rgpd

Vidéosurveillance en ville : où se situe la limite avec votre vie privée ?

L’image captée par une caméra installée sur la voie publique est-elle une donnée personnelle ? Cette question, qui pourrait sembler d’ordre purement technique, engage en réalité les fondements mêmes du droit de la protection des données et conditionne l’ensemble du régime juridique applicable aux dispositifs de vidéosurveillance urbaine.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire et un avocat enverra une lettre de mise en demeure !

Car si la réponse est affirmative — et elle l’est, dans la très grande majorité des configurations pratiques —, alors la caméra de rue n’est pas un simple équipement sécuritaire : elle est un instrument de traitement de données personnelles, soumis à toutes les exigences du Règlement général sur la protection des données (RGPD), applicable depuis le 25 mai 2018, et susceptible à ce titre d’engager la responsabilité juridique du responsable du traitement qui ne respecterait pas ses obligations.

Cette qualification est d’autant plus décisive que la prolifération des dispositifs de captation d’images dans l’espace public a atteint, en France comme dans l’ensemble de l’Union européenne, une densité sans précédent. Plus de 80 000 caméras de vidéoprotection seraient déployées sur la voie publique française, auxquelles s’ajoutent des millions de dispositifs privés dont les champs de vision débordent fréquemment sur des espaces communs.

Dans ce contexte, la neutralité technique de la caméra — longtemps présentée comme un simple œil mécanique enregistrant objectivement la réalité de la rue — ne peut plus être admise sans examen. L’enregistrement d’une personne identifiable dans l’espace public constitue une opération de collecte de données personnelles au sens de l’article 4 du RGPD, et cette collecte engage l’ensemble de la chaîne d’obligations pesant sur le responsable du traitement : identification d’une base légale valide, respect des principes de finalité déterminée, de minimisation des données, de limitation de la conservation et de sécurité du traitement.

Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

La Commission nationale de l’informatique et des libertés (CNIL), autorité administrative indépendante chargée de veiller au respect du droit de la protection des données en France, a développé au fil des années une doctrine substantielle sur la vidéosurveillance, articulée autour des grands principes du RGPD. Ses lignes directrices, délibérations et décisions de sanction témoignent d’une exigence croissante à l’égard des responsables de traitement, qu’il s’agisse de collectivités territoriales, de gestionnaires de transports en commun, d’opérateurs de centres commerciaux ou de particuliers. Mais cette doctrine, aussi élaborée soit-elle, se heurte à la réalité d’un terrain où les obligations juridiques sont fréquemment méconnues ou contournées, et où la légitimité d’un dispositif de surveillance est souvent appréciée à l’aune de sa seule utilité sécuritaire, sans considération pour les droits des personnes filmées.

La Cour européenne des droits de l’homme avait pourtant, dès l’arrêt Peck contre Royaume-Uni du 28 janvier 2003, posé un principe essentiel : la présence d’une personne dans l’espace public n’emporte pas renonciation à toute protection de sa vie privée au sens de l’article 8 de la Convention européenne des droits de l’homme.

La diffusion d’images captées par une caméra publique sans le consentement de la personne filmée peut constituer une ingérence dans sa vie privée, sauf à justifier cette ingérence par une base légale suffisante, une finalité légitime et une nécessité démonstrative dans une société démocratique. Ce triptyque — légalité, légitimité, nécessité — constitue la matrice de tout contrôle de proportionnalité en matière de surveillance, et il s’applique avec la même rigueur à la vidéosurveillance classique et aux nouveaux dispositifs d’analyse algorithmique.

C’est précisément sur ce second terrain que la matière a connu ses développements les plus significatifs et les plus préoccupants. L’émergence des caméras dites augmentées, qui ne se bornent plus à enregistrer des images mais les analysent en temps réel pour détecter des comportements, qualifier des situations et déclencher des alertes, opère une mutation qualitative du dispositif de surveillance.

La loi n° 2023-380 du 19 mai 2023 relative aux Jeux olympiques et paralympiques de 2024 a ouvert, à titre expérimental, la voie à de tels traitements algorithmiques sur la voie publique française.

Le Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle (AI Act), entré en vigueur le 2 août 2024, est venu compléter ce dispositif en posant des interdictions et des obligations renforcées pour les systèmes d’IA employés à des fins de surveillance dans les espaces accessibles au public, reconnaissant ainsi que la surveillance algorithmique de masse constitue un risque systémique pour les libertés fondamentales en Europe.

L’objet du présent article est d’examiner avec rigueur les fondements et les limites du cadre juridique applicable à la vidéosurveillance urbaine, en partant de la qualification juridique comme données personnelles des images captées dans l’espace public (I), pour analyser ensuite les régimes renforcés applicables aux dispositifs algorithmiques et les enjeux inédits qu’ils soulèvent pour la préservation des libertés fondamentales dans la cité numérique (II).

I. La vidéosurveillance urbaine saisie par le droit des données personnelles : qualification et régime juridique applicable

A. L’image de la personne filmée dans l’espace public comme donnée personnelle : fondements textuels, jurisprudentiels et doctrinaux de la qualification

La première question est celle de la qualification juridique. Une caméra installée sur la voie publique ou dans un lieu ouvert au public produit-elle nécessairement des données personnelles soumises au RGPD ? La réponse est nuancée mais, dans la grande majorité des configurations pratiques, affirmative.

Aux termes de l’article 4 du RGPD, constitue une donnée personnelle « toute information se rapportant à une personne physique identifiée ou identifiable ». Est identifiable « une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».

L’image d’une personne filmée dans la rue entre aisément dans ce champ dès lors qu’elle permet d’identifier cette personne, soit directement par reconnaissance du visage, soit indirectement par recoupement avec d’autres informations telles que la localisation, l’horaire, la plaque d’immatriculation d’un véhicule ou le contexte du déplacement.

Le Comité européen de la protection des données (CEPD) a consacré ses lignes directrices 3/2019 sur le traitement des données personnelles par dispositifs vidéo à cette question. Il y précise que les images de personnes physiques captées par un dispositif vidéo constituent des données personnelles lorsqu’elles permettent l’identification de ces personnes et que le RGPD s’applique pleinement à de tels traitements. Le CEPD insiste par ailleurs sur le fait que, même lorsque le but initial d’un dispositif est uniquement statistique ou technique — comptage de personnes, mesure des flux — la captation d’images identifiables crée un risque de requalification ultérieure et doit être traitée avec les mêmes précautions que tout autre traitement de données personnelles.

La CNIL, dans sa fiche pratique consacrée à la vidéoprotection, distingue soigneusement les dispositifs de vidéoprotection au sens du Code de la sécurité intérieure — qui filment la voie publique et relèvent d’un régime d’autorisation préfectorale — des dispositifs de vidéosurveillance au sens du RGPD, qui traitent des données personnelles et relèvent du régime général de protection des données. Cette distinction est importante car elle montre que les deux corps de règles ne sont pas exclusifs l’un de l’autre : un dispositif peut simultanément être soumis au régime d’autorisation préfectorale et aux exigences du RGPD dès lors qu’il collecte des images de personnes identifiables.

La Cour européenne des droits de l’homme a posé des fondements essentiels dans sa jurisprudence. Dans l’affaire Peck contre Royaume-Uni, la Cour a jugé que le fait pour une personne d’être filmée dans la rue à un moment de vulnérabilité personnelle, puis que ces images soient diffusées à un large public sans son consentement, constituait une violation de l’article 8 de la Convention. La Cour a ainsi affirmé avec clarté que « la voie publique n’est pas un espace libre de droit » et que la personne qui circule dans la rue ne renonce pas, du seul fait de sa présence dans un espace visible, à toute protection de sa vie privée. Ce principe jurisprudentiel est capital : il interdit de traiter la caméra de rue comme un dispositif juridiquement indifférent.

Sur le plan doctrinal, le philosophe et sociologue David Lyon a montré que la surveillance moderne ne consiste pas simplement à observer des comportements, mais à collecter systématiquement des informations sur les individus afin de les classer, de les évaluer et, éventuellement, de les gouverner. Kevin D. Haggerty et Richard V. Ericson ont décrit la surveillance contemporaine comme un « assemblage surveillant » dans lequel des fragments d’informations extraits de contextes différents sont recombinés pour produire une représentation opérationnelle des personnes.

Daniel J. Solove a, quant à lui, élaboré une taxonomie des atteintes à la vie privée qui souligne que la simple collecte et l’agrégation d’informations peuvent constituer une atteinte grave à la vie privée, même en l’absence de divulgation ou d’usage ultérieur préjudiciable.

La rupture essentielle entre le regard humain et l’enregistrement technique mérite d’être soulignée avec force. Voir quelqu’un dans la rue et l’enregistrer ne sont pas des actes juridiquement équivalents. Le regard humain est fugitif et s’efface dans la mémoire ; la caméra conserve, archive et rend l’information mobilisable à tout moment.

