Ce qui est interdit depuis le 2 février 2025
L'article 5 de l'AI Act liste des pratiques interdites. Plusieurs concernent directement la vidéosurveillance :
- La reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement, sauf raisons médicales ou de sécurité. L'accord des salariés ne lève pas l'interdiction.
- La catégorisation biométrique visant à déduire des caractéristiques sensibles : origine, opinions, orientation sexuelle, convictions…
- La constitution de bases de reconnaissance faciale par collecte non ciblée d'images issues d'Internet ou de la vidéosurveillance.
- L'identification biométrique à distance « en temps réel » dans les espaces accessibles au public à des fins répressives, sauf exceptions très encadrées réservées aux autorités.
Sanctions : le recours à une pratique interdite peut être sanctionné d'une amende pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Et la reconnaissance faciale par un acteur privé ?
En France, aucun texte n'autorise une entreprise à identifier en temps réel les personnes qui passent dans un espace accessible au public. Indépendamment de l'AI Act, le RGPD encadre très strictement les données biométriques. Si un fournisseur vous propose ce type de fonction, la prudence s'impose.
Ce qui reste possible
La plupart des fonctions d'analyse utiles en sûreté ne reposent pas sur l'identification des personnes :
- Détection d'intrusion dans une zone et franchissement de ligne.
- Détection d'objets abandonnés ou de véhicules à l'arrêt prolongé.
- Comptage et mesure de fréquentation, sans identification.
- Recherche dans les enregistrements par couleur, type d'objet ou direction de déplacement.
Ces fonctions restent soumises au RGPD comme toute vidéosurveillance : finalité définie, information des personnes, durée de conservation limitée, sécurité des données. Certaines, comme la lecture automatique de plaques d'immatriculation, font l'objet d'un encadrement spécifique : vérifiez-le avec votre délégué à la protection des données.
Les bonnes questions à poser à votre fournisseur
- Quelles fonctions d'analyse sont activées, et sur quelles caméras ?
- Le système traite-t-il des données biométriques, même de façon indirecte ?
- Où les traitements sont-ils effectués : sur la caméra, sur un serveur local, dans le cloud ?
- Quelle documentation le fabricant fournit-il sur le fonctionnement et les limites de ses algorithmes ?
Questions fréquentes
Il n'est pas interdit. Il reste soumis au RGPD et, selon son usage, à d'autres obligations du règlement dont l'entrée en application est progressive.
La reconnaissance des émotions sur le lieu de travail est interdite, sauf raisons médicales ou de sécurité. Toute analyse visant les salariés doit par ailleurs respecter le code du travail et le RGPD.