Reconnaissance faciale & RGPD : le fonctionnement exact, sans zone d'ombre

L'essentiel en un coup d'œil

Donnée biométrique

Le gabarit facial : une suite de 512 nombres décrivant mathématiquement un visage. Il ne permet pas de reconstituer le visage.

Modèle

Détection et reconnaissance de visages uniquement, exécutées par CéSAR Photo. Aucune estimation d'âge, de sexe, d'émotion ou d'origine.

Finalité unique

Retrouver les photos d'un invité dans la galerie d'UN événement. Aucun autre usage.

Base légale (recherche par selfie)

Consentement explicite de l'invité (RGPD, articles 6.1.a et 9.2.a), recueilli par une action positive avant tout selfie.

Selfie

Supprimé quelques secondes après la recherche, succès ou échec.

Gabarit issu du selfie

Durée de la requête (secondes) ; jamais écrit en base ni sur disque.

Gabarits des photos d'événement

Durée de vie de la galerie, puis effacement automatique (30 jours en Découverte, 12 mois en CéSAR One et Pro).

Portée

Chaque événement est un espace de recherche fermé : aucune comparaison entre événements.

Refus

Possible d'un clic, sans selfie ; la galerie reste consultable si l'organisateur l'a ouverte à tous.

Effacement

En libre-service par l'invité, depuis sa galerie personnelle.

Quelles opérations biométriques CéSAR Photo réalise-t-il ?

Il y en a deux, et il est important de ne pas les confondre : la première concerne les photos de l'événement, la seconde le selfie de l'invité.

Aucune des deux opérations ne permet de retrouver quelqu'un en dehors de l'événement concerné : nous ne constituons pas de base d'identités.

Quelle donnée est biométrique, et laquelle ne l'est pas ?

• Le gabarit facial (512 nombres) est une donnée biométrique au sens de l'article 9 du RGPD : il est traité pour identifier une personne.
• Le selfie et les photos sont des données personnelles ; elles deviennent le support d'un traitement biométrique lorsqu'on en extrait un gabarit.
• Le prénom saisi par l'invité (facultatif) et l'adresse e-mail d'alerte (facultative) sont des données personnelles ordinaires, supprimées avec la fiche de l'invité.
• Aucune donnée n'est déduite du visage en dehors du gabarit : ni âge, ni sexe, ni émotion, ni origine.

Que se passe-t-il, étape par étape, lorsqu'un invité cherche ses photos ?

• L'invité clique sur « Retrouver mes photos » : un écran d'information lui explique le traitement et lui demande d'accepter par une case à cocher, jamais pré-cochée. Il peut aussi refuser d'un clic.
• S'il accepte, il prend ou choisit un selfie, envoyé en HTTPS au serveur de l'application. Le fichier est déposé quelques secondes dans un dossier temporaire du stockage, le service de calcul devant pouvoir le lire.
• Le service de calcul télécharge l'image, détecte le visage le plus grand et calcule le gabarit en mémoire.
• Le gabarit est comparé aux gabarits de CET événement uniquement (la condition sur l'identifiant de l'événement est dans la requête de base de données), par similarité cosinus, avec un seuil minimal.
• Le selfie est supprimé dès que le calcul est terminé, qu'il ait réussi ou échoué. Le gabarit issu du selfie n'est écrit nulle part : il disparaît avec la requête.
• Si l'invité est reconnu, il reçoit ses photos et un lien personnel pour les retrouver sans refaire de selfie. Sa fiche contient, au plus, un prénom facultatif et un e-mail d'alerte facultatif.

Sur quelle base légale repose le traitement ?

Pour la recherche par selfie, la base légale est le consentement explicite de l'invité (articles 6.1.a et 9.2.a du RGPD). Il est recueilli par une action positive : case non pré-cochée accompagnée d'une phrase dont le libellé est « Je souhaite utiliser la recherche par reconnaissance faciale… ». Le consentement n'est pas une condition d'accès à la galerie quand celle-ci est ouverte à tous.