Le passant qui croise une personne dans la rue l’oublie ; le système de vidéosurveillance en conserve la trace pour une durée déterminée, parfois longue, accessible à des agents habilités, potentiellement transmissible à des autorités judiciaires et, dans les systèmes les plus sophistiqués, susceptible d’être analysée automatiquement. La caméra transforme ainsi une présence ordinaire dans l’espace public en trace exploitable, ce qui justifie pleinement l’application du droit de la protection des données.

La qualification de traitement de données personnelles emporte des conséquences majeures : le responsable du traitement doit identifier une base légale valide parmi celles énumérées par l’article 6 du RGPD, informer les personnes concernées de l’existence du traitement, de sa finalité et de leurs droits, limiter la collecte aux données strictement nécessaires, encadrer la durée de conservation des images, garantir la sécurité du système et maintenir un registre des traitements. Ces obligations, qui s’imposent à tout responsable de traitement, constituent le socle juridique indérogeable de tout dispositif de vidéosurveillance légitime.

B. Les obligations du responsable de traitement : bases légales, finalités, proportionnalité et droits des personnes concernées

La question de la légitimité d’un dispositif de vidéosurveillance ne se réduit pas à l’identification d’une base légale formelle. Elle exige une appréciation substantielle fondée sur les principes de finalité déterminée, de nécessité démontrée, de proportionnalité spatiale et temporelle et de transparence effective à l’égard des personnes concernées.

Le principe de finalité, consacré par l’article 5, paragraphe 1, sous b), du RGPD, exige que les données soient collectées pour des finalités déterminées, explicites et légitimes. Appliqué à la vidéosurveillance, ce principe interdit le déploiement de caméras à des fins vagues, génériques ou indéfinies. Dire qu’une caméra est installée pour « assurer la sécurité » sans préciser de quel type de risque il s’agit, dans quel périmètre, selon quels critères et avec quelles garanties pour les personnes filmées, ne constitue pas une finalité suffisamment déterminée au sens du RGPD. La CNIL insiste sur ce point : la finalité doit être documentée, précise et opposable.

Le Code de la sécurité intérieure, en son article L251-2, énumère les finalités pour lesquelles des systèmes de vidéoprotection peuvent filmer la voie publique : protection des bâtiments et installations publics et de leurs abords, sauvegarde des installations utiles à la défense nationale, régulation des flux de transport, prévention des atteintes à la sécurité des personnes et des biens dans des lieux exposés à des risques d’agression ou de vol, prévention et constatation des infractions terroristes, et constatation de certaines infractions routières. Cette énumération limitative montre que la caméra de voie publique n’est pas un instrument à vocation universelle : elle ne peut être légalement déployée qu’en correspondance avec une finalité expressément prévue par la loi.

Le principe de nécessité impose une démonstration positive : il ne suffit pas qu’une caméra soit utile ou techniquement possible ; il faut établir qu’elle répond à un besoin réel et qu’aucune mesure moins intrusive ne permet d’atteindre le même objectif de manière raisonnablement équivalente. La CNIL invite ainsi les responsables de traitement à se demander si des alternatives moins attentatoires à la vie privée — meilleur éclairage, présence humaine renforcée, contrôle d’accès, sécurisation matérielle — ne permettraient pas d’atteindre le même niveau de sécurité. Ce test de nécessité est exigeant et souvent négligé dans les faits, au profit d’un pragmatisme sécuritaire qui tend à voir dans la caméra une solution universelle et peu coûteuse.

La proportionnalité spatiale est également un critère décisif. L’orientation de la caméra doit être rigoureusement limitée à l’espace correspondant à la finalité déclarée. Filmer l’entrée d’un immeuble n’autorise pas à capter les fenêtres des appartements voisins, les balcons, la voie publique ou les véhicules stationnés. La CNIL rappelle ainsi qu’un particulier peut installer une caméra pour surveiller sa propriété, mais que celle-ci ne peut filmer la voie publique, les entrées d’immeubles voisins ou les espaces communs. Ce principe exprime une règle fondamentale : la sécurité privée ne justifie pas l’appropriation visuelle de l’espace partagé.

La proportionnalité temporelle impose une limitation stricte de la durée de conservation des images. Plus cette durée est longue, plus le risque de détournement d’usage, d’accès non autorisé ou d’exploitation secondaire est élevé. Le RGPD, en son article 5, paragraphe 1, sous e), pose le principe de limitation de la conservation : les données ne doivent pas être conservées plus longtemps que nécessaire au regard des finalités poursuivies. En matière de vidéosurveillance, la CNIL recommande généralement une durée de conservation maximale d’un mois pour les images de voie publique en l’absence d’incident signalé, durée pouvant être réduite à quelques jours dans de nombreux cas. Au-delà de cette durée, la conservation doit être spécialement justifiée.

La transparence constitue enfin une condition de loyauté à l’égard des personnes concernées. L’article 13 du RGPD impose d’informer les personnes concernées de l’identité du responsable du traitement, de la finalité et de la base légale du traitement, de la durée de conservation, de l’existence de leurs droits d’accès, de rectification, d’effacement, de limitation et d’opposition, ainsi que de la possibilité de saisir la CNIL en cas de difficulté. Un simple pictogramme de caméra posé sur une vitre ne satisfait pas à cette obligation d’information complète. Des mentions d’information accessibles, claires et compréhensibles doivent être affichées à l’entrée des zones filmées.

La jurisprudence européenne offre des repères précieux pour l’appréciation de la proportionnalité. Dans l’affaire López Ribalda et autres contre Espagne, la Grande Chambre de la Cour européenne des droits de l’homme a examiné la compatibilité d’un dispositif de vidéosurveillance occulte mis en place par un employeur avec l’article 8 de la Convention. Elle a admis, dans des circonstances très particulières caractérisées par l’existence de soupçons sérieux et précis de vol, que la surveillance cachée pendant une durée limitée pouvait ne pas violer la Convention, dès lors qu’un contrôle judiciaire effectif permettait d’apprécier ex post la proportionnalité de la mesure. Mais la Cour a pris soin de souligner que cette décision ne consacre aucune liberté générale de surveiller : elle confirme au contraire que la légitimité d’un dispositif dépend du contexte précis, de la gravité du motif, de l’étendue de la surveillance, de sa durée et des garanties offertes aux personnes.

Le Conseil d’État français a tracé des limites importantes dans ses ordonnances du 18 mai 2020 et du 22 décembre 2020, rendues à la suite de recours de l’association La Quadrature du Net. Saisi de la question de la légalité de la captation d’images par drones au-dessus de manifestations publiques, le Conseil d’État a jugé que la surveillance de personnes identifiables dans l’espace public par des dispositifs aéroportés supposait une base juridique précise, une finalité déterminée et des garanties suffisantes pour les personnes filmées. À défaut, l’usage de ces dispositifs était illégal. Ce raisonnement est directement transposable à l’ensemble des dispositifs de vidéosurveillance : la technologie ne crée pas le droit de surveiller.

L’analyse d’impact relative à la protection des données (AIPD), prévue par l’article 35 du RGPD, constitue un outil indispensable pour les dispositifs de vidéosurveillance susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques. Elle oblige le responsable du traitement à évaluer systématiquement les risques liés au traitement et à documenter les mesures prises pour y remédier. La CNIL a précisé que les dispositifs couvrant de vastes espaces publics, interceptant en continu des données relatives à un grand nombre de personnes non averties ou comportant des capacités d’analyse automatisée doivent en principe faire l’objet d’une AIPD préalable à leur mise en œuvre.

II. Les dispositifs algorithmiques d’analyse d’image : rupture qualitative et encadrement renforcé

A. La loi du 19 mai 2023 et l’expérimentation des caméras augmentées : portée, limites et risques pour les libertés fondamentales

Le déploiement de caméras dotées de capacités d’analyse algorithmique automatisée dans l’espace public constitue une rupture qualitative majeure par rapport à la vidéosurveillance classique. Alors que la caméra traditionnelle se borne à enregistrer et à stocker des images, qui ne sont consultées qu’a posteriori et uniquement par des agents habilités, la caméra augmentée analyse en temps réel les flux vidéo pour détecter automatiquement des événements prédéfinis, qualifier des comportements et générer des alertes. Le passage de l’enregistrement passif à l’interprétation algorithmique active transforme fondamentalement la nature du traitement et le niveau de risque pour les libertés fondamentales.

La CNIL a défini les caméras augmentées comme « des dispositifs vidéo auxquels sont ajoutés des traitements algorithmiques d’analyse automatisée d’images », précisant qu’elles peuvent détecter des comportements, des mouvements, des objets ou des situations sans nécessairement identifier les individus filmés. Cette définition inclusive est importante : elle reconnaît que l’analyse algorithmique constitue un traitement de données personnelles distinct et supplémentaire par rapport à la simple captation, même lorsque les individus ne sont pas formellement identifiés, dès lors que leur comportement fait l’objet d’une qualification automatisée.

La loi n°2023-380 du 19 mai 2023 relative aux Jeux olympiques et paralympiques de 2024, en son article 10, a ouvert la voie à une expérimentation inédite en droit français.

