La recherche faciale inversée est-elle légale ?

Comment le RGPD traite-t-il la recherche faciale en Europe ?

Sous le RGPD, les données biométriques traitées aux fins d'identifier une personne de manière unique constituent une catégorie particulière de données personnelles au titre de l'article 9, et leur traitement est interdit sauf application d'une exception précise, le plus souvent le consentement explicite de la personne. Le RGPD britannique adopte une approche matériellement identique. Il existe une exception domestique étroite pour l'activité purement personnelle, mais les autorités l'interprètent strictement et il est généralement admis qu'elle ne couvre ni la publication de résultats concernant autrui ni les actions fondées sur ces résultats.

Et aux États-Unis ?

Il n'existe pas de loi fédérale unique sur la biométrie, la réponse se fait donc État par État, avec des écarts importants.

• La BIPA de l'Illinois impose un consentement écrit éclairé avant toute collecte d'identifiants biométriques et ouvre une action directe aux particuliers, d'où l'essentiel du contentieux.
• Le Texas et l'État de Washington disposent de lois biométriques comparables, appliquées par le procureur général de l'État et non par des actions privées.
• Le CCPA et le CPRA californiens classent les informations biométriques parmi les informations personnelles sensibles, avec droits de savoir, de suppression et de limitation de l'usage.
• Plusieurs autres États ont adopté des lois générales de protection du consommateur qui traitent les données biométriques comme sensibles et exigent un consentement.

Qu'est-ce qui distingue un usage licite d'un usage illicite ?

C'est généralement la finalité qui tranche. Vérifier qu'une personne avec laquelle vous traitez déjà est bien celle qu'elle prétend être, ou retrouver où vos propres photographies ont été republiées, sont les usages que les autorités et les conditions des plateformes considèrent le plus favorablement. Constituer un dossier sur un inconnu, suivre les déplacements d'une personne, révéler l'identité d'un anonyme ou verser des résultats dans une décision d'emploi, de logement, de crédit ou d'assurance concentrent le risque juridique, et certains de ces usages sont encadrés séparément quelle que soit la source des données.

Qu'exige FaceSearch de vous ?

Nos conditions exigent que vous disposiez du droit de rechercher chaque image que vous téléversez et que vous respectiez la loi applicable là où vous vous trouvez. Utiliser le service pour traquer, harceler, intimider ou démasquer une personne contre son gré est interdit et justifie la résiliation. Nous n'autorisons pas son usage pour des décisions automatisées en matière d'emploi, de logement, de crédit ou d'assurance. Les photos téléversées sont supprimées dans les 24 heures suivant la fin de la recherche, et les descripteurs faciaux ne sont pas conservés après suppression.