Reconnaissance faciale et police : l'impunité algorithmique de l'État français décryptée

La reconnaissance faciale est interdite par défaut en France pour les forces de l'ordre, faute de base légale — pourtant, son usage illégal prospère dans l'ombre depuis des années.

L'affaire BriefCam, révélée en 2023, a mis en lumière un paradoxe inquiétant : des logiciels d'analyse vidéo intégrant des fonctionnalités de reconnaissance faciale ont été déployés dans plusieurs services de police et de gendarmerie, sans aucune autorisation légale, sans contrôle parlementaire, et sans que les responsables soient sérieusement sanctionnés. En 2026, ce dossier n'est toujours pas clos — et de nouvelles révélations continuent d'alimenter le débat. Cet article analyse le cadre juridique applicable, les faits établis, et les conséquences pratiques de ce que l'on peut qualifier d'impunité algorithmique de l'État.

---

Contexte juridique

En France, le traitement de données biométriques à des fins de reconnaissance faciale est soumis à un régime d'interdiction de principe, assorti d'exceptions strictes.

La reconnaissance faciale constitue un traitement de données biométriques au sens de l'article 9 du Règlement Général sur la Protection des Données (RGPD). Ces données sont classées en catégorie "sensible", ce qui implique une interdiction de principe de traitement, sauf dérogations limitativement énumérées.

En droit français, la loi Informatique et Libertés du 6 janvier 1978, modifiée par la loi du 20 juin 2018, transpose ces exigences. Pour les traitements à des fins répressives (police, justice), c'est la directive européenne 2016/680 (dite "directive Police-Justice") qui s'applique, transposée aux articles 87 et suivants de la loi Informatique et Libertés. Ces dispositions imposent qu'un traitement de données biométriques par les forces de l'ordre repose sur une base légale explicite, proportionnée et nécessaire.

Or, en France, aucune loi n'autorise expressément les forces de l'ordre à pratiquer la reconnaissance faciale en temps réel dans l'espace public. La seule disposition voisine, le Traitement des Antécédents Judiciaires (TAJ), permet une comparaison de photos dans un cadre judiciaire strict — mais ne couvre pas une surveillance biométrique de masse en temps réel.

À l'échelle européenne, l'AI Act, entré en vigueur en août 2024, classe les systèmes de reconnaissance faciale biométrique en temps réel dans l'espace public parmi les usages à risque inacceptable, en principe interdits, sauf dérogations très encadrées pour des infractions graves spécifiques (article 5 du règlement (UE) 2024/1689). Ces dérogations requièrent une autorisation judiciaire préalable et une base légale nationale — deux conditions que l'usage constaté en France ne satisfaisait manifestement pas.

---

Analyse approfondie

L'affaire BriefCam illustre comment une technologie interdite a été déployée à grande échelle sans base légale ni supervision démocratique.

L'affaire BriefCam : les faits établis

En 2023, plusieurs médias et associations ont révélé que le logiciel BriefCam, édité par une société israélienne rachetée par Canon, avait été acquis et utilisé par des services de police municipale et nationale ainsi que par la gendarmerie. Ce logiciel permet, entre autres fonctionnalités, d'effectuer des recherches par caractéristiques physiques, voire de la reconnaissance faciale à proprement parler.

Le Conseil d'État, saisi en référé, a rendu deux ordonnances en décembre 2023 (CE, Juge des référés, 21/12/2023, n° 489990 et CE, 12/12/2023, n° 489923) dans lesquelles il a acté que "si une minorité des caméras de vidéoprotection installées sur son territoire est connectée au logiciel BriefCam, aucune fonctionnalité de reconnaissance faciale" n'aurait dû être activée — reconnaissant implicitement l'illégalité potentielle de son usage.

La CNIL, de son côté, a rendu la Décision MEDP-2024-001 du 18 novembre 2024, enjoignant aux entités concernées "de prendre les mesures adéquates permettant d'empêcher l'utilisation des fonctionnalités de reconnaissance faciale de certains des logiciels d'analyse vidéo". Cette décision, bien que tardive, constitue la première sanction formelle dans ce dossier — mais sans amende significative publiée à ce stade.

Les révélations de 2026 : l'explosion des consultations du TAJ

En mars 2026, le média d'investigation Disclose a publié une enquête révélant une explosion du nombre de consultations du TAJ (Traitement des Antécédents Judiciaires), le fichier de photos utilisé par la police à des fins d'identification. Cette hausse soudaine laisse suspecter un usage étendu de la reconnaissance faciale adossée à ce fichier, dans des conditions qui déborderaient largement le cadre légal existant.