Elle a autorisé, à titre temporaire et expérimental, le recours à des systèmes de traitement algorithmique d’images collectées par des systèmes de vidéoprotection ou des caméras installées sur des aéronefs aux fins de détecter en temps réel certains événements prédéterminés susceptibles de présenter ou de révéler des risques. Cette autorisation est encadrée par des conditions strictes : les finalités autorisées sont limitativement énumérées, les systèmes doivent être déclarés à la CNIL préalablement à leur mise en œuvre, ils ne peuvent procéder à aucune identification biométrique, et des garanties procédurales et techniques précises doivent être respectées.

Le décret n°2023-828 du 28 août 2023 a précisé les modalités de mise en œuvre de cette expérimentation. Il définit les catégories d’événements dont la détection est autorisée — mouvements de foule, présence d’objets abandonnés, franchissement de zones, situations de non-respect de la direction de circulation — et précise les garanties techniques et organisationnelles devant entourer leur traitement. Il prévoit notamment que les systèmes doivent faire l’objet d’une évaluation préalable par la CNIL et que les résultats des analyses algorithmiques ne peuvent en aucun cas servir de base directe et exclusive à des décisions administratives ou judiciaires affectant les personnes détectées.

Le Conseil constitutionnel, saisi de la conformité de cette disposition à la Constitution, a rendu sa décision n°2023-850 DC le 17 mai 2023. Il a validé l’essentiel du dispositif, en soulignant son caractère expérimental et limité dans le temps, l’interdiction absolue de toute identification biométrique, la finalité strictement définie des événements déclectables et l’existence de garanties de contrôle. Il a également précisé que le législateur devrait évaluer les résultats de cette expérimentation avant de décider d’une éventuelle généralisation, imposant ainsi une logique de proportionnalité dynamique : le maintien ou l’extension du dispositif est conditionné à la démonstration de son utilité et de sa nécessité effective.

Cette expérimentation française soulève néanmoins des questions de fond qui demeurent ouvertes. La définition des événements délectables repose sur des paramètres algorithmiques qui ne sont pas publics, ce qui rend difficile tout contrôle démocratique sur les critères de détection. La notion de « comportement atypique » ou de « mouvement de foule » est fondamentalement ambiguë et culturellement indexée : ce qui est perçu comme anormal par un algorithme entraîné sur certains corpus de données peut correspondre à des pratiques sociales ordinaires pour certaines communautés. Le risque de biais discriminatoire dans les systèmes d’analyse comportementale est documenté par la recherche scientifique et reconnu par les autorités de contrôle européennes.

La Commission nationale consultative des droits de l’homme (CNCDH) a émis un avis critique sur cette expérimentation, soulignant le risque d’une normalisation progressive de la surveillance algorithmique de l’espace public et appelant à une vigilance accrue quant au risque d’effet dissuasif sur l’exercice des libertés fondamentales — liberté de manifestation, liberté d’association, liberté de mouvement — que peut produire un environnement urbain densément surveillé et algorithmiquement analysé.

L’association La Quadrature du Net, pionnière dans le contentieux relatif à la surveillance numérique, a formé un recours devant le Conseil d’État contre les textes d’application de l’expérimentation olympique, contestant notamment l’insuffisance des garanties entourant le fonctionnement des algorithmes et l’absence de transparence sur les taux d’erreur des systèmes utilisés. Ce contentieux illustre le rôle croissant des organisations de la société civile dans la régulation effective de la surveillance technologique, face aux insuffisances des mécanismes de contrôle institutionnels.

B. L’AI Act et la Convention-cadre du Conseil de l’Europe : vers un corpus normatif européen et international de la surveillance intelligente

L’entrée en vigueur du Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle marque une étape décisive dans la construction d’un régime juridique européen de l’intelligence artificielle appliquée à la surveillance. Ce règlement, fondé sur une approche par les risques, distingue les systèmes d’IA interdits, les systèmes à haut risque soumis à des obligations renforcées et les systèmes à risque limité ou minimal bénéficiant d’un régime allégé.

Son article 5 énumère les pratiques d’IA dont l’utilisation est absolument interdite, au motif qu’elles sont incompatibles avec les valeurs fondamentales de l’Union européenne. Parmi ces interdictions figure, dans des termes d’une extrême sévérité, le recours à des systèmes d’identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives. Seules des dérogations strictement encadrées sont admises, en cas de recherche d’une victime spécifique, de prévention d’une menace terroriste grave et imminente ou de localisation d’un suspect dans le cadre d’une infraction pénale particulièrement grave. Ces dérogations sont soumises à autorisation judiciaire préalable, à des critères de nécessité et de proportionnalité, et à un contrôle a posteriori obligatoire.

Cette interdiction de principe de la reconnaissance faciale de masse dans l’espace public constitue l’un des apports les plus significatifs de l’AI Act pour la protection des libertés fondamentales en Europe. Elle prend acte du risque systémique que représente la possibilité d’identifier automatiquement toute personne circulant dans un espace public : un tel dispositif permettrait théoriquement de reconstituer en temps réel les déplacements, les fréquentations, les habitudes et les activités de millions de personnes, créant ainsi une infrastructure de surveillance totale incompatible avec les exigences d’une société démocratique.

Les systèmes d’IA utilisés pour l’évaluation des risques ou la prédiction des comportements individuels, ainsi que les systèmes d’analyse comportementale dans des espaces publics, sont classés parmi les systèmes à haut risque en vertu de l’Annexe III de l’AI Act. Ils sont soumis à des obligations substantielles : documentation technique complète et mise à jour, enregistrement automatique des opérations permettant un audit a posteriori, transparence accrue à l’égard des personnes concernées, supervision humaine effective, précision, robustesse et cybersécurité garanties, et conformité aux exigences fondamentales avant la mise sur le marché.

Les autorités de surveillance désignées par chaque État membre pour l’application de l’AI Act devront coordonner leur action avec les autorités de protection des données, créant ainsi un réseau de contrôle croisé entre les régimes issus du RGPD et de l’AI Act. Cette articulation institutionnelle est essentielle pour éviter les angles morts réglementaires que des responsables de traitement peu scrupuleux pourraient tenter d’exploiter en se prévalant alternativement de l’un ou de l’autre régime.

Sur le plan international, la Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle, les droits de l’homme, la démocratie et l’État de droit, ouverte à la signature le 5 septembre 2024, constitue le premier instrument juridique contraignant sur l’IA au niveau mondial. Elle s’applique aux activités du cycle de vie des systèmes d’IA qui présentent des risques pour les droits de l’homme, la démocratie et l’État de droit, réalisées par des Parties ou des acteurs privés agissant en leur nom. Elle impose aux États parties d’adopter les mesures législatives ou autres nécessaires pour s’assurer que les activités liées aux systèmes d’IA sont compatibles avec les obligations relatives aux droits de l’homme et ne portent pas atteinte aux institutions et aux processus démocratiques.

La convention prévoit des garanties spécifiques pour les personnes affectées par des systèmes d’IA : droit à une procédure régulière, droit à des recours effectifs, interdiction des décisions entièrement automatisées qui auraient des effets juridiques significatifs sans supervision humaine adéquate. Ces principes s’appliquent directement aux systèmes de vidéosurveillance algorithmique dans la mesure où ceux-ci sont susceptibles de conduire à des décisions opérationnelles affectant concrètement les personnes détectées — interpellation, contrôle d’identité, refus d’accès, signalement à des autorités.

La réflexion doctrinale sur les risques psycho-juridiques de la surveillance algorithmique de l’espace public mérite d’être prise au sérieux. Michel Foucault avait montré, dans sa célèbre analyse du panoptique de Bentham, que la surveillance agit moins par l’observation effective que par l’intériorisation de la possibilité d’être observé : l’individu placé sous le regard potentiel d’un surveillant modifie spontanément son comportement pour se conformer aux normes attendues. Dans la ville algorithmiquement surveillée, ce mécanisme prend une dimension nouvelle : l’individu ne sait pas s’il est simplement filmé, enregistré, identifié ou automatiquement qualifié comme suspect. Cette incertitude produit un effet dissuasif sur l’exercice des libertés fondamentales que le droit doit prendre en compte.

Shoshana Zuboff a analysé, dans son ouvrage fondateur sur le capitalisme de surveillance, les logiques d’extraction, de prédiction et de modification des comportements qui caractérisent les économies numériques contemporaines. Même si son analyse vise principalement les plateformes numériques commerciales, elle éclaire le risque inhérent à la surveillance algorithmique de l’espace public : lorsque les comportements humains dans la rue deviennent systématiquement captables, analysables et prédictibles, la frontière entre sécurité publique, gestion sociale et gouvernement algorithmique des comportements devient extrêmement fragile.

Le droit de la protection des données impose en outre, pour tout dispositif de vidéosurveillance augmentée, la mise en œuvre effective du principe de protection des données dès la conception (privacy by design) et par défaut (privacy by default), consacré par l’article 25 du RGPD. Ce principe exige que les paramètres techniques des systèmes soient réglés, dès leur conception, de manière à minimiser la collecte de données, à réduire au maximum l’angle de captation, à ne conserver que les images strictement nécessaires, à chiffrer les flux vidéo, à journaliser tous les accès et à automatiser la suppression des enregistrements à l’expiration de la durée de conservation autorisée. La sécurité par défaut s’oppose à la surveillance par défaut.

