Illinois BIPA (Biometric Information Privacy Act) : définition
L’Illinois BIPA est une loi de l’État de l’Illinois qui encadre la collecte, le stockage, la divulgation et la destruction des données biométriques. Son intitulé complet est Biometric Information Privacy Act. Cette loi a été adoptée en 2008 sous la référence Illinois Public Act 095-0994 et est principalement codifiée au 740 ILCS 14. En pratique, elle est considérée comme l’une des lois sur les données biométriques les plus strictes aux États-Unis, car elle impose un consentement écrit préalable, des obligations d’information, une politique de conservation des données ainsi qu’un droit d’action privé pour les personnes concernées.
Dans le contexte des photos et des vidéos, la BIPA devient pertinente lorsqu’une image sert, ou peut servir, à créer un identifiant biométrique, par exemple un modèle mathématique du visage utilisé pour la reconnaissance ou la vérification d’identité. Une simple photographie n’est, en principe, pas un « biometric identifier » au sens de la BIPA. En revanche, l’extraction de caractéristiques faciales à partir d’une image et leur conversion en gabarit biométrique peuvent relever de la loi. Cette distinction est essentielle pour les systèmes d’IA utilisés dans l’analyse d’images, l’entraînement de modèles de deep learning et le floutage automatique des visages.
Champ d’application de la loi BIPA dans le traitement des photos et des vidéos
La BIPA distingue plusieurs catégories conceptuelles. Pour les équipes conformité et les DPO, il est essentiel de différencier une image ordinaire des données issues d’une analyse biométrique de l’image. C’est précisément ce moment de transformation technique d’un contenu visuel en caractéristiques servant à identifier une personne qui crée le principal risque réglementaire.
La loi définit notamment l’identifiant biométrique et l’information biométrique. En pratique, ces définitions légales sont interprétées de manière large, en particulier par les tribunaux de l’Illinois.
- Biometric identifier - comprend notamment un scan de la main, une empreinte digitale, la géométrie faciale ainsi qu’un scan de la rétine ou de l’iris.
- Biometric information - toute information, quel que soit son mode d’obtention, de conversion, de stockage ou de partage, fondée sur un identifiant biométrique d’une personne et utilisée pour identifier cette personne.
- Exclusion - une photographie, en tant que telle, n’entre pas dans la définition de l’identifiant biométrique, mais les données extraites d’une photographie peuvent, elles, être soumises à la loi.
Pour l’anonymisation d’images, cela signifie qu’un outil servant uniquement à détecter un visage et à le flouter n’implique pas automatiquement l’utilisation de données biométriques au sens de la BIPA, dès lors qu’il ne crée ni ne conserve de modèle destiné à identifier une personne. La situation est différente lorsque le système compare des visages entre plusieurs enregistrements, attribue une identité, effectue un matching 1:1 ou 1:N, ou constitue des profils persistants de personnes.
Obligations légales au titre de la BIPA
L’élément central de la BIPA est le modèle « notice + written consent » avant toute collecte ou obtention de données biométriques. Les obligations ne se limitent pas au seul consentement. La loi exige également une gestion formelle du cycle de vie des données.
- informer la personne par écrit que son identifiant biométrique ou ses informations biométriques sont collectés ou stockés,
- indiquer la finalité précise et la durée du traitement,
- obtenir un consentement écrit ou une décharge écrite,
- élaborer une politique publique de conservation et de suppression définitive des données,
- interdire la vente, la location, le commerce ou toute forme de profit tiré des données biométriques,
- limiter la divulgation à des tiers, sauf lorsqu’un fondement légal l’autorise,
- appliquer un niveau de protection raisonnable, au moins équivalent à celui utilisé pour les autres données sensibles.
Conformément au 740 ILCS 14/15, les données doivent être détruites lorsque la finalité du traitement est atteinte ou dans un délai de 3 ans à compter de la dernière interaction entre la personne et l’entité privée, selon l’événement qui survient en premier. Il s’agit de l’un des rares délais de conservation aussi précis dans les réglementations américaines sur la vie privée.
Importance de la BIPA pour le floutage des visages et l’entraînement des modèles d’IA
En pratique, il convient de distinguer deux étapes techniques. La première consiste à détecter un objet dans une image, par exemple un visage ou une plaque d’immatriculation. La seconde consiste à identifier une personne à partir de caractéristiques biométriques. La BIPA concerne surtout cette deuxième étape, mais les contentieux montrent que la frontière n’est pas toujours évidente et dépend de l’architecture du système ainsi que de la manière dont les données intermédiaires sont conservées.
Pour créer un modèle d’IA efficace de floutage des visages, on utilise généralement le deep learning et des jeux de données d’entraînement contenant des visages annotés par des cadres, des points caractéristiques ou des masques de segmentation. Le simple entraînement d’un modèle de détection n’implique pas nécessairement l’utilisation d’identifiants biométriques si l’objectif est de localiser un visage dans l’image et non d’établir l’identité d’une personne déterminée. Le risque augmente lorsque le pipeline technique comprend :
- le face embedding, c’est-à-dire une représentation vectorielle des caractéristiques faciales utilisée pour distinguer ou identifier une personne,
- la comparaison de similarité des visages entre photos et vidéos,
- la création d’une galerie de référence de personnes,
- le rapprochement de données visuelles avec d’autres identifiants d’utilisateur.
