Lois sur la confidentialité des données biométriques par État aux États-Unis : définition
Aux États-Unis, les lois des États sur la confidentialité des données biométriques constituent un ensemble de textes législatifs et réglementaires qui définissent dans quels cas et à quelles conditions les données biométriques peuvent être collectées, traitées, conservées, divulguées ou supprimées. En pratique, il s’agit de données permettant de reconnaître une personne à partir de caractéristiques physiques ou comportementales, telles que la géométrie du visage, l’empreinte digitale, le scan de l’iris, l’empreinte vocale ou d’autres identifiants biométriques. Pour les équipes chargées de l’anonymisation de photos et d’enregistrements vidéo, le point essentiel est qu’un contenu visuel peut devenir une donnée biométrique non seulement parce qu’il montre un visage, mais surtout lorsque ce visage est utilisé pour identifier une personne ou pour extraire un « template », c’est-à-dire un gabarit biométrique mathématique.
Dans le contexte des photos et des vidéos, il convient de distinguer deux niveaux de traitement. Une simple image de visage n’est pas toujours considérée, au regard du droit des États, de la même manière qu’un identifiant biométrique. En revanche, l’extraction de caractéristiques faciales par un modèle de computer vision ou de deep learning afin de reconnaître une personne, de vérifier son identité ou de créer un gabarit de comparaison durable relève généralement de la zone de risque juridique la plus élevée. C’est pourquoi un système de floutage des visages devrait intervenir le plus tôt possible dans le pipeline de traitement de l’image et ne pas créer ni conserver de modèles biométriques si l’objectif métier ne l’exige pas.
Aux États-Unis, il n’existe pas d’équivalent national unique du RGPD pour la biométrie. Ce sont les lois des États qui jouent le rôle principal, avec des différences importantes en matière de définitions, d’exigences de consentement, de délais de conservation, d’obligations d’information et de possibilité d’action en justice par les particuliers.
Comment comprendre la biométrie dans l’anonymisation des photos et des enregistrements vidéo
Pour le délégué à la protection des données et les équipes conformité, la distinction la plus importante est celle entre détection et identification. La détection faciale sert à localiser la zone du visage dans l’image afin de la flouter. L’identification faciale vise à déterminer qui est la personne concernée. Cette distinction a une portée à la fois technique et juridique.
En pratique, le processus d’anonymisation d’un contenu visuel peut comprendre les étapes suivantes :
- détection d’objet : le modèle localise un visage ou une plaque d’immatriculation dans l’image,
- suivi inter-images : l’algorithme conserve la même zone d’une image à l’autre,
- masquage : le système applique un flou, une pixellisation ou un autre effet de dissimulation,
- contrôle qualité : un opérateur vérifie qu’aucun élément identifiable n’est resté visible.
Pour créer un modèle d’IA de détection des visages, il faut des données d’entraînement et une phase d’apprentissage du modèle, généralement fondée sur le deep learning. Cependant, un modèle utilisé uniquement pour détecter et flouter les visages n’a pas besoin d’identifier les personnes par leur nom et prénom. Cela réduit le risque réglementaire. Dans les environnements à risque élevé, une architecture privacy by design est recommandée : pas d’enregistrement d’embeddings faciaux, pas de fonction de reconnaissance d’identité, pas de réutilisation secondaire des données visuelles pour entraîner des modèles sans base juridique distincte.
Dans ce contexte, Gallio PRO permet l’anonymisation de photos et d’enregistrements grâce au floutage automatique des visages et des plaques d’immatriculation. Le logiciel n’effectue pas l’anonymisation de flux vidéo en temps réel et ne floute pas les silhouettes entières. Les autres éléments, comme des documents ou l’image affichée sur des écrans, peuvent être masqués manuellement dans l’éditeur.
Quels États américains disposent de règles biométriques spécifiques
Le paysage réglementaire américain est hétérogène. Certains États ont adopté des lois spécifiques consacrées à la biométrie, tandis que d’autres encadrent ce domaine dans le cadre plus large des lois sur la protection de la vie privée des consommateurs. Pour évaluer le risque, il faut analyser à la fois la loi biométrique au sens strict et les règles générales de l’État applicables aux données sensibles.
État
Texte juridique
Année
Portée pratique
Illinois
Biometric Information Privacy Act - BIPA
2008
Loi la plus restrictive. Exige une information préalable et un consentement écrit. Prévoit un droit d’action privé.
Texas
Capture or Use of Biometric Identifier Act - CUBI
2009
Encadre la collecte d’identifiants biométriques à des fins commerciales. Application par l’Attorney General ; absence de droit d’action privé de portée générale.
Washington
H.B. 1493 / RCW 19.375
2017
Encadre l’enrollment et l’utilisation d’identifiants biométriques à des fins commerciales. Mécanisme d’exécution plus limité que la BIPA.
Californie
CCPA/CPRA
2018/2020
La biométrie entre dans la définition des personal information et, dans certains cas, des sensitive personal information. Obligations d’information importantes et droits d’accès/suppression.