En définitive, le droit européen et français dessine progressivement un corpus normatif cohérent pour encadrer la vidéosurveillance algorithmique de l’espace public. Ce corpus repose sur quatre piliers : le RGPD et ses exigences de licéité, de finalité, de nécessité, de proportionnalité et de transparence ; le Code de la sécurité intérieure et ses régimes d’autorisation spécifiques pour la vidéoprotection de la voie publique ; l’AI Act et ses interdictions et obligations renforcées pour les systèmes d’IA à haut risque ; et la Convention-cadre du Conseil de l’Europe sur l’IA, qui inscrit ces exigences dans une perspective internationale de protection des droits fondamentaux. La complémentarité de ces instruments constitue une force mais aussi une source potentielle de complexité qui nécessitera un effort constant d’articulation et d’interprétation cohérente de la part des autorités compétentes.

Pour lire une version plus complète de cet article sur la video surveillance en ville, cliquez

Sources :

  1. Règlement – 2016/679 – EN – rgdp – EUR-Lex
  2. Particulier | CNIL
  3. CEDH, Cour (quatrième section), AFFAIRE PECK c. ROYAUME-UNI, 28 janvier 2003, 44647/98 | Doctrine
  4. La Convention européenne des droits de l’homme (version intégrale) – Manuel pour la pratique de l’éducation aux droits de l’homme avec les jeunes
  5. Règlement – UE – 2024/1689 – EN – EUR-Lex
  6. La vidéoprotection | CNIL
  7. (PDF) L’Assemblage de la Surveillante
  8. « Une taxonomie de la vie privée » par Daniel J. Solove
  9. Article L251-2 – Code de la sécurité intérieure – Légifrance
  10. CEDH, AFFAIRE LÓPEZ RIBALDA ET AUTRES c. ESPAGNE, 2019, 001-197095
  11. LOI n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions (1) – Légifrance
  12. Décision n° 2023-850 DC du 17 mai 2023 | Conseil constitutionnel

Par • internet-et-droit • • Tags: , , , , , ,

Testament numérique et IA : qui décide de votre identité après votre décès ?

La mort, longtemps conçue comme le terme absolu de la personnalité juridique, n’efface plus aujourd’hui l’existence sociale de l’individu.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire et un avocat enverra une lettre de mise en demeure !

À l’heure où l’intelligence artificielle générative est capable de cloner une voix à partir de quelques secondes d’enregistrement, de reproduire un style littéraire sur la base d’un corpus textuel ou de synthétiser le visage animé d’un défunt en une séquence vidéo d’une fidélité troublante, la question de ce qu’il advient du double numérique d’une personne après sa mort — ou même de son vivant — s’impose avec une acuité inédite au juriste.

Ce phénomène n’est pas une simple curiosité technologique : il touche au cœur même de la notion de dignité humaine, telle qu’elle est consacrée aux articles 16 et suivants du Code civil, et au principe fondamental selon lequel nul ne peut être instrumentalisé ou réduit à la condition d’objet, même par les moyens les plus sophistiqués du génie humain. L’individu n’est plus seulement un sujet de chair périssable ; il est aussi un agrégat de données, de traces vocales, d’images et de comportements modélisables, susceptibles d’être perpétués, exploités ou détournés bien au-delà de son dernier souffle. La dignité, entendue dans sa dimension la plus exigeante, postule que cette survie numérique ne saurait être abandonnée au seul arbitre des opérateurs économiques ou des algorithmes.

C’est sur ce fondement philosophique et constitutionnel que repose l’idée du testament technologique. Par cet acte solennel de volonté anticipée, tout individu pourrait décider, de son vivant, du sort réservé à son identité numérique — voix synthétique, image animée, personnalité conversationnelle, style littéraire ou artistique — tant après sa mort que face aux usages contemporains non consentis. La loi « Informatique et Libertés » du 6 janvier 1978, dans sa version modifiée par la loi pour une République numérique du 7 octobre 2016, a ouvert une première brèche en ce sens en permettant, à son article 85, à toute personne de formuler des directives générales ou particulières relatives au sort de ses données personnelles après sa mort. Mais cette première avancée, aussi méritoire soit-elle, s’avère radicalement insuffisante à l’aune des bouleversements opérés par les systèmes d’intelligence artificielle générative de nouvelle génération.

Besoin de l’aide d’un avocat pour un problème de données personnelles ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

La notion d’autodétermination informationnelle, dégagée par la jurisprudence constitutionnelle allemande dès l’arrêt du Bundesverfassungsgericht du 15 décembre 1983 sur le recensement de la population — Volkszählungsurteil —, et progressivement assimilée dans l’ordre européen par la Cour de justice de l’Union européenne, commande que chaque personne soit en mesure d’exercer un contrôle effectif sur la collecte, l’usage et la représentation de ses propres données, y compris sous la forme de simulacres numériques. Ce droit à l’autodétermination numérique, dont le RGPD constitue la traduction législative la plus aboutie pour les personnes vivantes, se heurte à une double lacune : d’une part, l’exclusion des personnes décédées du champ d’application ratione personae du règlement ; d’autre part, l’absence de tout droit subjectif préventif opposable à la reproduction artificielle de la personnalité d’une personne vivante hors des cas expressément prévus par la loi.

L’entrée en vigueur du Règlement européen sur l’intelligence artificielle — l’AI Act, publié au Journal officiel de l’Union européenne le 12 juillet 2024 — marque certes une étape décisive dans l’encadrement des systèmes d’IA générative, en imposant notamment aux fournisseurs des obligations de transparence renforcées et des mécanismes de détection des contenus synthétiques. Mais l’AI Act demeure fondamentalement un instrument de régulation des acteurs économiques — il n’institue pas, en faveur des personnes physiques, un droit subjectif à l’intégrité de leur identité numérique opposable erga omnes. C’est précisément cet interstice normatif que le testament technologique se propose de combler, en construisant, à partir des principes généraux du droit de la personnalité et de l’héritage de la tradition testamentaire civiliste, un régime cohérent de souveraineté de l’individu sur son double numérique.

La réalité des atteintes actuelles est à la mesure de l’ambition de la réforme nécessaire. Le monde de la création artistique a été le premier à en mesurer les effets : des albums « posthumes » attribués à Amy Winehouse ou à Tupac Shakur ont été produits grâce à des modèles de clonage vocal, sans l’accord exprès des ayants droit ; en France, la voix de Barbara a été reconstituée par des outils de synthèse pour animer des projets commémoratifs dont la légitimité juridique reste sujette à caution. Des expériences analogues, moins visibles mais tout aussi préoccupantes, se multiplient dans les sphères privées, politiques et commerciales : doubles numériques de personnalités publiques déployés pour diffuser des prises de position fictives, agents conversationnels simulant la personnalité d’un individu disparu à destination de ses proches en deuil, avatars de salariés générés par leur employeur pour automatiser leur correspondance professionnelle. Ces usages interrogent, avec une acuité croissante, les fondements mêmes du droit de la personnalité dans sa rencontre avec la puissance algorithmique.

La réflexion juridique se déploie ainsi selon un double registre, commandé par la distinction entre l’existence et l’après-existence de la personne physique. Il convient d’examiner, en premier lieu, les fondements théoriques et normatifs d’un droit à l’autodétermination de l’identité numérique, dont les assises existent déjà en droit positif mais restent insuffisamment articulées pour faire face aux défis actuels (I). Il importe, en second lieu, d’en proposer les instruments juridiques concrets, à travers l’institution du testament technologique et la mise en place d’un régime de responsabilité systémique garantissant l’effectivité de la volonté individuelle face aux opérateurs de l’intelligence artificielle (II).

I. Les fondements d’un droit à l’autodétermination de l’identité numérique : de la dignité humaine à la personnalité virtuelle

L’identité numérique d’un individu se compose d’une pluralité de strates — données déclaratives, traces comportementales, productions expressives, empreinte vocale, apparence physique — dont l’agrégation forme un double virtuel dont l’exploitation soulève des enjeux fondamentaux de liberté et de dignité. Avant d’envisager les instruments positifs aptes à protéger ce double, il convient d’en analyser les fondements juridiques (A), puis d’en mesurer les insuffisances au regard des mutations technologiques actuelles (B).

A. Les ancrages constitutionnels et conventionnels du droit à l’intégrité de l’identité numérique : dignité, vie privée et droit à l’image face aux technologies génératives

Le premier fondement du droit à l’autodétermination du double numérique réside dans la protection constitutionnelle et conventionnelle de la vie privée. En droit français, l’article 9 du Code civil consacre le droit au respect de la vie privée comme un attribut fondamental de la personnalité, dont la violation ouvre droit à réparation sans qu’il soit nécessaire de démontrer un préjudice spécifique.

Cet article, interprété de manière extensive par la jurisprudence, a permis de reconnaître le droit à l’image comme un prolongement naturel du droit à la vie privée : toute personne dispose d’un droit exclusif sur son image et peut s’opposer à sa diffusion non consentie, indépendamment de tout préjudice matériel. Ce droit a été affirmé avec constance par la Cour de cassation et par la Cour européenne des droits de l’homme sur le fondement de l’article 8 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales.

