La recherche inversée d’image permet techniquement de retrouver des profils en ligne à partir d’une simple photo. En droit français, cette possibilité se heurte à plusieurs textes qui encadrent strictement l’utilisation de l’image d’autrui, la collecte de données biométriques et le respect de la vie privée. Comprendre ces règles évite de basculer, parfois sans le savoir, dans l’illégalité.
Donnée biométrique et simple photo : la distinction juridique qui change tout
Avant de parler de ce que la loi autorise ou interdit, il faut poser une distinction technique que la plupart des guides en ligne escamotent. Une photographie de visage, en elle-même, n’est pas automatiquement une donnée biométrique au sens du RGPD.
Elle le devient uniquement lorsqu’elle est soumise à un traitement technique spécifique (extraction de points caractéristiques du visage, comparaison algorithmique) destiné à identifier de manière unique une personne physique. C’est ce traitement, et non la photo brute, qui déclenche le régime juridique le plus strict.
La conséquence pratique est directe : télécharger une photo dans un moteur de recherche inversée classique (type Google Images) qui compare des pixels sans extraire de gabarit biométrique ne relève pas du même cadre juridique qu’utiliser une plateforme de reconnaissance faciale. Les deux gestes paraissent similaires, mais le droit les traite différemment.
Droit à l’image et vie privée : les textes applicables en France
Le socle repose sur deux piliers du code civil et du code pénal, complétés par le RGPD.
Protection civile de l’image
Les articles 226-1 à 226-8 du code pénal protègent la vie privée et l’image des personnes. Toute captation, diffusion ou exploitation de l’image d’une personne identifiable exige son consentement préalable, sauf exceptions limitées (droit à l’information du public, images de foule où la personne n’est pas individualisée).
La jurisprudence de la Cour de cassation rappelle régulièrement que ce consentement doit être spécifique : une autorisation donnée pour un usage précis ne vaut pas pour un autre. Utiliser la photo de quelqu’un trouvée sur un réseau social pour alimenter une recherche d’identité n’entre dans aucune autorisation implicite.
Cadre pénal et données personnelles
Le RGPD classe les données biométriques parmi les données sensibles dont le traitement est interdit par principe, sauf exceptions limitativement énumérées. Pour un particulier, aucune de ces exceptions ne couvre le fait de soumettre la photo d’un inconnu à un service de reconnaissance faciale dans le but de l’identifier.
Côté pénal, l’article 226-18 du code pénal sanctionne la collecte de données personnelles par un moyen frauduleux, déloyal ou illicite. Utiliser un outil de recherche faciale pour identifier une personne à son insu peut tomber sous cette qualification.
Reconnaissance faciale par les forces de l’ordre : un usage encadré par le code de procédure pénale
En matière pénale, la reconnaissance faciale existe et fonctionne, mais dans un périmètre très précis. Les enquêteurs peuvent interroger le fichier de traitement des antécédents judiciaires (TAJ), qui conserve plusieurs millions de photos de personnes déjà mises en cause ou condamnées.
Concrètement, un enquêteur soumet une image issue d’une scène de crime ou d’une vidéosurveillance à un logiciel qui compare cette image aux photos stockées dans le TAJ. Le logiciel affiche les correspondances les plus probables, que l’enquêteur doit ensuite vérifier manuellement.
Ce dispositif est autorisé par une disposition du code de procédure pénale et encadré par la CNIL. Il ne fonctionne que dans le cadre d’une enquête judiciaire, sous le contrôle d’un magistrat. Un particulier ne peut ni accéder au TAJ ni reproduire ce mécanisme légalement.
AI Act et interdiction du moissonnage massif de visages
Le règlement européen sur l’intelligence artificielle (AI Act), dont l’application se déploie depuis 2025, introduit une interdiction qui concerne directement les plateformes de recherche faciale grand public. L’extraction non ciblée d’images sur Internet ou via la vidéosurveillance pour constituer des bases de reconnaissance faciale est prohibée.
Cette règle vise les services qui aspirent massivement des photos publiques (réseaux sociaux, sites web) pour indexer des visages et proposer ensuite une recherche par photo. Le modèle économique de plateformes comme Clearview AI est exactement celui que le texte cible.
Pour un utilisateur français, cela signifie que recourir à un tel service, même hébergé hors d’Europe, pose un problème juridique. Le service lui-même opère en violation du droit européen, et l’utilisateur qui y soumet la photo d’un tiers contribue à un traitement illicite de données biométriques.
Ce qui reste légal pour un particulier
Toutes les recherches par image ne tombent pas sous le coup de ces interdictions. Voici ce qu’un particulier peut faire sans enfreindre la loi :
- Utiliser un moteur de recherche inversée généraliste (Google Images, TinEye) pour vérifier si une photo circule en ligne, sans extraction biométrique. Ce type d’outil compare des pixels, pas des visages.
- Rechercher sa propre image pour vérifier une usurpation d’identité ou un usage non autorisé de ses photos personnelles.
- Signaler un profil suspect aux forces de l’ordre, qui disposent des outils et du cadre légal pour mener une identification par reconnaissance faciale si l’enquête le justifie.
Risques concrets en cas de recherche faciale non autorisée
Les sanctions ne sont pas théoriques. La CNIL a déjà sanctionné des sociétés exploitant la reconnaissance faciale sans base légale. Pour un particulier, les risques se répartissent sur plusieurs terrains.
- Sur le plan pénal, la collecte déloyale de données personnelles est punie de cinq ans d’emprisonnement et d’une amende significative (article 226-18 du code pénal).
- Sur le plan civil, la personne identifiée sans son consentement peut engager une action en réparation pour atteinte à la vie privée et au droit à l’image.
- Sur le plan administratif, la CNIL peut prononcer des sanctions financières contre les responsables de traitement, y compris des particuliers agissant en dehors du cadre domestique.
Le fait que la photo utilisée soit « publique » (publiée sur un réseau social ouvert, par exemple) ne constitue pas une autorisation de traitement biométrique. La Cour de cassation distingue clairement entre accessibilité d’une image et droit de l’exploiter.
La frontière entre recherche d’image légitime et traitement biométrique illicite tient au type d’outil utilisé et à la finalité poursuivie. Un moteur de recherche inversée classique reste accessible. Dès qu’un service extrait des caractéristiques faciales pour comparer des visages, le cadre juridique bascule vers celui des données biométriques sensibles, et les conditions d’utilisation deviennent quasi impossibles à remplir pour un particulier agissant seul.