Virginie, Colorado, Connecticut, Utah, Montana, Oregon, Delaware et autres
Lois des États sur la protection de la vie privée des consommateurs
2021-2025
Ces lois qualifient souvent la biométrie de donnée sensible et imposent un consentement opt-in ou une transparence renforcée, mais leur portée et leurs exceptions varient selon les États.
À l’horizon 2025, la tendance est nette : le nombre de lois augmente et la biométrie est de plus en plus souvent isolée comme catégorie de données sensibles. Le risque contentieux le plus élevé demeure en Illinois, en raison d’une jurisprudence abondante et du nombre important de recours collectifs.
Principales différences entre les États
Les différences ne se limitent pas à la seule définition de la biométrie. Les obligations opérationnelles sont tout aussi importantes. Ce sont elles qui déterminent si un workflow concret de traitement vidéo est conforme au droit d’un État donné.
- Champ de la définition - certaines lois se concentrent sur les « biometric identifiers », d’autres couvrent également les « biometric information » ou les données générées à partir de caractéristiques biologiques servant à l’identification.
- Consentement - l’Illinois exige un consentement écrit préalable avant toute collecte ou obtention de données biométriques. D’autres États prévoient des mécanismes moins formels.
- Conservation et suppression - la BIPA impose une politique publique de conservation et de destruction des données, en principe dès que la finalité est atteinte ou dans un délai de 3 ans après la dernière interaction, selon l’échéance la plus proche.
- Exécution - la différence la plus importante concerne le droit à une action individuelle. En Illinois, il existe un private right of action. Dans de nombreux autres États, l’application de la loi relève principalement de l’autorité de l’État.
- Vente et divulgation - certaines lois interdisent expressément la vente de données biométriques ou leur divulgation sans respecter des conditions précises.
Paramètres de conformité pour les systèmes d’anonymisation vidéo
Lors de l’évaluation d’un système de floutage des visages, il faut tenir compte non seulement du contenu de la loi, mais aussi des caractéristiques techniques du processus. Dans une logique de conformité, il est utile de documenter les paramètres montrant que le système a pour finalité l’anonymisation, et non la reconnaissance des personnes.
Paramètre
Portée juridique et opérationnelle
Recall de détection faciale
Plus le recall est élevé, plus le risque de laisser un visage non flouté est faible. Cette mesure doit être effectuée sur un jeu de données de validation.
Taux de faux négatifs
Un visage non détecté signifie un risque de divulgation de données personnelles ou d’un contenu permettant une identification ultérieure.
Conservation des fichiers sources
Elle doit être limitée au strict minimum compatible avec la finalité du traitement et avec la politique de l’organisation.
Enregistrement des embeddings
Si le système enregistre des modèles faciaux, le risque de qualification en traitement de données biométriques à des fins d’identification augmente.
Traitement on-premise
Il peut limiter les transferts de données et leur communication à des tiers, sans pour autant exonérer des obligations légales.
Piste d’audit sans données personnelles
Les logs doivent documenter les opérations système sans conserver de données biométriques supplémentaires.
En pratique, le modèle le plus sûr est celui dans lequel le système détecte le visage, applique un masque et ne conserve aucun gabarit biométrique une fois la tâche terminée. Ce type d’architecture réduit l’exposition aux exigences des lois des États.
Tendance législative et conséquences pratiques pour les organisations
L’orientation des évolutions aux États-Unis est cohérente. Les législateurs des États considèrent de plus en plus la biométrie comme une catégorie nécessitant une protection renforcée, en particulier lorsque les données sont utilisées par l’IA à des fins de profilage ou d’identification. Parallèlement, les décisions des juridictions des États et des juridictions fédérales prennent une importance croissante en ce qui concerne le préjudice, le consentement et l’étendue de la responsabilité du responsable du traitement et du fournisseur de technologie.
Pour les organisations qui travaillent sur des photos et des enregistrements, cela implique plusieurs conclusions pratiques :
- il faut déterminer dans quels États se trouvent les personnes visibles dans le contenu ou les utilisateurs du service,
- il convient de distinguer le simple traitement d’image de la création d’identifiants biométriques,
- il est recommandé de mettre en œuvre une minimisation des données, avec floutage des visages et des plaques le plus tôt possible,
- il faut disposer d’une politique de conservation, de suppression et de gestion des demandes des personnes concernées,
- une analyse des contrats avec les fournisseurs d’IA est nécessaire si le modèle ou le service enregistre des caractéristiques faciales.
Références normatives et sources
Les textes ci-dessous constituent la base pour vérifier les définitions et les obligations. Lors d’un déploiement, il est recommandé de vérifier la version en vigueur des dispositions ainsi que la jurisprudence la plus récente.
- Illinois Biometric Information Privacy Act, 740 ILCS 14, 2008.
- Texas Business and Commerce Code, Sec. 503.001 - Capture or Use of Biometric Identifier, 2009.
- Washington H.B. 1493, codified primarily at RCW 19.375, 2017.
- California Consumer Privacy Act - Cal. Civ. Code § 1798.100 et suivants, modifié par la CPRA.
- National Conference of State Legislatures - synthèse des lois des États sur la biométrie et la protection de la vie privée, mises à jour 2024-2025.
Voir aussi
- Anonymisation des données
- Floutage des visages
- Protection de la vie privée
- IA et protection des données