Qui est responsable du traitement ? Lorsque l'organisateur agit à titre privé (mariage, anniversaire), CéSAR Photo (SAR-Tech) se considère responsable du traitement des données biométriques traitées pour la recherche par selfie. Lorsque l'organisateur agit à titre professionnel (photographe, entreprise, association), il est responsable du traitement et CéSAR Photo son sous-traitant, dans le cadre du DPA.

Pour l'analyse des photos de l'événement (opération A), les personnes photographiées n'ont pas toutes utilisé la recherche par selfie. L'organisateur reste responsable d'informer ses invités ; nous mettons à sa disposition un modèle d'autorisation de droit à l'image et la possibilité de supprimer des photos ou des fiches. C'est le point le plus sensible de ce traitement, traité dans l'analyse d'impact.

Peut-on refuser la reconnaissance faciale sans perdre l'accès à la galerie ?

Oui sur le principe : le refus est un bouton aussi visible que l'acceptation, aucun selfie n'est demandé et aucune donnée biométrique n'est collectée auprès de l'invité.

Ce que l'invité voit ensuite dépend du choix de l'organisateur. Si la galerie est ouverte à tous, l'invité la parcourt librement, sans selfie. Si l'organisateur a choisi de ne montrer les photos que par reconnaissance faciale (galerie sécurisée), l'invité qui refuse n'a pas accès aux photos des autres : il peut demander les siennes à l'organisateur. Nous recommandons aux organisateurs d'ouvrir la galerie lorsque le contexte s'y prête, précisément pour que le refus n'ait aucun coût pour l'invité.

Comment les données biométriques sont-elles supprimées ?

• Selfie : à la fin de la requête ; filet de sécurité quotidien pour tout résidu de plus d'une heure.
• Gabarit du selfie : jamais enregistré.
• Gabarits des photos d'événement : effacés automatiquement après l'expiration de la galerie par un nettoyage quotidien, ou à la suppression de la galerie par l'organisateur.
• Effacement par l'invité : un bouton « Effacer mes données biométriques » dans sa galerie personnelle supprime ses gabarits, sa fiche et son lien. Limite connue : si l'organisateur ajoute ensuite de nouvelles photos où l'invité apparaît, ses visages y seront analysés comme ceux des autres ; pour une opposition définitive, écrivez à contact@cesar-photo.com.
• Preuve : la page Conservation et suppression affiche en temps réel le nombre de galeries expirées qui détiennent encore des gabarits (valeur attendue : 0).

Ce que CéSAR Photo ne fait pas

• Aucun service de reconnaissance faciale tiers (Amazon Rekognition, Google Vision, Microsoft Azure Face ou équivalent) n'est utilisé ; le modèle est exécuté par CéSAR Photo.
• Aucune photo, aucun selfie ni aucun gabarit ne sert à entraîner, réentraîner, améliorer ou évaluer un modèle d'IA, même anonymisé ou agrégé : le modèle est pré-entraîné et figé.
• Aucune comparaison entre événements et aucune base d'identités.
• Aucune vente, location ou cession des données, aucune publicité ciblée.
• Aucune estimation d'âge, de sexe, d'émotion ou d'origine ethnique.

La reconnaissance faciale peut-elle se tromper ?

Oui. Un faux positif (montrer à un invité une photo qui n'est pas la sienne) ou un faux négatif (ne pas retrouver une de ses photos) est possible, comme avec tout système de reconnaissance. Nous réduisons le risque par un seuil de similarité, par une étape de désambiguïsation lorsque plusieurs fiches sont proches et par des outils de correction côté organisateur. Un résultat de CéSAR Photo n'est jamais une identification officielle.

Comment exercer vos droits ?

Accès, rectification, effacement, limitation, opposition : écrivez à contact@cesar-photo.com. Nous répondons dans un délai d'un mois. L'effacement des données biométriques est aussi possible en libre-service depuis la galerie personnelle de l'invité. En cas de désaccord, vous pouvez saisir la CNIL (www.cnil.fr).

Questions fréquentes