle Clearview
Art. 5(1)(f)	Reconnaissance des émotions sur le lieu de travail et dans l’enseignement	Sauf raisons médicales ou de sécurité
Art. 5(1)(g)	Catégorisation biométrique déduisant l’origine raciale, les opinions politiques, l’appartenance syndicale, les convictions religieuses ou l’orientation sexuelle	Quasi absolue
Art. 5(1)(h)	Identification biométrique à distance en temps réel dans les espaces accessibles au public, à des fins répressives	Trois exceptions étroites, sous autorisation

Les trois exceptions de l’article 5(1)(h) — recherche ciblée de victimes ou de personnes disparues, prévention d’une menace terroriste ou d’une atteinte grave et imminente à la vie, localisation d’un suspect d’une infraction de l’annexe II punie d’au moins quatre ans — sont réservées aux autorités répressives, subordonnées à une autorisation judiciaire ou administrative préalable et à une analyse d’impact spécifique. Aucune entreprise privée ne peut s’en prévaloir. Le détail figure dans notre guide des pratiques d’IA interdites.

Seconde raison : les sanctions, elles, sont applicables depuis le 2 août 2026. Le chapitre XII est entré en application à cette date. La violation d’une interdiction de l’article 5 expose au plafond maximal de 35 millions d’euros ou 7 % du chiffre d’affaires mondial, comme détaillé dans notre analyse des sanctions de l’AI Act. Le report de l’annexe III n’a donc allégé ni les interdictions, ni le risque financier attaché à leur violation.

Ce qui est effectivement reporté au 2 décembre 2027, ce sont les obligations de conformité des systèmes biométriques licites classés haut risque : gestion des risques (art. 9), gouvernance des données d’entraînement (art. 10), documentation technique (art. 11), journalisation (art. 12), contrôle humain (art. 14), exactitude et robustesse (art. 15), ainsi que l’analyse d’impact sur les droits fondamentaux de l’article 27. Seize mois de délai — pas une dispense.

Une nuance de qualification mérite d’être signalée : l’annexe III, point 1(a) exclut de la catégorie haut risque les systèmes destinés à la vérification biométrique dont la seule finalité est de confirmer qu’une personne est bien celle qu’elle prétend être. Autrement dit, l’authentification 1:1 échappe au régime haut risque. L’identification 1:N y reste soumise. La distinction technique évoquée plus haut a donc une conséquence directe et lourde en termes d’obligations.

L’espace public français : un verrou national, indépendant du droit européen

C’est le point que les directions techniques comprennent le plus mal. Même si l’AI Act laissait une porte entrouverte, le droit français la referme.

Deux interdictions explicites dans le code de la sécurité intérieure. Les articles L. 242-4 et L. 243-3 prohibent formellement les dispositifs de reconnaissance faciale sur les caméras installées sur des aéronefs et sur les caméras embarquées dans les véhicules des forces de sécurité.

L’expérimentation de vidéoprotection algorithmique exclut la biométrie. L’article 10 de la loi n° 2023-380 du 19 mai 2023 relative aux Jeux olympiques et paralympiques autorise, à titre expérimental, le traitement algorithmique des images de vidéoprotection pour détecter certains événements prédéterminés — mouvements de foule, intrusions, objets abandonnés. Le texte exclut explicitement tout traitement de données biométriques et toute reconnaissance faciale. L’expérimentation a été prolongée jusqu’au 30 septembre 2027, prolongation jugée conforme à la Constitution par le Conseil constitutionnel le 19 mars 2026. C’est exactement la ligne de partage que la CNIL trace entre vidéo « augmentée » et reconnaissance biométrique : la première analyse des comportements sans identifier, la seconde identifie.

Et surtout, la décision du Conseil d’État du 30 janvier 2026. Dans une décision n° 506370 appelée aux tables du recueil Lebon, le Conseil d’État juge que l’article L. 251-2 du code de la sécurité intérieure, s’il autorise la vidéosurveillance de la voie publique, ne saurait, dans son silence, être interprété comme autorisant des traitements algorithmiques d’analyse systématique et automatisée des images collectées dans les espaces publics. Aucune autre disposition ne le permet. Un tel régime relève d’une autorisation expresse du législateur.

Cette décision porte une leçon qui dépasse largement la vidéoprotection communale : le règlement européen sur l’IA n’est pas une base légale. Le juge national a expressément écarté l’argument selon lequel le cadre européen suffirait à fonder le traitement. L’AI Act encadre ce qui est par ailleurs autorisé ; il n’autorise rien par lui-même. Si le Conseil d’État tient ce raisonnement pour la simple détection d’événements, il le tiendra a fortiori pour la reconnaissance faciale.

