En septembre 2018, la CNIL appelait « d’urgence à un débat démocratique » sur la reconnaissance faciale, demandant à ce que le législateur et le gouvernement se saisissent du sujet. 

Plus d’un an plus tard, alors qu'il est resté dans les cartons auprès de l’exécutif et du Parlement, la CNIL remet le couvert dans une note dédiée. 

« Si l’on parcourt le champ des usages potentiels, une graduation peut être envisagée » dans ces usages.

Cette graduation peut se faire selon le « degré de contrôle des personnes sur leurs données personnelles », les « conséquences qui en découlent pour elles (en cas de reconnaissance ou de non-reconnaissance) » ou encore « l’ampleur des traitements mis en œuvre » soutient la CNIL.

Compte tenu de l’ambivalence des situations, l’autorité explique sa méthode, à savoir une analyse au cas par cas pour identifier des situations légitimes, et d’autres qui ne le sont pas. 

Une constante : les données biométriques sont attachées à la personne, et sont par définition sensibles sur le terrain du RGPD. « La reconnaissance faciale, tout comme les autres techniques biométriques, n’est donc jamais un traitement tout à fait anodin ». Il s’agit en outre d’un traitement sans contact, à distance, à l’insu des personnes. 

« Ce n’est pas le cas de tous les usages (déverrouillage d’ordiphone, et plus généralement la plupart des usages d’authentification), mais elle peut permettre le suivi en temps réel des déplacements de chacun, sans interaction avec la personne et donc sans qu’elle en ait même conscience. »

La reconnaissance faciale, c’est finalement « le passage d’une surveillance ciblée de certains individus à la possibilité d’une surveillance de tous aux fins d’en identifier certains ».

Elle redit ce qu’elle a déjà dit pour le cas de Marseille ou Nice : cette technique « ne peut légalement être utilisée, même à titre expérimental, si elle ne repose pas sur un impératif particulier d’assurer un haut niveau de fiabilité de l’authentification ou de l’identification des personnes concernées et sans démonstration de l’inadéquation d’autres moyens de sécurisation moins intrusifs ».

Ces pistes sont destinées à éclairer le débat public, libre au gouvernement ou au législateur de s’en saisir. Ce qui n’a pas encore été fait aujourd’hui.