Votre visage, vos données : ce qu'on garde vraiment et ce qu'on détruit

Publié le 15 septembre 2026

Un visage, ce n'est pas une donnée comme une autre. C'est la seule chose qu'on ne peut pas changer si elle fuite. Voici ce que la loi impose, ce que la technique permet, et pourquoi la différence entre les deux devrait vous inquiéter un peu.

Une donnée biométrique n'est pas un mot de passe

Si votre mot de passe est piraté, vous en changez. Si votre visage est compromis, vous faites quoi ? Vous ne pouvez pas en racheter un neuf. C'est exactement pour cette raison que le règlement européen sur la protection des données, le RGPD, place les données biométriques dans une catégorie à part : l'article 9. Elles sont classées comme des données sensibles, au même titre que la santé ou les convictions religieuses.

Concrètement, ça veut dire qu'une entreprise n'a pas le droit de traiter une photo de votre visage à des fins d'identification comme elle traiterait votre adresse email. Il faut un consentement explicite, une finalité précise, et une raison sérieuse de garder cette donnée plus longtemps que nécessaire. La loi ne dit pas « interdit », elle dit « exigeant ».

Le problème, ce n'est pas la collecte, c'est la conservation

On a tendance à croire que le danger, c'est qu'une application demande une photo. En réalité, le vrai risque arrive après : qu'est-ce qui se passe une fois que la photo a rempli son rôle ? Est-ce qu'elle dort sur un serveur pendant des années, prête à être piratée un jour ou à être revendue ? Ou est-ce qu'elle disparaît dès qu'elle a servi ?

C'est la question qu'on devrait tous poser avant de scanner son visage sur n'importe quelle appli, y compris celles qu'on utilise pour se rencontrer, comme on l'expliquait dans notre article sur la vérification des profils. Une vérification qui garde vos données indéfiniment n'a de sérieux que le nom.

Ce qu'une conception sérieuse doit faire

Il existe une approche qu'on appelle la « privacy by design », la protection de la vie privée pensée dès la conception du produit, pas ajoutée après coup en réponse à un scandale. Sur le plan technique, ça se traduit par des choix précis et vérifiables.

D'abord, l'analyse doit se faire sur un scan vidéo court, avec des mouvements aléatoires demandés à la personne. Ça sert à prouver qu'il y a bien un être humain vivant devant la caméra, pas une photo volée ou une vidéo préenregistrée. Ensuite, une fois l'analyse terminée, la vidéo doit être détruite. Pas archivée « au cas où », pas conservée sur un serveur discret. Détruite.

Ce qui reste ensuite n'est pas votre visage, mais une signature chiffrée : une suite de données mathématiques qui permet de confirmer une concordance entre deux scans, sans qu'on puisse reconstituer votre photo à partir de cette signature. C'est la différence entre garder une clé et garder l'empreinte de la serrure.

Pourquoi la certification par concordance change tout

Le principe de la certification par concordance est simple à comprendre : on ne stocke pas votre visage, on stocke la preuve que deux scans correspondent à la même personne. C'est un peu comme un code de vérification à usage unique : il sert à confirmer quelque chose sur le moment, sans garder l'information brute derrière.

Cette approche répond à une question qu'on pose rarement, mais qui compte : à quoi ressemblerait une fuite de données dans le pire des cas ? Si ce qui fuite, ce sont des signatures chiffrées inexploitables sans la vidéo d'origine, déjà détruite, le dommage réel est proche de zéro. Si ce qui fuite, ce sont des photos et des vidéos stockées en clair, le dommage est irréversible.

Ce que vous avez le droit de demander

Le RGPD vous donne des droits concrets, et il ne faut pas hésiter à les faire valoir. Vous pouvez demander à une entreprise quelles données biométriques elle détient sur vous, pourquoi, pendant combien de temps, et exiger leur suppression. Une entreprise sérieuse doit pouvoir répondre à ces questions en une phrase claire, pas en trois pages de jargon juridique.

Un bon réflexe avant de confier son visage à une application : chercher la réponse à une seule question. « Que devient ma vidéo après l'analyse ? » Si la réponse est vague, floue, ou absente, c'est un signal. Si la réponse est « détruite immédiatement », c'est un signal inverse.

La confiance se prouve, elle ne se déclare pas

On a tous lu des politiques de confidentialité de dix pages qu'on ne comprend pas et qu'on accepte quand même en cochant une case. Ce n'est pas ça, la vraie protection. La vraie protection, c'est une architecture technique qui rend le pire scénario inoffensif, pas une promesse écrite dans un document qu'on ne relit jamais.

C'est le même esprit qui guide nos choix sur l'accès gratuit pour les femmes : des décisions qui se justifient par ce qu'elles protègent réellement, pas par ce qu'elles annoncent. Sur les données biométriques, la question à retenir est simple : est-ce qu'on vous demande de faire confiance, ou est-ce qu'on vous prouve que la confiance n'est même pas nécessaire, parce que la donnée sensible n'existe déjà plus une fois son travail fait ?