L’affaire BriefCam apporte un dernier enseignement opérationnel. Les contrôles menés par la CNIL auprès des services du ministère de l’Intérieur ont établi qu’une mise à jour du logiciel avait rendu disponible une fonctionnalité de reconnaissance faciale, utilisée ponctuellement dans une enquête. La position retenue est instructive : la détention du logiciel n’est pas illégale tant que la fonctionnalité n’est pas activée, mais il revient à l’organisme d’en apporter la preuve — journalisation, bridage technique, suppression de la fonction. Pour toute collectivité ou entreprise équipée d’un VMS moderne, c’est une alerte concrète : votre éditeur peut activer une fonction interdite lors d’une simple montée de version. Le contrôle des mises à jour fait partie de la conformité.

Les huit cas d’usage : le verdict

Voici la grille que j’utilise en audit. Elle ne remplace pas une analyse au cas par cas, mais elle oriente correctement dans neuf dossiers sur dix.

Cas d’usage	Verdict	Fondement
Déverrouillage d’un smartphone personnel (Face ID)	Licite	Exception domestique ; gabarit local, jamais transmis
Authentification 1:1 pour l’accès à un poste ou un local sensible	Possible sous conditions strictes	Règlement type CNIL 2019-001 : justification, gabarit sous maîtrise du salarié, AIPD
Vérification d’identité à distance (onboarding, KYC)	Licite dans un cadre encadré	Comparaison 1:1 avec le titre d’identité ; référentiel PVID de l’ANSSI ; consentement explicite art. 9(2)(a) avec alternative
Estimation d’âge par analyse faciale, sans conservation de gabarit	Licite	Non biométrique tant qu’il n’y a ni identification ni authentification ; parcours alternatif obligatoire
Contrôle d’accès à un établissement scolaire	Illicite	TA Marseille, 27 février 2020 : consentement non libre, disproportion (RGPD à l’école)
Identification 1:N de clients en magasin (lutte contre la démarque, VIP)	Illicite	Aucune exception art. 9(2) mobilisable ; disproportion systématique
Identification en temps réel dans l’espace public par un acteur privé	Illicite	Absence de base légale nationale ; CE, 30 janvier 2026, n° 506370
Détection d’émotions de salariés ou d’élèves	Interdit	AI Act art. 5(1)(f), applicable depuis le 2 février 2025

Le cas de la salle de sport ou de la copropriété revient souvent : un contrôle d’accès par reconnaissance faciale pour éviter le partage d’abonnement ou de badge. La réponse est négative, et pour un motif simple — un badge nominatif ou un QR code remplit la même fonction. C’est le raisonnement que j’ai développé sur le cas des salles de sport : l’existence d’un moyen moins intrusif rend la biométrie disproportionnée, quelle que soit la qualité du consentement recueilli.

Si vous déployez malgré tout : la méthode en sept points

Pour les rares cas où le déploiement est défendable — authentification 1:1, accès à une zone à sécurité renforcée, vérification d’identité à distance — voici la séquence que je recommande, dans cet ordre.

1. Documentez l’échec des alternatives avant tout. Badge, code, carte à puce, double facteur : écrivez pourquoi chacun ne suffit pas. C’est la première question posée en contrôle, et l’absence de réponse écrite suffit à caractériser le manquement.
2. Conduisez l’AIPD avant le choix du prestataire, pas après la signature. Une AIPD rédigée pour justifier une décision déjà prise ne tient pas trente secondes en contentieux.
3. Privilégiez le 1:1 et le gabarit décentralisé. Support individuel, élément sécurisé du terminal, ou à défaut chiffrement du gabarit par une clé propre à la personne. Cela vous fait sortir du haut risque au sens de l’annexe III, point 1(a), et divise votre exposition.
4. Prévoyez une alternative non biométrique effective, sans dégradation du service ni délai d’attente supplémentaire. Sans elle, votre consentement n’est pas libre — et votre exception art. 9(2)(a) s’effondre.
5. Fixez les durées et purgez. Gabarit supprimé au retrait des habilitations ou à la cessation des fonctions ; données d’identification associées supprimées dans les six mois. Les images brutes n’ont pas à être conservées après extraction du gabarit.
6. Traitez la sécurité comme une obligation renforcée. L’article 32 s’apprécie au regard du risque : chiffrement des gabarits, cloisonnement, journalisation des accès et des requêtes, encadrement contractuel du sous-traitant incluant l’interdiction expresse d’activer des fonctions non prévues lors des mises à jour.
7. Mesurez et documentez la performance réelle. Taux de faux positifs et de faux négatifs par population, mesurés sur vos données et non sur la plaquette de l’éditeur. Les écarts de performance selon le teint de peau, l’âge ou le genre sont documentés depuis 2018 ; un taux d’erreur différentiel expose au grief de discrimination indépendamment du RGPD.

