Payer avec son visage : ce qui change quand la clé, c'est vous

La tentation est de n'y voir qu'une nouvelle de produit. Ce n'en est pas une. Un visage utilisé pour reconnaître une personne déterminée n'est pas une photographie : c'est une donnée biométrique aux fins d'identifier de manière unique une personne physique, et le RGPD la range parmi les catégories particulières de l'art. 9, § 1. Conséquence pratique : une base de l'art. 6 ne suffit pas, il faut aussi une condition de l'art. 9, § 2, et dans le commerce de détail celle qui est réellement disponible est unique, le consentement explicite du a).

S'ouvre alors la vraie question, qui ne concerne pas Revolut mais quiconque voudra copier le modèle. Le consentement vaut s'il est libre, et libre signifie que celui qui refuse ne perd rien. Tant qu'une caisse ordinaire jouxte la caisse biométrique, la condition tient. Dès lors que le visage devient le seul moyen de payer, ou celui qui évite la file quand l'autre non, le consentement cesse d'être une base juridique pour devenir une formalité recueillie sous pression.

• Un identifiant compromis ne se change pas. Une carte se bloque, un mot de passe se réécrit, un visage non. C'est la raison pour laquelle l'art. 9 traite ces données autrement, et non un excès de prudence.
• L'analyse d'impact n'est pas facultative : traitement à grande échelle de catégories particulières, art. 35, § 3, point b).
• Retirer son consentement doit être aussi simple qu'adhérer, et le retrait doit produire un effet vérifiable, pas seulement une case qui change d'état.
• Il faut toujours une alternative effective, au même prix et avec le même confort, faute de quoi le consentement n'est pas libre.

Pour le DPO d'un commerce à qui l'on propose un tel système, la question à poser au fournisseur avant toute autre est qui décide de quoi. Si le fournisseur fixe les finalités et les moyens et que la boutique se borne à héberger le terminal, la boutique n'est pas responsable de ce traitement ; mais elle reste responsable du choix de l'installer dans ses locaux, et elle doit informer ceux qui entrent, garantir l'alternative et savoir où aboutissent les images. « Ce n'est pas nous qui conservons les données » répond au où, pas au qui, et les deux sont confondus sans cesse.

Côté européen, les cadres s'additionnent, ils ne se remplacent pas. Le règlement sur l'intelligence artificielle n'interdit pas la vérification un à un réalisée avec le consentement de la personne — l'interdiction vise l'identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives — mais il range tout de même les systèmes biométriques parmi ceux qui sont encadrés, avec des obligations propres qui s'ajoutent au RGPD sans l'absorber. Des expériences comparables ont déjà eu lieu dans l'Union : Mastercard et PayEye avaient testé le paiement biométrique dans cinq magasins Empik en Pologne en juin 2024.

Ce qu'il faut en retenir, concrètement. Si un client demande un avis sur une caisse qui reconnaît les visages, quatre choses doivent être écrites avant toutes les autres : la condition de l'art. 9, § 2, sur laquelle on s'appuie ; l'analyse d'impact, menée avant et non après l'installation ; les durées de conservation distinctes du gabarit biométrique et de toute image conservée en secours ; et l'alternative non biométrique, décrite de façon qu'on voie que nul n'est désavantagé en la choisissant. Sans ces quatre éléments, la plus belle des notices décrit un traitement dépourvu de base solide.