Reconnaissance faciale et photos de course : ce qu'il faut savoir (RGPD, consentement, efficacité)

Un coureur qui a perdu son dossard dans la boue ne retrouvera jamais seul ses photos parmi des milliers d'images. La reconnaissance faciale photo règle ce problème en quelques secondes. Elle pose aussi des questions sérieuses : un visage analysé par une machine devient une donnée biométrique, l'une des catégories les plus protégées par le RGPD.

Je photographie le trail depuis 2015 : voici ce que dit la loi, ce qui marche sur le terrain et ce que fait Paceshot. Ce n'est pas un avis juridique : pour ton cas précis, consulte un juriste ou un délégué à la protection des données.

En bref

• Un gabarit facial calculé pour identifier quelqu'un est une donnée biométrique (article 4 §14 du RGPD), dont le traitement est interdit par principe (article 9).
• Pour des photos de course, l'exception réaliste est le consentement explicite : libre, spécifique, éclairé, univoque et retirable.
• Le photographe est responsable de traitement ; la plateforme qui fournit l'outil est sous-traitant.
• La reconnaissance faciale rate souvent les visages de profil, masqués ou trop petits : elle complète le dossard et l'heure de passage.

Comment fonctionne la reconnaissance faciale sur des photos de course ?

Le principe tient en trois étapes. Le logiciel repère d'abord les visages sur chaque photo. Il transforme ensuite chaque visage en une suite de nombres, un gabarit. Enfin, il compare les gabarits et décide, selon un seuil de similarité, si deux visages appartiennent probablement à la même personne. Le système ne connaît personne : il mesure des ressemblances.

La détection. Sur une photo de ravitaillement, l'algorithme trouve le coureur net, mais aussi des concurrents flous, des bénévoles, des spectateurs.

Le gabarit. Cette empreinte faciale ne permet pas de redessiner la photo, mais elle permet de reconnaître la personne. Sa seule raison d'exister est d'identifier quelqu'un : c'est ce qui en fait une donnée sensible.

Le seuil. Comparer deux gabarits donne un score. Un seuil bas retrouve plus de photos mais commet des erreurs ; un seuil haut est fiable mais en oublie. Un bon outil privilégie la précision et laisse le coureur compléter autrement.

La chaîne Les Echos explique en six minutes ces étapes et les inquiétudes qu'elles suscitent, ce qui aide à comprendre pourquoi la loi encadre si strictement cette technologie.

Lire la vidéo : Vidéo YouTube : Reconnaissance faciale : comment ça marche, et pourquoi elle inquiète

Un visage sur une photo, est-ce une donnée biométrique ?

Pas forcément. Une photo de coureur est une donnée personnelle ; elle devient biométrique quand elle subit un traitement technique spécifique permettant d'identifier la personne de manière unique. L'article 4 §14 du RGPD cite d'ailleurs les « images faciales » en exemple. Calculer des gabarits pour retrouver quelqu'un fait donc basculer dans cette catégorie.

Conséquence directe : une galerie classée par dossard reste un traitement de données personnelles classique, alors qu'indexer les visages de cette même galerie relève de l'article 9. Celui-ci interdit le traitement des données biométriques aux fins d'identifier une personne de manière unique, sauf exceptions. Pour un photographe sportif, une seule est réaliste : le consentement explicite.

Quelle base légale pour la reconnaissance faciale sur des photos d'événement ?

La base à retenir est le consentement explicite de l'article 9 §2 a) du RGPD. L'intérêt légitime, souvent invoqué pour la photo d'événement, ne lève pas l'interdiction qui pèse sur les données biométriques. « Explicite » signifie une déclaration claire et dédiée, distincte des conditions générales de vente.

Les cinq conditions d'un consentement valable

La CNIL et le Comité européen de la protection des données (lignes directrices 5/2020) les détaillent. Appliquées à une recherche par selfie :

Qui est responsable : le photographe ou la plateforme ?

Le photographe qui décide de lancer la reconnaissance faciale est responsable de traitement : il choisit la finalité et les moyens. La plateforme qui fournit l'outil et l'hébergement agit comme sous-traitant, sur ses instructions. Les obligations de chacun sont fixées au chapitre IV du RGPD, et un contrat encadre leur relation.

Au photographe d'informer les participants, de recueillir le consentement et de répondre aux demandes d'effacement. Au sous-traitant de sécuriser les données et de les supprimer en fin de prestation. La chaîne Mon pote DPO résume ces rôles en cinq minutes.

Lire la vidéo : Vidéo YouTube : RGPD : les acteurs des traitements

Faut-il réaliser une AIPD ?

Très probablement. L'analyse d'impact relative à la protection des données est requise quand un traitement présente un risque élevé pour les personnes, et des données biométriques traitées sur un événement public cochent plusieurs critères. La CNIL publie la liste des traitements concernés et propose PIA, un logiciel libre pour mener l'analyse pas à pas.

Comment informer les participants avec l'organisateur ?

L'information doit arriver avant la course. Le meilleur canal reste l'organisateur : une mention dans le règlement, une case dans le formulaire d'inscription et un rappel dans l'e-mail d'avant-course touchent tous les coureurs. La mention dit qui photographie, où les photos seront vendues, que la recherche par visage existe, combien de temps les données sont gardées et comment s'y opposer.

Le cas des mineurs

En France, la CNIL rappelle que l'âge retenu pour consentir seul à un service en ligne est de 15 ans ; en dessous, la loi Informatique et Libertés exige un consentement conjoint du mineur et du titulaire de l'autorité parentale. Le plus prudent : ne pas lancer l'indexation faciale sur une course réservée aux enfants.