Le TAJ contient aujourd'hui les données de plus de 19 millions de personnes. Couplé à des algorithmes de reconnaissance faciale, il constituerait de facto un outil de surveillance biométrique de masse — sans que le Parlement ait jamais voté une loi l'autorisant explicitement.

Sanctions pénales applicables

Infraction	Texte	Peine maximale
Collecte illicite de données biométriques	Art. 226-16 Code pénal	5 ans / 300 000 €
Traitement sans base légale (RGPD)	Art. 83 RGPD	4% CA mondial
Détournement de finalité	Art. 226-21 Code pénal	5 ans / 300 000 €
Défaut de mesures de sécurité	Art. L223-2 CSI	150 000 €
Montage illicite de fichiers	Art. 226-19 Code pénal	5 ans / 300 000 €

Malgré ce dispositif répressif en apparence dissuasif, aucune condamnation pénale n'a été prononcée contre des fonctionnaires ou responsables publics pour l'affaire BriefCam à la date de publication de cet article.

Le rôle des autorités de contrôle

La CNCDH (Commission Nationale Consultative des Droits de l'Homme), dans son avis sur la surveillance de l'espace public (A-2024-5), a expressément rappelé "les dérives observées chez certains acteurs industriels tentés de collecter des photographies de visage postées sur les réseaux sociaux", pointant les risques systémiques que fait peser la reconnaissance faciale sur les libertés fondamentales — droit à l'anonymat, liberté de réunion, présomption d'innocence.

La CNIL, malgré des pouvoirs de sanction pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial (article 83 RGPD), peine à s'imposer face aux administrations publiques. Les entités publiques bénéficient en effet d'un régime spécifique : les amendes administratives de la CNIL ne leur sont pas applicables dans les mêmes conditions qu'aux entreprises privées (article 83 §7 RGPD), réduisant considérablement le levier coercitif.

---

Implications pratiques

L'affaire BriefCam crée un précédent dangereux : si l'État peut violer impunément les règles qu'il impose aux autres, c'est toute l'architecture de protection des données qui s'effondre.

Du côté des forces de l'ordre et des pouvoirs publics

Pour les administrations, le message de la CNIL en 2024 est clair : les fonctionnalités de reconnaissance faciale doivent être désactivées immédiatement à défaut de base légale. Le problème est que cette injonction repose sur la bonne volonté des administrations concernées, sans mécanisme d'exécution forcée efficace. En 2026, aucun audit public indépendant n'a confirmé la désactivation effective de ces fonctionnalités dans tous les services concernés.

Par ailleurs, le législateur est sous pression pour créer une base légale expresse encadrant ces usages. Plusieurs propositions de loi ont été évoquées depuis 2023, mais aucune n'est allée à son terme — laissant perdurer un vide juridique que certains services exploitent.

Du côté des citoyens et des justiciables

Pour un citoyen qui pense avoir été identifié via reconnaissance faciale dans le cadre d'une procédure judiciaire ou administrative, les recours existants sont :

• Droit d'accès et de rectification auprès de la CNIL (articles 15 et 16 RGPD)
• Recours pour excès de pouvoir devant le tribunal administratif contre une décision fondée sur une identification illégale
• Signalement à la CNIL (plainte en ligne), qui peut déclencher un contrôle
• En cas de procédure pénale, exception de nullité si la preuve a été obtenue de façon illicite (article 171 du Code de procédure pénale)

Deux lectures de l'affaire

Lecture sécuritaire : certains responsables policiers font valoir que la reconnaissance faciale est un outil indispensable face à la criminalité organisée et au terrorisme, et que l'interdiction de principe crée un désavantage opérationnel face à des menaces sophistiquées.

Lecture droits-fondamentaliste : les associations (La Quadrature du Net, Amnesty International France) répondent que la fin ne justifie pas les moyens — qu'une surveillance biométrique de masse, même au nom de la sécurité, porte une atteinte structurelle à la liberté d'aller et venir sans être identifié, qui est au cœur de l'État de droit.

Ces deux perspectives sont légitimes et doivent être tranchées par le législateur, pas par l'administration de façon unilatérale et opaque.