Dans les environnements de conformité, il est plus sûr de concevoir le processus d’anonymisation de manière à ce que le système ne crée pas de modèles d’identification persistants, ne conserve pas les embeddings plus longtemps que nécessaire et n’utilise pas la détection faciale pour reconnaître une personne. Dans ce modèle, la finalité est la rédaction visuelle de l’image, et non l’identification biométrique.
Sanctions et contentieux au titre de la BIPA
La BIPA prévoit un droit d’action privé. C’est la raison principale pour laquelle cette loi revêt une importance opérationnelle aussi forte. Elle prévoit des dommages-intérêts forfaitaires en cas de violation, indépendamment de la démonstration d’un préjudice patrimonial au sens classique.
Type de violation
Montant de l’indemnisation légale
Base juridique
Violation par négligence
1 000 USD par violation ou dommage réel
740 ILCS 14/20
Violation intentionnelle ou gravement négligente
5 000 USD par violation ou dommage réel
740 ILCS 14/20
Dans l’affaire Rosenbach v. Six Flags (Cour suprême de l’Illinois, 2019), la juridiction a confirmé qu’une personne peut agir en justice sur le seul fondement de la violation des obligations légales, sans avoir à démontrer un préjudice supplémentaire. Dans l’affaire Cothron v. White Castle (Cour suprême de l’Illinois, 2023), le tribunal a jugé qu’un droit à indemnisation peut naître à chaque collecte ou transmission distincte de données biométriques. Cela a considérablement accru le risque financier dans les traitements de masse. Par la suite, le législateur de l’Illinois a limité l’accumulation des demandes, en prévoyant en principe une seule réclamation par personne pour les violations liées à la collecte et une seule par personne pour les violations liées à la divulgation ou à la transmission des données.
Paramètres clés pour évaluer le risque BIPA dans les systèmes vidéo
Dans une analyse de conformité, il ne suffit pas de répondre à la question de savoir si le système « utilise l’IA ». Il faut décrire quels artefacts de données sont générés et s’ils peuvent servir à identifier une personne. Pour les systèmes d’analyse d’images, la liste de contrôle suivante peut être utile.
- Finalité du traitement - détection en vue du floutage ou identification d’une personne.
- Type de données intermédiaires - bounding box, points caractéristiques, embedding, template.
- Conservation - durée de stockage des images, modèles, journaux et caractéristiques intermédiaires.
- Possibilité de réidentification - matching 1:1, 1:N, seuil de similarité, base de référence.
- Sécurité - chiffrement, contrôle d’accès, séparation des environnements, audit des accès.
- Échelle des opérations - nombre de personnes, nombre d’événements d’extraction, fréquence des scans.
D’un point de vue technique, il est utile de documenter au minimum : l’architecture du pipeline, les points de génération des caractéristiques faciales, la durée de conservation chiffrée en jours, les taux d’erreur de détection ainsi que la présence éventuelle, dans les journaux, de données permettant d’identifier une personne. Ces informations sont nécessaires pour l’analyse des risques et pour répondre aux questions du service juridique ou d’un auditeur.
Contexte pratique pour l’anonymisation des photos et des enregistrements vidéo
Lors de la publication de contenus visuels, l’objectif principal est généralement de réduire le risque d’atteinte à la vie privée en floutant les visages et les plaques d’immatriculation. Dans un tel scénario, il convient de minimiser le volume de données et d’éviter les fonctions de reconnaissance d’identité lorsqu’elles ne sont pas indispensables. Cette approche est cohérente à la fois avec le privacy by design et avec la réduction de l’exposition au risque BIPA.
En pratique, cela signifie qu’il faut privilégier les solutions qui détectent automatiquement les visages et les plaques d’immatriculation uniquement aux fins d’anonymisation du contenu. Si d’autres éléments de l’image doivent être masqués, ils devraient être traités manuellement dans l’éditeur, sans étendre le périmètre de l’analyse automatisée à d’autres catégories d’objets et sans créer de profils d’identification supplémentaires.
Références normatives et sources
L’interprétation doit reposer avant tout sur le texte de loi et la jurisprudence, et non sur des sources secondaires. Dans les projets de conformité, il est utile de se référer aux sources suivantes :
- Illinois Biometric Information Privacy Act, 740 ILCS 14, version en vigueur.
- Illinois Public Act 095-0994, année d’adoption 2008.
- Rosenbach v. Six Flags Entertainment Corp., 2019 IL 123186.
- Cothron v. White Castle System, Inc., 2023 IL 128004.
- Public Act 103-0769, modifications relatives au calcul des dommages-intérêts légaux.
- FTC - documents relatifs aux pratiques de sécurité des données et au privacy by design en tant que contexte opérationnel complémentaire.
Voir aussi
- Anonymisation des données
- Floutage des visages
- Sécurité des données
- IA et protection des données