En matière de données personnelles, le Règlement général sur la protection des données (RGPD), applicable depuis le 25 mai 2018, constitue le second pilier de cette architecture protectrice. Il consacre notamment le principe de la minimisation des données, celui du consentement éclairé préalable au traitement, et le droit à l’effacement ou « droit à l’oubli » en son article 17. Ces garanties fondamentales constituent, par leur logique même, un terreau favorable à l’émergence d’un droit à l’autodétermination numérique : si un individu peut exiger la suppression de ses données de son vivant, il est cohérent qu’il puisse également déterminer leur sort après sa mort. Or, le RGPD exclut expressément les personnes décédées de son champ d’application ratione personae, renvoyant aux droits nationaux le soin de combler cette lacune.

En France, c’est la loi Informatique et Libertés, en son article 85 — introduit par la loi République numérique de 2016 —, qui a partiellement comblé ce vide en permettant à toute personne de laisser des directives relatives à la conservation, à la suppression ou à la communication de ses données après son décès.

Le droit de la propriété intellectuelle constitue un troisième fondement, d’une portée particulièrement significative pour le sujet qui nous occupe. L’article L. 121-1 du Code de la propriété intellectuelle dispose que l’auteur jouit, sa vie durant, du droit au respect de son nom, de sa qualité et de son œuvre, et que ce droit est perpétuel, inaliénable et imprescriptible, transmissible aux héritiers après la mort.

Ce droit moral, qui est l’un des traits distinctifs du système français de droit d’auteur par rapport aux traditions anglophones du copyright, offre théoriquement un rempart contre la dénaturation de l’œuvre d’un auteur défunt. En pratique, cependant, son efficacité est limitée lorsqu’il s’agit de productions d’IA : un modèle entraîné sur l’ensemble des romans de Simone de Beauvoir et générant de nouveaux textes « à la manière de » l’auteure ne contrefait pas une œuvre déterminée — il imite un style, qui n’est pas protégeable en tant que tel. C’est précisément ce point aveugle que le testament technologique entend combler, en conférant à l’individu le droit d’interdire ou d’autoriser, par une manifestation de volonté anticipée, tout usage de ses productions comme corpus d’entraînement pour un système d’IA générative.

La notion de personnalité numérique — encore peu stabilisée en doctrine — émerge précisément à l’intersection de ces différents régimes. Elle désigne l’ensemble des attributs numériques qui, pris individuellement ou collectivement, permettent d’identifier, de caractériser ou d’imiter une personne : sa voix, ses traits physiques, ses habitudes de langage, son style expressif, ses positions intellectuelles récurrentes, voire ses schémas comportementaux modélisés par des algorithmes d’apprentissage. La protection de cette personnalité numérique s’inscrit dans le prolongement direct du principe de dignité humaine, consacré par les articles 16 et suivants du Code civil, et par la loi de bioéthique du 2 août 2021, dont la vocation à s’étendre au domaine numérique est aujourd’hui défendue par une doctrine croissante.

La personnalité n’est pas réductible au corps biologique ; elle englobe désormais ses extensions numériques.

Le Parlement européen, dans sa résolution du 20 octobre 2020 sur les droits de propriété intellectuelle pour le développement des technologies liées à l’intelligence artificielle, a appelé à une réflexion approfondie sur le statut juridique des créations générées par IA et sur les droits des personnes dont les données servent à entraîner ces systèmes.

Si cette résolution non contraignante ne crée pas de droit subjectif, elle témoigne d’une prise de conscience institutionnelle croissante quant à la nécessité d’adapter le cadre normatif européen aux défis posés par l’IA générative pour l’intégrité de la personnalité individuelle.

B. Les limites structurelles du droit positif existant : fragmentation des protections, exclusion des personnes décédées et absence de droit subjectif préventif à l’intégrité de la personnalité numérique

Si les fondements normatifs d’une protection de la personnalité numérique existent en germe, leur effectivité face aux technologies actuelles de reproduction de l’identité est gravement insuffisante. Cette insuffisance se manifeste à trois niveaux : l’inadaptation du cadre juridique à la mort numérique, l’absence de droit subjectif à l’intégrité de la personnalité numérique du vivant de la personne, et les lacunes du régime de responsabilité applicable aux opérateurs d’IA.

S’agissant tout d’abord de la mort numérique, le droit positif français ne connaît pas de régime général de succession numérique. La loi du 7 octobre 2016 et son article 63 ont certes introduit le dispositif des directives post mortem dans la loi Informatique et Libertés, mais ce dispositif présente trois limites majeures.

En premier lieu, il ne vise que les données personnelles au sens du RGPD — excluant ainsi de son champ les attributs de la personnalité qui ne relèvent pas techniquement de cette catégorie (style littéraire, empreinte vocale utilisée pour entraîner un modèle, personnalité simulée dans un système conversationnel).

En deuxième lieu, les directives laissées par le défunt n’ont pas, en droit positif, la force contraignante d’un acte testamentaire : elles ne lient pas les responsables de traitement au sens où un légataire est lié par les termes d’un testament, et leur opposabilité aux plateformes étrangères reste pratiquement difficile à assurer.

En troisième lieu, ces directives ne peuvent actuellement porter que sur les données elles-mêmes — suppression, conservation, accès par les proches — et non sur l’usage d’un modèle entraîné sur ces données pour générer de nouveaux contenus.

La CNIL a certes élaboré un guide pratique relatif aux droits des personnes décédées, mais il s’agit d’une recommandation de bonne pratique, dépourvue de valeur normative contraignante, et qui ne saurait tenir lieu de régime législatif. La Commission reconnaît elle-même que le droit existant ne permet pas de répondre aux enjeux posés par les IA génératives qui utilisent les données de personnes décédées comme matériau d’entraînement.

S’agissant ensuite de la protection de la personnalité numérique du vivant de la personne, les lacunes sont tout aussi préoccupantes. Le Code pénal incrimine le montage numérique non consenti à l’article 226-8, et la loi SREN du 21 mai 2024 a étendu cette incrimination aux deepfakes à caractère sexuel et à visée électorale. Mais ces dispositions pénales, de par leur nature, ne peuvent intervenir qu’a posteriori, ne couvrent que des usages spécifiques (sexuel, électoral), et ne permettent pas à la personne concernée de délivrer ou de retirer son consentement de manière préventive et généralisée. De même, l’article 9-1 du Code civil protège la présomption d’innocence et l’image judiciaire d’une personne, mais sa portée est étrangère aux usages ordinaires d’un double numérique dans le commerce ou le divertissement.

L’AI Act apporte, il est vrai, des obligations nouvelles de transparence pour les fournisseurs de systèmes d’IA générative, notamment l’obligation d’indiquer que les contenus ont été générés par une IA et de mettre en place des mécanismes de détection des deepfakes (art. 50).

Mais ces obligations de transparence ne confèrent pas un droit subjectif à l’individu dont la personnalité est reproduite. Elles sont des obligations à la charge des fournisseurs de systèmes d’IA, et non des droits opposables par les personnes physiques. La proposition de directive européenne sur la responsabilité civile en matière d’IA, présentée par la Commission en octobre 2022, améliore certes les règles de preuve en cas de dommage causé par un système d’IA, mais elle ne crée pas davantage de droit préventif à l’intégrité de la personnalité numérique.

Enfin, la question de la responsabilité civile de droit commun — fondée sur l’article 1240 du Code civil — reste la voie de recours principale pour les victimes de reproductions non consenties de leur personnalité numérique. Mais elle présente des limites structurelles considérables : il faut démontrer une faute, un préjudice et un lien de causalité, dans un contexte technique souvent opaque où l’identification du responsable (développeur du modèle, opérateur de la plateforme, utilisateur final) est malaisée.

Le droit à la reproduction exclusive de l’œuvre protégé par l’article L. 122-4 du Code de la propriété intellectuelle peut certes être invoqué lorsqu’une œuvre identifiable est reproduite sans autorisation. Mais, encore une fois, le style et la personnalité n’étant pas protégeables en tant que tels, le droit d’auteur laisse sans réponse l’essentiel des atteintes à l’identité numérique commises par des systèmes d’IA générative. C’est précisément l’objet du titre suivant que de proposer les instruments juridiques de nature à combler ces lacunes.

II. Le testament technologique et son régime de garantie : instruments juridiques d’une souveraineté numérique effective

Face aux insuffisances du droit existant, la construction d’un régime juridique cohérent de protection de l’identité numérique appelle deux séries de mesures complémentaires. La première concerne l’institution d’un acte de volonté juridiquement opposable — le testament technologique — permettant à chaque individu d’exercer de son vivant sa souveraineté sur son double numérique, pour la période antérieure comme postérieure à son décès (A). La seconde concerne la mise en place d’un régime de responsabilité renforcé et d’un contrôle effectif par les autorités de régulation, permettant de sanctionner les atteintes à l’identité numérique et d’assurer l’effectivité des volontés exprimées (B).