Quelles bonnes pratiques adopter sur une course ?

Une démarche propre tient en quelques gestes répétés à chaque événement. Ils protègent les coureurs, te protègent en cas de contrôle et rassurent l'organisateur qui te confie sa course. La liste à suivre, de l'inscription à la clôture :

• Faire ajouter une mention dans le règlement et le formulaire d'inscription.
• Réaliser ou mettre à jour ton AIPD.
• Ne lancer la reconnaissance que là où elle sert vraiment, et jamais sur les courses enfants.
• Recueillir un consentement explicite avant chaque recherche par selfie, avec une alternative sans visage.
• Ne jamais conserver le selfie du coureur.
• Héberger les données dans l'Union européenne et les supprimer avec l'événement.
• Traiter vite toute demande d'effacement, y compris celle d'un spectateur.
• Protéger les aperçus avec un filigrane photo.

La reconnaissance faciale est-elle efficace sur des photos de course ?

Oui, quand le visage est de face, net et assez grand dans l'image : sur un plan serré au téléobjectif, la correspondance est souvent immédiate. Elle se dégrade dès que le visage est tourné, couvert ou minuscule, ce qui arrive souvent sur une course.

• Le profil : un coureur pris de côté dans un virage offre peu de traits comparables avec un selfie de face.
• Les lunettes de soleil masquent la zone des yeux, très utile à la comparaison.
• La casquette et le buff : ombre sur le front, bas du visage couvert.
• Le visage trop petit : sur un plan large de départ, quelques dizaines de pixels seulement.
• La foule : plus de visages, plus de fausses correspondances.

La taille minimale de visage filtre les cas trop petits. Sur Paceshot, elle se règle entre 1 et 3 % de la largeur de l'image, avec 1,5 % comme repère. La monter écarte les spectateurs à l'arrière-plan ; la baisser récupère les plans larges, au prix de plus d'erreurs.

Pourquoi combiner dossard, selfie et heure de passage ?

Parce qu'aucune méthode ne retrouve tout seule toutes les photos. Le dossard, lu automatiquement, peut être plié, caché ou mouillé. Le visage aide quand le dossard est invisible, pas quand le coureur est de profil. L'heure de passage, tirée de l'horloge du boîtier, rattrape les deux. Pense à régler cette horloge le matin de la course.

Proposer trois méthodes rend aussi le consentement réellement libre. Le guide recherche par dossard et selfie détaille ce parcours côté coureur.

Que fait Paceshot exactement avec les visages ?

La reconnaissance faciale n'est jamais automatique sur Paceshot : tu la lances course par course, quand tu le décides. Elle regroupe les photos d'une même personne et propage le dossard lu sur une photo aux autres. Les visages sont indexés dans une collection propre à l'événement, hébergée dans l'Union européenne (Irlande) et supprimée avec l'événement.

• Le coureur coche son consentement explicite avant chaque recherche par selfie.
• Son selfie sert à la comparaison, puis n'est jamais conservé.
• Le résultat reste 30 minutes sur son appareil.
• Il peut toujours chercher par dossard ou par heure à la place.

Tu restes responsable de traitement, Paceshot agit comme sous-traitant : à toi d'assurer la base légale (information, consentement, possibilité de s'opposer, AIPD si requise). La fonction est incluse dans les formules Pro (2 000 photos analysées par mois) et Studio (8 000), détaillées sur la page tarifs ; les autres outils sont sur la page fonctionnalités. Pour aller plus loin : vendre ses photos de course à pied et photographe Hyrox.

Questions fréquentes

Puis-je utiliser la reconnaissance faciale sans consentement ?

Pour identifier des personnes par leur visage, l'article 9 du RGPD interdit le traitement des données biométriques, sauf exceptions. Pour un photographe sportif, l'exception praticable est le consentement explicite. Sans lui, le traitement manque de fondement. Classer tes photos par dossard ou par heure, en revanche, ne relève pas des données biométriques.

Le selfie du coureur est-il stocké ?

Sur Paceshot, non. Le selfie sert uniquement à la comparaison avec la collection de l'événement, puis il n'est pas conservé. Le résultat reste 30 minutes sur l'appareil du coureur. Cette minimisation réduit le risque en cas d'incident et simplifie ta documentation de conformité.

Un spectateur peut-il demander à être retiré ?

Oui. Toute personne visible sur tes photos peut exercer ses droits, même si elle ne courait pas. Affiche une adresse de contact dans la galerie et traite la demande vite : suppression de la photo ou exclusion de l'indexation. Une taille minimale de visage bien réglée limite déjà l'indexation des spectateurs à l'arrière-plan.

Où sont hébergées les données faciales ?

Sur Paceshot, les gabarits sont stockés dans une collection propre à chaque événement, hébergée dans l'Union européenne, en Irlande, via le service de reconnaissance d'AWS. Cette collection est supprimée en même temps que l'événement : aucune base de visages n'est conservée d'une course à l'autre.

Sources

• CNIL : définition de la donnée biométrique
• CNIL : biométrie et reconnaissance faciale
• CNIL : RGPD, chapitre I (article 4)
• CNIL : RGPD, chapitre II (articles 7 à 9)
• CNIL : RGPD, chapitre IV (responsable et sous-traitant)
• CNIL : recueillir le consentement des personnes
• CNIL : l'analyse d'impact (AIPD)
• EDPB : lignes directrices 5/2020 sur le consentement

Tu veux proposer la recherche par selfie à tes coureurs, avec un consentement propre et des données supprimées avec l'événement ? Découvre les formules et démarre l'essai gratuit, sans carte bancaire.