On tombe sur une photo d’un inconnu, on la glisse dans un moteur de recherche inversée, et en quelques secondes on retrouve son profil Instagram ou LinkedIn. La manipulation est simple, rapide, accessible à tous. La question juridique qui se pose derrière, elle, l’est beaucoup moins. En France, retrouver les réseaux sociaux d’une personne via sa photo engage plusieurs couches de droit qui ne se résument pas au seul respect de la vie privée.
Recherche d’image inversée et reconnaissance faciale : la frontière juridique
Quand on utilise Google Images ou TinEye pour retrouver l’origine d’une photo, on compare des pixels. Le moteur cherche des correspondances visuelles dans son index. Ce procédé n’est pas interdit en soi : il ne repose pas sur une identification biométrique.
La situation change radicalement dès qu’un outil analyse les traits du visage pour les faire correspondre à une identité. On passe alors dans le champ de la reconnaissance faciale, qui traite des données biométriques au sens du RGPD. Et là, le cadre se durcit considérablement.
Depuis le 2 février 2025, l’article 5 du règlement européen sur l’intelligence artificielle (EU AI Act, règlement (UE) 2024/1689) classe parmi les pratiques d’IA prohibées la collecte indiscriminée d’images de visages sur Internet pour créer ou enrichir des bases de données de reconnaissance faciale. Cette interdiction vise directement les services qui aspirent massivement des photos de réseaux sociaux pour offrir ensuite de la recherche par visage, sur le modèle de Clearview AI.
En pratique, la distinction est nette : chercher une image pour voir où elle apparaît en ligne reste légal. Utiliser un service qui identifie un visage en le comparant à une base de données constituée par scraping est interdit par le droit européen.
Droit à l’image et vie privée : ce que dit le code civil français
Même sans reconnaissance faciale, retrouver les réseaux sociaux d’une personne à partir de sa photo touche au droit à l’image. L’article 9 du Code civil protège le respect de la vie privée, et la jurisprudence française y rattache depuis longtemps le droit au respect de sa propre image.
Concrètement, une photo sur laquelle une personne est reconnaissable constitue une donnée personnelle au sens du RGPD. Peu importe qu’il s’agisse d’un portrait ou d’un cliché pris dans un lieu public. Reconnaissable sur la photo signifie donnée personnelle protégée.
Le fait de chercher n’est pas le fait d’exploiter
Effectuer une recherche d’image inversée pour identifier quelqu’un relève d’un usage personnel tant qu’on ne fait rien de l’information obtenue. Le RGPD prévoit une exception domestique : les traitements de données réalisés dans le cadre d’une activité strictement personnelle ou domestique ne sont pas soumis au règlement.
En revanche, dès qu’on utilise le résultat de cette recherche pour contacter la personne, publier ses informations, ou alimenter un fichier, on sort de l’exception domestique. On entre dans un traitement de données personnelles qui nécessite une base légale (consentement, intérêt légitime, etc.).
Sanctions et risques concrets en droit français
La CNIL a déjà sanctionné des acteurs pour des pratiques liées à la reconnaissance faciale non autorisée. Le cadre pénal français ajoute une couche supplémentaire :
- L’article 226-1 du Code pénal punit d’un an d’emprisonnement et de 45 000 euros d’amende le fait de porter atteinte à l’intimité de la vie privée en captant ou diffusant l’image d’une personne sans son consentement dans un lieu privé.
- L’article 226-18 du Code pénal sanctionne la collecte de données personnelles par un moyen frauduleux, déloyal ou illicite, avec une peine pouvant atteindre cinq ans d’emprisonnement.
- Le non-respect du RGPD expose les responsables de traitement à des amendes administratives qui peuvent atteindre plusieurs millions d’euros pour les entreprises.
Le risque pénal existe même pour un particulier si la recherche débouche sur du harcèlement, de la surveillance ou de la diffusion non consentie d’informations personnelles.
Cas des enquêteurs privés et employeurs
Un employeur qui utiliserait une photo de candidat pour retrouver ses réseaux sociaux personnels s’expose à un double risque : violation du droit à la vie privée et discrimination à l’embauche. La CNIL a rappelé que consulter les réseaux sociaux d’un candidat sans rapport avec ses compétences professionnelles constitue un traitement disproportionné.
Pour les détectives privés, l’usage d’outils de reconnaissance faciale basés sur du scraping est désormais explicitement couvert par l’interdiction de l’AI Act, même dans un cadre d’enquête civile.
Outils de recherche par photo : ce qui reste autorisé en France
Tous les outils ne se valent pas sur le plan juridique. La distinction repose sur leur méthode technique :
- Les moteurs de recherche d’image inversée (Google Images, TinEye, Yandex) comparent des images entre elles sans analyser de données biométriques. Leur usage personnel reste licite.
- Les services de reconnaissance faciale qui constituent leurs bases par collecte massive de photos en ligne (type Clearview AI, PimEyes dans certaines configurations) tombent sous le coup de l’AI Act et du RGPD.
- Les réseaux sociaux eux-mêmes proposent parfois des suggestions de tags basées sur la reconnaissance faciale, mais ces fonctions sont encadrées par les conditions d’utilisation et le consentement des utilisateurs.
On peut donc utiliser Google Images pour vérifier si une photo apparaît ailleurs en ligne. Recourir à un service qui identifie un visage par comparaison biométrique massive est interdit.
Le critère à retenir
La question n’est pas tant « est-ce que j’ai trouvé le profil » que « comment l’outil a-t-il procédé pour me donner ce résultat ». Si la réponse implique une base de données de visages constituée sans consentement, l’outil lui-même est illicite, et son utilisation aussi.
La frontière entre curiosité légitime et atteinte aux droits d’autrui tient souvent à l’outil choisi et à l’usage qui suit la recherche. En France, le droit ne punit pas la curiosité en soi, mais il encadre fermement les moyens techniques employés et sanctionne toute exploitation non consentie des informations obtenues. Le cadre s’est encore resserré avec l’entrée en vigueur de l’AI Act, et les retours terrain montrent que les plaintes auprès de la CNIL sur ces sujets se multiplient.