A. L’architecture du testament technologique : contenu, forme, opposabilité et mandataire numérique comme acte de volonté anticipée sur l’identité posthume et vivante

L’idée du testament technologique s’inspire de la logique testamentaire du Code civil, dont les articles 895 et suivants définissent le testament comme « un acte par lequel le testateur dispose, pour le temps où il n’existera plus, de tout ou partie de ses biens et droits ». Transposée au domaine numérique, cette logique conduit à concevoir un acte solennel — établi de son vivant, révocable à tout moment, et déposé auprès d’un tiers de confiance ou d’un registre national sécurisé — par lequel toute personne exprime ses volontés quant à l’usage de son identité numérique, tant après sa mort que, le cas échéant, de son vivant.

Le champ d’application de cet acte serait défini de manière extensive pour couvrir l’ensemble des attributs constitutifs de la personnalité numérique : la voix synthétique — c’est-à-dire la reconstitution informatique d’une voix à partir d’enregistrements réels — ; l’image animée ou statique, incluant les avatars et représentations photographiques ou vidéographiques générées par IA ; le style littéraire, artistique ou intellectuel, entendu comme l’ensemble des caractéristiques stylistiques identifiables dans les productions d’une personne ; et enfin la personnalité conversationnelle, c’est-à-dire la simulation du comportement, des opinions et des réponses d’une personne dans le cadre d’un agent conversationnel ou d’un chatbot. Ces quatre dimensions constituent ensemble le double numérique dont le testament technologique entend réguler l’usage.

Sur le plan du contenu, le testament technologique permettrait à son auteur d’exercer trois types de choix. Il pourrait, premièrement, interdire expressément toute reproduction de l’un ou de l’ensemble de ces attributs, que ce soit à des fins commerciales, artistiques, éducatives ou autres. L’interdiction serait opposable de plein droit à tout responsable de traitement ou fournisseur de système d’IA qui aurait eu connaissance de cet acte, sans que la victime ait à démontrer une faute au sens classique de l’article 1240 du Code civil. Il pourrait, deuxièmement, autoriser certains usages de manière précise et limitée — par exemple, autoriser ses héritiers à utiliser sa voix pour animer un documentaire commémoratif, ou autoriser un éditeur à faire compléter un roman inachevé par une IA entraînée sur ses textes, sous réserve d’une mention explicite de l’usage de l’IA.

Il pourrait, troisièmement, déléguer à un mandataire numérique le soin d’apprécier, au cas par cas, l’opportunité des usages qui seraient soumis à son approbation — ce mandataire étant soumis à une obligation de fidélité aux volontés connues ou présumées de l’intéressé, analogue à celle du tuteur dans le respect de la personne protégée.

La forme de cet acte devrait être encadrée par la loi afin d’en garantir l’authenticité et l’opposabilité. Plusieurs options sont envisageables. L’acte authentique notarié, sur le modèle du testament notarié prévu par l’article 971 du Code civil, offrirait la sécurité juridique maximale et permettrait une conservation centralisée par le Conseil supérieur du notariat. L’acte sous seing privé, déposé auprès d’un registre national des volontés numériques tenu par une autorité administrative indépendante — la CNIL ou un organisme dédié —, offrirait une voie plus accessible et moins coûteuse. Une solution hybride, combinant une déclaration numérique sécurisée sur une plateforme d’État (France Connect, FranceNum) avec une confirmation notariée optionnelle, permettrait de concilier accessibilité et sécurité.

La question de l’opposabilité aux tiers est centrale. Pour qu’un testament technologique soit efficace, il ne suffit pas qu’il exprime une volonté : encore faut-il que les opérateurs de plateformes numériques, les développeurs de modèles d’IA et les studios de production soient juridiquement tenus d’en respecter le contenu. Cela suppose l’instauration d’une obligation de vérification préalable : avant d’utiliser la voix, l’image ou les œuvres d’une personne identifiée comme matériau d’entraînement ou comme support de génération, tout fournisseur de système d’IA serait tenu de consulter un registre national des volontés numériques et de s’assurer que l’usage envisagé ne contrevient pas aux directives de l’intéressé. Cette obligation de diligence — inspirée du principe de privacy by design consacré par l’article 25 du RGPD — serait sanctionnée par une responsabilité civile aggravée, indépendante de la démonstration d’une faute intentionnelle.

La directive européenne sur le droit d’auteur dans le marché numérique unique (directive DAMUN) du 17 avril 2019 offre un précédent utile : son article 4 prévoit une exception aux droits exclusifs pour la fouille de textes et de données (text and data mining), mais réservée aux recherches scientifiques, et son article 3 permet aux titulaires de droits de réserver expressément leurs droits en matière d’extraction pour les usages commerciaux. Le testament technologique pourrait s’inscrire dans ce cadre en constituant la modalité d’expression de cette réserve pour les attributs de la personnalité qui ne relèvent pas formellement du droit d’auteur — voix, image, style non protégé — mais qui méritent néanmoins une protection de la même nature.

Concernant plus spécifiquement la reproduction de la personnalité du vivant de l’intéressé, le testament technologique devrait également pouvoir servir de fondement à un droit d’opposition préventif : la faculté pour toute personne physique, agissant de son vivant, de s’opposer à la création, à l’entraînement ou à l’exploitation de tout système d’IA destiné à simuler sa personnalité, sa voix ou son image, sans avoir à justifier d’un préjudice déjà subi.

Ce droit d’opposition préventif constituerait une déclinaison du droit à l’image et du droit à la vie privée dans le contexte des technologies génératives, et serait actionnable en référé devant le juge civil, permettant d’obtenir en urgence une mesure d’interdiction ou de retrait assortie d’une astreinte.

B. Le régime de responsabilité systémique et les garanties d’effectivité : responsabilité sans faute, pouvoirs renforcés de la CNIL et articulation avec l’AI Act et le droit pénal

L’institution d’un testament technologique ne sera efficace que si elle s’accompagne d’un régime de responsabilité adapté et de garanties d’effectivité robustes. Le droit de la responsabilité civile de droit commun, fondé sur l’article 1240 du Code civil, est insuffisant en l’état : la preuve de la faute, du préjudice et du lien de causalité se heurte à des obstacles pratiques considérables dans un contexte où les chaînes de traitement des données impliquent une multiplicité d’acteurs et où la reproduction d’une personnalité numérique peut être réalisée de manière automatisée et à grande échelle sans intervention humaine directe identifiable.

La réforme nécessaire s’articule autour de trois axes. Le premier est la création d’un régime de responsabilité sans faute pour les fournisseurs de systèmes d’IA qui reproduisent la personnalité d’une personne physique sans avoir vérifié l’existence de directives opposables dans le registre national des volontés numériques. Ce régime s’inspirerait de la responsabilité du fait des produits défectueux (articles 1245 et suivants du Code civil) : dès lors qu’un système d’IA génère du contenu identifiable comme reproduisant la voix, l’image ou la personnalité d’une personne déterminée, la responsabilité du fournisseur serait engagée de plein droit, sauf à démontrer qu’il a effectivement consulté le registre et que l’usage était autorisé. La proposition de directive européenne sur la responsabilité en matière d’IA constitue un premier pas dans cette direction, mais elle demeure insuffisante car elle ne consacre pas expressément un droit à l’intégrité de la personnalité numérique.

Le deuxième axe concerne le renforcement des pouvoirs de la CNIL. L’autorité de contrôle française est aujourd’hui compétente pour sanctionner les violations du RGPD, mais son mandat ne s’étend pas expressément à la protection de la personnalité numérique au sens large. Dans le cadre du testament technologique, il conviendrait d’attribuer à la CNIL une compétence explicite pour : recevoir et centraliser les directives post mortem numériques ; contrôler la conformité des systèmes d’IA générative avec les obligations de vérification préalable ; et prononcer des sanctions administratives — pouvant aller jusqu’à 4 % du chiffre d’affaires mondial annuel, sur le modèle de l’article 83 du RGPD — à l’encontre des opérateurs qui ne respecteraient pas les directives enregistrées.

Le troisième axe est la consécration d’un droit au déréférencement numérique posthume, distinct du droit à l’oubli consacré par l’article 17 du RGPD. Alors que le droit à l’oubli porte sur la suppression de données brutes, le déréférencement numérique posthume viserait les outputs d’IA : les contenus générés — vidéos, enregistrements vocaux, textes — qui reproduisent la personnalité d’un défunt contrairment à ses directives devraient pouvoir être retirés à la demande des ayants droit ou d’un mandataire numérique désigné, dans un délai court et sous peine d’astreinte judiciaire. Ce droit serait opposable non seulement aux plateformes qui hébergent ces contenus, mais également aux fournisseurs de systèmes d’IA qui les ont générés, qui seraient tenus de supprimer ou de désactiver le modèle correspondant dans la mesure nécessaire.

La question de l’articulation avec le droit pénal mérite également d’être approfondie. La loi SREN du 21 mai 2024 a renforcé le dispositif répressif applicable aux deepfakes en insérant dans le Code pénal des dispositions spécifiques. Ces dispositions pénales doivent être coordonnées avec le régime civil du testament technologique : la violation d’un testament technologique enregistré pourrait ainsi constituer une circonstance aggravante de l’infraction de montage numérique non consenti prévue à l’article 226-8 du Code pénal, ou fonder une infraction autonome de violation de volontés numériques analogue à la violation de sépulture ou à la violation de correspondance.

