Votre visage est une donnée sensible. Ce que l'article 9 du RGPD signifie pour vous

La plupart des données personnelles visées par le RGPD (votre nom, votre e-mail, votre adresse, votre historique de navigation) relèvent des règles générales. Les données biométriques sont différentes. L'article 9 les classe parmi les « catégories particulières » de données, aux côtés des données de santé, des opinions politiques et des convictions religieuses. Leur protection est nettement renforcée, et les obligations des entreprises qui les traitent le sont tout autant.

Ce qui constitue une donnée biométrique

L'article 9 protège expressément les « données biométriques aux fins d'identifier une personne physique de manière unique ». Cela comprend les empreintes faciales, les empreintes vocales, les empreintes digitales, les scans de l'iris et tout traitement technique qui transforme des caractéristiques physiques en identifiant unique.

Notez la précision : « aux fins d'identifier de manière unique ». Une photo ordinaire publiée sur un réseau social n'est pas une donnée biométrique au sens de l'article 9. La même photo passée par un système de reconnaissance faciale pour créer un identifiant, en revanche, en est une.

Vos droits

• Droit au consentement explicite. Une entreprise ne peut pas traiter vos données biométriques sur la base de l'intérêt légitime. Elle a besoin de votre consentement explicite, spécifique et éclairé, que vous pouvez retirer à tout moment.
• Droit à l'effacement. Vous pouvez exiger la suppression de vos données biométriques, et l'entreprise doit s'exécuter dans les meilleurs délais (en général sous 30 jours).
• Droit d'accès. Vous pouvez demander une copie de toutes les données biométriques qu'une entreprise détient à votre sujet.
• Droit à la portabilité. Vous pouvez demander vos données dans un format structuré et lisible par machine.
• Droit à la limitation. Vous pouvez exiger qu'une entreprise cesse de traiter vos données le temps qu'un différend soit résolu.

Ce que les entreprises doivent faire

Les entreprises qui traitent des données biométriques ont des obligations renforcées : une analyse d'impact relative à la protection des données (AIPD) avant tout traitement, la désignation d'un délégué à la protection des données (DPO) dans la plupart des cas, des mesures de sécurité plus strictes et la notification des violations sous 72 heures aux autorités et aux personnes concernées.

Le lieu de stockage compte. Un traitement dans l'UE maintient vos données sous les protections les plus fortes du RGPD. Un transfert vers des pays hors de l'UE exige des garanties spécifiques (clauses contractuelles types, décisions d'adéquation) et a fait l'objet de recours répétés devant la justice (Schrems I, Schrems II).

Comment exercer vos droits

Toute entreprise qui traite vos données biométriques doit vous offrir un moyen clair d'exercer ces droits, généralement une adresse privacy@ ou un espace dédié dans votre compte. Si elle ne répond pas sous 30 jours, vous pouvez introduire une réclamation auprès de votre autorité nationale de protection des données. En France, c'est la CNIL. En Belgique, l'Autorité de protection des données. En Suisse, le PFPDT. En Roumanie, l'ANSPDCP.

En résumé

Votre visage n'est pas une simple donnée. En droit européen, il est protégé avec le même sérieux que votre dossier médical. Les entreprises qui le traitent à la légère enfreignent la loi, et vous disposez de droits précis et opposables pour les faire cesser.