---

Points clés à retenir

• La reconnaissance faciale en temps réel est interdite par défaut en France et en Europe (AI Act, article 5), faute de base légale générale pour les forces de l'ordre.
• L'affaire BriefCam (2023-2026) constitue le cas le plus documenté d'usage illégal de la reconnaissance faciale par des services de police et de gendarmerie français.
• La CNIL a formellement enjoint (Décision MEDP-2024-001) de désactiver les fonctionnalités de reconnaissance faciale — mais sans amende publique significative contre l'État.
• Le TAJ (19 millions de fiches), couplé à des algorithmes de reconnaissance faciale, constitue un risque systémique de surveillance biométrique de masse non encadrée par la loi.
• Les entités publiques bénéficient d'un régime de sanction allégé face à la CNIL, créant une asymétrie préoccupante avec le secteur privé.
• Aucune condamnation pénale n'a été prononcée à ce jour pour ces usages illégaux, malgré des peines théoriques pouvant atteindre 5 ans d'emprisonnement.
• Le Parlement doit légiférer : le vide juridique actuel ne protège ni les libertés, ni la sécurité juridique des agents utilisant ces outils de bonne foi.

---

Questions fréquentes

La reconnaissance faciale est-elle légale en France pour la police ?

Non, il n'existe pas de base légale générale autorisant les forces de l'ordre à utiliser la reconnaissance faciale en temps réel dans l'espace public. Seules des utilisations très encadrées, comme la consultation du TAJ dans un cadre judiciaire précis, sont autorisées par la loi.

Qu'est-ce que le logiciel BriefCam et pourquoi est-il au cœur du scandale ?

BriefCam est un logiciel d'analyse vidéo édité par une société rachetée par Canon, capable notamment d'identifier des individus par leurs caractéristiques physiques. Il a été déployé dans plusieurs services de police et de gendarmerie français sans autorisation légale, ce qui constitue un traitement illicite de données biométriques selon la CNIL et le Conseil d'État.

Qu'a décidé la CNIL dans cette affaire ?

La CNIL a rendu la Décision MEDP-2024-001 du 18 novembre 2024, enjoignant aux entités concernées de prendre des mesures pour empêcher l'utilisation des fonctionnalités de reconnaissance faciale des logiciels d'analyse vidéo concernés. Il s'agit d'une injonction de mise en conformité, sans amende publique majeure à ce stade.

L'AI Act européen interdit-il la reconnaissance faciale par la police ?

L'AI Act (règlement UE 2024/1689, entré en vigueur en août 2024) classe la reconnaissance faciale biométrique en temps réel dans l'espace public parmi les usages à "risque inacceptable", interdits par son article 5. Des dérogations très encadrées existent pour des infractions graves spécifiques, mais elles requièrent une autorisation judiciaire préalable et une base légale nationale explicite — deux conditions absentes dans les usages constatés en France.

Quelles sanctions risquent concrètement les policiers ou responsables ayant utilisé BriefCam illégalement ?

Sur le papier, les peines prévues vont jusqu'à 5 ans d'emprisonnement et 300 000 € d'amende (articles 226-16 et suivants du Code pénal). En pratique, à la date de publication de cet article en juillet 2026, aucune condamnation pénale n'a été prononcée — illustrant ce que certains juristes qualifient d'impunité algorithmique de l'État.

Qu'est-ce que le TAJ et quel est son lien avec la reconnaissance faciale ?

Le Traitement des Antécédents Judiciaires (TAJ) est un fichier de police contenant les données — dont des photos — de plus de 19 millions de personnes en France. Couplé à des algorithmes de reconnaissance faciale, il peut permettre une identification biométrique à grande échelle. Selon une enquête de Disclose publiée en mars 2026, les consultations de ce fichier ont explosé, laissant suspecter un usage qui déborde le cadre légal prévu.

Un citoyen peut-il se défendre si la police l'a identifié via reconnaissance faciale illégalement ?

Oui, plusieurs recours sont possibles : dépôt d'une plainte auprès de la CNIL, recours pour excès de pouvoir devant le tribunal administratif, ou — si la reconnaissance faciale a servi de base à des poursuites pénales — une exception de nullité fondée sur l'article 171 du Code de procédure pénale. L'illicéité du traitement peut entraîner l'exclusion de la preuve de la procédure.

La France va-t-elle légaliser la reconnaissance faciale pour les forces de l'ordre ?

C'est un débat actif en 2026. Plusieurs propositions ont émergé depuis l'affaire BriefCam, mais aucune loi encadrant expressément ces usages n'a abouti. Le risque est double : soit un vide juridique persistant qui permet des usages opaques, soit une légalisation précipitée insuffisamment protectrice des libertés fondamentales. La CNCDH et de nombreuses associations appellent à un débat démocratique approfondi avant toute évolution législative.

---

Article rédigé sur la base des sources disponibles en juillet 2026. Ce contenu a une vocation informative et ne constitue pas un conseil juridique. Pour toute situation personnelle, consultez un avocat spécialisé en droit des données personnelles ou en droit administratif.