Au niveau européen, l’articulation entre le testament technologique et l’AI Act doit être pensée dès à présent. L’obligation de transparence prévue par l’article 50 de l’AI Act— qui impose aux fournisseurs de systèmes d’IA générative de s’assurer que les contenus générés sont identifiables comme tels — devrait être complétée par une obligation de vérification systématique de l’existence de directives opposables dans les registres nationaux des volontés numériques. Cette obligation de vérification préalable pourrait être intégrée dans les actes délégués que la Commission européenne est habilitée à adopter pour préciser les modalités d’application de l’AI Act, notamment en ce qui concerne les systèmes d’IA à usage général (General Purpose AI ou GPAI).

Enfin, la dimension internationale du problème ne saurait être négligée. Les systèmes d’IA générative sont développés et déployés par des opérateurs souvent établis hors de l’Union européenne — aux États-Unis ou en Asie —, qui ne sont pas directement soumis au droit français ou au RGPD sauf à remplir les conditions d’applicabilité extraterritoriale prévues par l’article 3 du RGPD.

L’effectivité du testament technologique suppose donc soit une négociation internationale permettant la reconnaissance mutuelle des registres nationaux de volontés numériques — sur le modèle du traitement des demandes de déréférencement dans le cadre du droit à l’oubli — soit la mise en place d’obligations de résultat pesant sur les intermédiaires techniques établis sur le territoire de l’Union, qui seraient tenus de bloquer l’accès aux contenus illicites indépendamment du lieu d’hébergement du système d’IA. La loi SREN a déjà amorcé cette approche pour les contenus pédopornographiques et les deepfakes électoraux ; il conviendrait d’en étendre la logique à l’ensemble des violations de la personnalité numérique.

En définitive, le testament technologique n’est pas une utopie juridique : c’est la traduction cohérente et systémique, dans le langage du droit, d’une exigence fondamentale de l’État de droit à l’ère numérique — celle qui veut que toute personne demeure maîtresse de son identité, que la mort n’efface pas la volonté et que la technique ne puisse jamais devenir le vecteur d’une dépossession de soi. Sa construction suppose un effort législatif et réglementaire ambitieux, coordonné aux niveaux national et européen, et un investissement institutionnel de la CNIL et des juridictions civiles. Mais l’urgence est réelle : chaque jour, des voix, des visages et des personnalités sont reproduits, simulés et exploités par des systèmes d’IA dans une zone grise juridique que le droit a le devoir et la capacité de combler.

Pour lire une version plus complète de cet article sur le testament numérique, cliquez

Sources :

  1. Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés – Légifrance
  2. LOI n° 2016-1321 du 7 octobre 2016 pour une République numérique (1) – Légifrance
  3. CHAPITRE IX – Dispositions relatives à des situations particulières de traitement | CNIL
  4. Entrée en vigueur du règlement européen sur l’IA : les premières questions-réponses de la CNIL | CNIL
  5. Article 9 – Code civil – Légifrance
  6. https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3#Article17

 

Par • internet-et-droit • • Tags: , , , , , , , ,

RGPD : quand une demande d’accès peut être refusée en cas de mauvaise foi

Le droit d’accès consacré par l’article 15 du règlement (UE) 2016/679 du 27 avril 2016 (RGPD) constitue l’un des piliers de la protection des données à caractère personnel, en ce qu’il garantit à toute personne concernée un contrôle effectif sur les traitements dont ses données font l’objet.
NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire et un avocat enverra une lettre de mise en demeure !

À travers ce droit, le législateur européen a entendu instaurer un mécanisme de transparence permettant non seulement la vérification de la licéité des traitements, mais également l’exercice d’autres prérogatives essentielles, telles que les droits de rectification, d’effacement ou encore d’opposition. Toutefois, l’effectivité de ce droit fondamental se heurte, en pratique, à des usages détournés qui interrogent les limites de sa protection.

C’est précisément dans ce contexte que s’inscrit l’arrêt rendu le 19 mars 2026 par la Cour de justice de l’Union européenne dans l’affaire C-526/24, Brillen Rottler, qui marque une étape déterminante dans la construction d’un encadrement jurisprudentiel du droit d’accès. Saisie d’un renvoi préjudiciel par une juridiction allemande, la Cour était appelée à déterminer si, et dans quelles conditions, un responsable de traitement peut refuser de donner suite à une demande d’accès au motif que celle-ci serait abusive, y compris lorsqu’il s’agit d’une première demande.

Besoin de l’aide d’un avocat pour un problème de vie privée ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

Les faits à l’origine du litige révèlent une instrumentalisation singulière du droit d’accès. Une personne physique, après s’être inscrite à la newsletter d’une société allemande d’optique en fournissant ses données personnelles, a exercé, treize jours plus tard, son droit d’accès avant de solliciter une indemnisation d’au moins 1 000 euros pour le refus opposé à sa demande. La société mise en cause a alors opposé un abus de droit, soutenant que le demandeur s’inscrivait systématiquement à des services en ligne dans le seul but de multiplier les demandes d’accès et d’engager ensuite des actions indemnitaires.

Derrière cette situation factuelle se dessine une problématique plus large tenant à la finalité du droit d’accès : celui-ci peut-il être mobilisé à des fins exclusivement contentieuses, voire lucratives, sans compromettre l’équilibre du système instauré par le RGPD ? Si le texte prévoit, à son article 12, paragraphe 5, la possibilité de refuser des demandes « manifestement infondées ou excessives », il demeure silencieux quant à la notion d’abus de droit et à son application à une première demande, laissant ainsi à la jurisprudence le soin d’en préciser les contours.

L’arrêt Brillen Rottler apporte à cet égard des clarifications majeures. D’une part, la Cour admet qu’un abus de droit peut être caractérisé même en l’absence de répétition, dès lors que la demande poursuit une finalité étrangère à l’objectif de transparence du RGPD. D’autre part, elle consacre une approche qualitative de l’excès, fondée sur l’intention du demandeur et le contexte global de son comportement. Toutefois, afin de préserver l’effectivité du droit d’accès, elle encadre strictement cette possibilité en exigeant du responsable de traitement la preuve d’éléments objectifs et concordants établissant la mauvaise foi du demandeur.

Ainsi, l’arrêt met en lumière un équilibre délicat entre la protection d’un droit fondamental et la nécessité de prévenir son instrumentalisation. Il invite à repenser les conditions d’exercice du droit d’accès ainsi que les obligations pesant sur les responsables de traitement face à des demandes potentiellement abusives.

Dans cette perspective, il convient de s’interroger sur la manière dont la Cour consacre la notion d’abus de droit en matière d’accès aux données personnelles (I), avant d’en analyser les implications sur le régime du droit d’accès et le droit à réparation (II).

I – La reconnaissance de l’abus de droit d’accès par la CJUE

A – L’admission d’un abus dès la première demande

En premier lieu, la Cour de justice affirme de manière explicite qu’une demande d’accès à ses données personnelles peut être qualifiée d’« abusive » et, partant, refusée, y compris lorsqu’il s’agit de la première demande formulée par la personne concernée.

S’écartant d’une lecture purement littérale et quantitative de l’article 12, paragraphe 5, RGPD, la Cour juge qu’une première demande peut être « excessive » au sens de cette disposition lorsque, malgré le respect formel des conditions posées par le règlement (forme de la demande, identification du demandeur, délai, etc.), elle poursuivrait une finalité étrangère à l’objectif de transparence et de contrôle du traitement des données.

La notion de « demande excessive » n’est donc pas réservée aux hypothèses de répétition ou de volume excessif d’informations, mais peut englober des situations où l’excès tient à la finalité dévoyée de la demande.

Pour parvenir à cette conclusion, la CJUE mobilise implicitement la théorie générale de l’abus de droit en droit de l’Union, selon laquelle les justiciables ne peuvent se prévaloir des règles de l’Union pour des fins manifestement étrangères à leur objet et consistant à obtenir un avantage indu. Elle transpose ce raisonnement au champ du RGPD en considérant que l’exercice du droit d’accès, loin d’être neutre, doit s’inscrire dans la finalité poursuivie par le règlement, à savoir permettre à la personne concernée de prendre connaissance du traitement et d’en vérifier la licéité. Lorsque cette finalité est absente et que la demande est introduite « dans le seul but » de créer artificiellement les conditions d’une violation et d’en tirer un bénéfice indemnitaire, l’abus de droit est caractérisé.

La Cour prend soin d’encadrer strictement cette possibilité pour éviter toute banalisation de l’exception. Elle rappelle, dans le sillage de l’avis de l’avocat général Szpunar, que l’abus de droit doit être réservé à des « circonstances exceptionnelles », compte tenu de la nature fondamentale du droit d’accès. Le simple fait qu’une demande puisse potentiellement conduire à une action en réparation ne suffit pas à la qualifier d’abusive, dès lors que la mise en œuvre de la responsabilité prévue à l’article 82 RGPD est elle‑même un mécanisme légitime de sanction des violations. Le basculement dans l’abus suppose que la perspective indemnitaire devienne la finalité exclusive poursuivie par la personne concernée, au détriment de l’objectif de transparence et de contrôle du traitement.