L’information des personnes de l’article 13 doit être délivrée avant la première capture, en langage clair, et mentionner explicitement l’existence du parcours alternatif. Enfin, si le dispositif relève du haut risque, l’inscription au registre des systèmes d’IA et la FRIA devront être prêtes pour le 2 décembre 2027 : c’est le type de documentation croisée — traitement RGPD, système d’IA, sous-traitant, analyse d’impact — que Legiscope maintient à jour automatiquement plutôt que dans trois tableurs distincts.

Ce qu’il faut retenir

• La reconnaissance faciale n’est pas interdite en bloc, mais l’interdiction est le principe. L’article 9(1) du RGPD pose la prohibition ; il faut une exception de l’article 9(2), une base légale de l’article 6 et une AIPD. Les trois sont cumulatifs.
• Distinguez authentification 1:1 et identification 1:N. Le 1:1 avec gabarit sous maîtrise de la personne est défendable et échappe au régime haut risque de l’annexe III, point 1(a). Le 1:N est rarement licite hors cadre légal spécifique.
• Les interdictions de l’AI Act ne sont pas reportées. Le moissonnage non ciblé d’images (art. 5(1)(e)), la reconnaissance des émotions au travail (art. 5(1)(f)) et la catégorisation biométrique sensible (art. 5(1)(g)) sont interdits depuis le 2 février 2025, avec des sanctions applicables depuis le 2 août 2026 — jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial.
• Le report du 2 décembre 2027 ne concerne que les obligations des systèmes haut risque licites. Documentation technique, gestion des risques, contrôle humain, FRIA. Seize mois de délai, pas une dispense.
• Dans l’espace public français, le verrou est national. Le Conseil d’État a jugé le 30 janvier 2026 (n° 506370) que l’AI Act n’est pas une base légale : il faut une autorisation expresse du législateur, qui n’existe pas pour la reconnaissance faciale.
• Le test décisif reste la proportionnalité. S’il existe un badge, un code ou un QR code qui remplit la même fonction, la biométrie est disproportionnée — quel que soit le consentement recueilli.

FAQ

La reconnaissance faciale est-elle interdite en France ?

Non, mais elle est soumise à une interdiction de principe assortie d’exceptions étroites. Certains usages sont licites — déverrouillage d’un appareil personnel, authentification 1:1 sur le lieu de travail dans le cadre du règlement type CNIL, vérification d’identité à distance. En revanche, l’identification en temps réel dans l’espace public par un acteur privé est dépourvue de base légale en droit français.

Le report de l’AI Act au 2 décembre 2027 me laisse-t-il du temps ?

Pas pour les interdictions. Le règlement (UE) 2026/1744 ne reporte que les exigences applicables aux systèmes à haut risque de l’annexe III. Les pratiques interdites de l’article 5 — moissonnage non ciblé d’images faciales, reconnaissance des émotions au travail, catégorisation biométrique sensible — sont applicables depuis le 2 février 2025, et les sanctions correspondantes depuis le 2 août 2026.

Le consentement du salarié suffit-il pour un dispositif biométrique ?

Non, dans la très grande majorité des cas. En raison du lien de subordination, la CNIL et le CEPD considèrent que le consentement d’un salarié n’est généralement pas « libre » au sens de l’article 4(11). C’est précisément la raison d’être du règlement type du 10 janvier 2019, qui fournit un cadre de licéité indépendant du consentement, à condition d’en respecter toutes les exigences.

Estimer l’âge d’un internaute par analyse faciale est-il un traitement biométrique ?

Non, tant que le dispositif ne cherche ni à identifier ni à authentifier la personne et qu’aucun gabarit n’est conservé, indexé ou comparé à une base. L’estimation d’âge sort alors du champ de l’article 9. Mais dès qu’un gabarit est stocké ou rapproché d’une base de référence, le régime des données sensibles s’applique intégralement.

Que risque une entreprise qui déploie un dispositif non conforme ?

Deux régimes se cumulent. Au titre du RGPD, la violation de l’article 9 relève du plafond haut de l’article 83(5) : 20 millions d’euros ou 4 % du chiffre d’affaires mondial. Au titre de l’AI Act, la violation d’une interdiction de l’article 5 expose à 35 millions d’euros ou 7 %. S’y ajoutent le risque contentieux civil et, pour les dispositifs affectant des salariés, le risque prud’homal.

---

Vous instruisez un projet biométrique ou d’analyse d’images ? Recevez chaque semaine nos analyses de conformité : décisions CNIL, jurisprudence administrative et actualité de l’AI Act, décryptées pour les praticiens. S’abonner à la newsletter