En France, des dizaines de courses à pied ont utilisé la reconnaissance faciale… en toute illégalité

C’est un sujet très sensible que vient d'aborder le quotidien Le Monde dans une enquête publiée aujourd’hui, mercredi 19 mars : le recours intrusif à des logiciels de reconnaissance faciale dans le cadre de 48 événements sportifs réputés, pour la plupart des trails et des marathons. Parmi eux, la SaintéLyon, le Trail du Saint-Jacques by UTMB, le semi-marathon de Nice ou encore le marathon de Toulouse. Une plainte a déjà été émise auprès de la Commission nationale de l’informatique et des libertés (CNIL) par un participant au semi-marathon de Montpellier, organisé le 6 avril 2024. Au cours des douze derniers mois, 320 000 personnes sont susceptibles d’avoir été soumises à ce dispositif sans y avoir légalement souscris. Des coureurs, mais aussi des personnes du public. Et de nombreux mineurs.

Quel coureur n’a pas un jour craqué pour une photo souvenir de sa compétition ? Pour pouvoir vous la proposer (et vous la vendre), les organisateurs ont longtemps associé manuellement le numéro de dossard du coureur à chaque photographie. Un système long et fastidieux, rendu archaïque par l’arrivée de l’Intelligence artificielle et de la reconnaissance faciale. Profitant de l’essor des événements outdoor, et tout particulièrement du boom de la course à pied en France, la société PhotoRunning s’est lancée sur ce juteux marché et propose désormais un procédé simplissime. Après la course, il vous suffit de soumettre la photo de votre visage sur le site de la société afin de vous procurer toutes les photos de l’événement sur lesquelles vous apparaissez. 

Une infraction au droit des données personnelles d’une ampleur inédite

Or, pour que cela fonctionne, tous les participants doivent être soumis à la reconnaissance faciale, une technologie sensible et strictement encadrée par la loi. Au total, ce procédé a été utilisé sur quarante-huit événements au cours des douze derniers mois et 320 000 personnes seraient concernées, révèle Le Monde qui, à l’issue de son enquête parue ce mercredi 19 mars, a pointé « plusieurs manquements au regard du RGPD, ce qui entraîne une collecte et un traitement illicites des données des participants ». 

« Depuis au moins un an, les visages de plusieurs centaines de milliers de Français ont été illégalement soumis à un système de reconnaissance faciale », écrit le quotidien. Par son ampleur, il s’agit très vraisemblablement de l’usage le plus important en France – dans l’espace public – de cette technologie particulièrement sensible et décriée. Les personnes concernées ont participé, en tant que coureurs ou simples spectateurs, à des événements publics, principalement des courses à pied. Parmi elles figurent des milliers de mineurs. » Et ce, alors que les données personnelles des mineurs sont particulièrement protégées par la loi.

Du semi-marathon de Nice à la SaintéLyon en passant par le Trail du Saint-Jacques by UTMB ou le cross du Figaro, on comprend que ce procédé est désormais largement répandu, sans que les organisateurs aient pris toujours conscience qu’ils étaient loin d'être dans les clous, malgré les précautions que la plupart ont prises.

Aucune mention de la reconnaissance faciale dans les règlements des courses

Le règlement général sur la protection des données (RGPD) interdit en effet par principe le recours à cette technologie très sensible dans ce contexte, sauf si les personnes concernées donnent leur consentement, explique au "Monde" Garance Mathias, avocate spécialisée dans le droit des données personnelles. Ce qui n’est pas le cas ici, contrairement à ce que pensent visiblement les organisateurs des courses concernées qui se pensent protégés par les clauses sur le droit à l’image figurant dans leur règlement. Or, aucun des 48 règlements étudiés ne mentionne la reconnaissance faciale qui, de surcroît s’applique ici à tous. Pas seulement aux coureurs, mais aussi au public, ce qui est plus inquiétant encore, souligne le quotidien.

Les failles du dispositif actuel ne s’arrêtent pas là. Les enquêteurs ont pu notamment constater que, contrairement à ce qui était avancé par PhotoRunning, ces données biométriques n’étaient pas détruites au bout de trente jours par cette société.

Dans ce contexte, une plainte a déjà été émise auprès de la Commission nationale de l’informatique et des libertés (CNIL) par un participant au semi-marathon de Montpellier, organisé le 6 avril 2024. L’affaire est en cours d'instruction. Nul doute que son issue sera suivie de près. Elle pourrait inspirer les milliers de personnes déjà concernées par les révélations de cette enquête. Et bien plus encore cette année, si la société PhotoRunning et ses clients persistent à ne pas respecter le cadre légal. En totale connaissance de cause, cette fois.