B- L’identification d’une finalité détournée du droit d’accès

En second lieu, la Cour détaille les indices permettant de caractériser l’intention abusive du demandeur et de fonder, le cas échéant, le refus du responsable de traitement de donner suite à la demande. Elle indique tout d’abord que le caractère « excessif » de la demande doit être apprécié qualitativement, à la lumière des circonstances concrètes de l’espèce, et non sur le seul critère de la répétition ou du volume des données sollicitées.

Sont ainsi pertinents, notamment, le comportement antérieur du demandeur, les schémas récurrents de demandes d’accès suivies d’actions indemnitaires, le très court laps de temps entre l’inscription au service et la demande d’accès, ou encore l’existence de communications publiques décrivant une stratégie systématique de mise en cause des responsables de traitement.

La Cour admet que le responsable peut se fonder sur des informations librement accessibles, telles que des reportages, des articles de blog ou des bulletins d’avocats, pour démontrer l’existence d’une intention abusive, dès lors que ces éléments sont objectifs, fiables et concordants.

Dans l’affaire Brillen Rottler, ces différentes sources faisaient apparaître que TC avait, à plusieurs reprises, adopté le même schéma consistant à s’abonner à des newsletters, introduire rapidement une demande d’accès, puis réclamer une indemnisation pour violation prétendue du RGPD. La répétition de ce comportement, couplée à l’absence d’intérêt réel démontré pour la licéité du traitement et à la focalisation sur l’obtention d’une somme forfaitaire au titre d’un dommage moral, a conduit la Cour à considérer que la demande en cause poursuivait une finalité abusive.

La charge de la preuve de l’abus incombe toutefois au responsable de traitement, qui doit documenter l’analyse ayant conduit à qualifier la demande d’excessive et à refuser d’y donner suite. Il lui appartient, concrètement, de réunir des éléments démontrant que la demande ne vise pas à prendre connaissance du traitement ni à en vérifier la licéité, mais à créer artificiellement les conditions d’une violation ou à obtenir un avantage indu.

Le simple caractère « gênant » de la demande ou le fait qu’elle puisse entraîner une charge de travail importante ne suffit pas à caractériser l’abus, sauf à vider de sa substance le droit d’accès garanti par l’article 15 RGPD.

II – L’encadrement strict de l’abus et ses effets juridiques

A – Les exigences probatoires pesant sur le responsable de traitement

Si l’arrêt Brillen Rottler ouvre la voie à un refus de droit d’accès en présence d’un demandeur de mauvaise foi, il réaffirme tout aussi fermement la nature fondamentale du droit d’accès et l’exigence d’un contrôle de proportionnalité des limitations qui lui sont apportées. La Cour rappelle que le droit d’accès constitue le socle du contrôle exercé par la personne concernée sur ses données personnelles, en ce qu’il conditionne la capacité de cette dernière à vérifier la licéité du traitement, à en contester les éventuelles irrégularités et à exercer d’autres droits prévus par le RGPD. De ce point de vue, l’application de l’article 12, paragraphe 5, ne peut aboutir à neutraliser le droit d’accès ni à instaurer une présomption d’abus dès que la demande apparaît susceptible de déboucher sur un contentieux.

L’arrêt incite donc les responsables de traitement à mettre en place des procédures internes de gestion des demandes d’accès qui intègrent une analyse structurée de l’éventuel abus, tout en respectant un principe de faveur pour l’exercice du droit.

Concrètement, cela suppose de documenter systématiquement les demandes, d’identifier les indices objectifs pouvant laisser présumer une intention abusive et de conserver la trace de la motivation en cas de refus fondé sur l’article 12, paragraphe 5. Cette exigence de traçabilité est d’autant plus importante que le refus d’accès lui‑même peut faire l’objet d’un recours devant les autorités de contrôle ou les juridictions nationales, lesquelles devront vérifier la réalité de l’abus allégué au regard des critères dégagés par la CJUE.

Par ailleurs, l’arrêt Brillen Rottler coexiste avec une jurisprudence et des positions doctrinales qui, dans d’autres contextes, ont admis un usage large du droit d’accès, y compris à des fins probatoires, sans que cela soit pour autant assimilé à un détournement de finalité. La Cour ne remet nullement en cause la possibilité pour une personne concernée de se prévaloir de l’article 15 RGPD pour obtenir des informations susceptibles d’être utilisées dans un litige, par exemple en matière de relations de travail ou de consommation, dès lors que la demande s’inscrit dans la finalité de transparence et de contrôle du traitement. La frontière entre usage légitime et abusif ne se situe donc pas dans la seule perspective contentieuse, mais bien dans l’intention prédominante de créer artificiellement une situation contentieuse en l’absence de tout intérêt réel pour la protection des données.

B – Les conséquences sur le droit à réparation et la responsabilité

Enfin, l’arrêt du 19 mars 2026 emporte des conséquences importantes pour l’articulation entre le régime du droit d’accès et le droit à réparation prévu à l’article 82 RGPD. La Cour avait déjà eu l’occasion de préciser que le droit à réparation couvre les dommages matériels et moraux résultant d’une violation du RGPD, notamment en cas de perte de contrôle sur les données personnelles due à un traitement illicite ou à un manquement aux obligations de transparence. L’affaire Brillen Rottler se singularise en ce que le demandeur invoquait un dommage moral résultant non pas d’un traitement illicite, mais du refus opposé par le responsable à sa demande d’accès, en estimant que ce refus constituait en lui‑même une violation du RGPD ouvrant droit à indemnisation.

La Cour adopte une approche prudente et équilibrée. D’une part, elle confirme que la violation du droit d’accès peut, en principe, ouvrir droit à réparation au titre de l’article 82, y compris lorsque le dommage invoqué est un préjudice moral lié à la perte de contrôle sur les données ou à l’atteinte à la confiance dans la protection de celles‑ci.

D’autre part, elle souligne que le droit à réparation n’instaure pas un régime de responsabilité de plein droit : il appartient toujours au demandeur de démontrer la réalité du dommage subi et le lien de causalité avec la violation alléguée. La seule existence d’un refus irrégulier de donner suite à une demande d’accès ne suffit donc pas, en elle‑même, à justifier une indemnisation automatique, ce qui évite de transformer le RGPD en un mécanisme de pénalisation systématique de toute irrégularité formelle.

Dans l’hypothèse spécifique d’un demandeur de mauvaise foi, la Cour va plus loin en considérant que le comportement abusif de la personne concernée peut rompre le lien de causalité entre la violation éventuelle du RGPD et le dommage invoqué. Lorsque la demande d’accès est elle‑même abusive et poursuit exclusivement une finalité de captation d’une indemnité, le refus opposé par le responsable, même s’il devait s’avérer ultérieurement irrégulier, ne saurait être à l’origine d’un préjudice indemnisable, dès lors que la situation dommageable trouve sa source dans la stratégie contentieuse artificiellement créée par le demandeur. L’arrêt ouvre ainsi la voie, pour les juridictions nationales, à une prise en compte renforcée de la mauvaise foi du demandeur dans l’appréciation de la responsabilité civile du responsable de traitement.

Pour les responsables de traitement, la décision impose donc une double vigilance.

D’un côté, ils doivent être en mesure de justifier tout refus de droit d’accès par des éléments objectifs démontrant l’abus de droit, sous peine de voir ce refus qualifié de violation du RGPD et d’exposer l’organisme à un risque de sanction administrative ou judiciaire.

De l’autre, l’arrêt leur offre un outil pour se défendre contre des stratégies de contentieux systématiques, en articulant la qualification d’abus de droit et la rupture du lien de causalité dans le cadre des demandes indemnitaires fondées sur l’article 82. Cette articulation contribue à préserver la cohérence d’ensemble du RGPD : l’effectivité des droits des personnes concernées demeure garantie, tandis que la tentation de faire de ces droits un instrument de « contentieux d’aubaine » se trouve encadrée par un contrôle strict de la bonne foi du demandeur.

Pour lire une version plus complète de cet article sur le droit d’accès à ses données privées, cliquez

Sources

[1] [PDF] Judgment of the Court in Case C-526/24 Brillen Rottler – curia https://curia.europa.eu/site/upload/docs/application/pdf/2026-03/cp260038en.pdf
[2] CJUE, n° C-526_RES/24, Arrêt de la Cour, Brillen Rottler … https://www.doctrine.fr/d/CJUE/2026/CJUE62024CJ0526_RES
[3] CJUE : refus de droit d’accès au titre du RGPD pour le … https://lhermet.com/actualites/cjue-refus-de-droit-dacces-au-titre-du-rgpd-pour-le-demandeur-de-mauvaise-foi
[4] CJUE, n° C-526/24, Arrêt de la Cour, Brillen Rottler GmbH & Co. KG … https://www.doctrine.fr/d/CJUE/2026/CJUE62024CJ0526
[5] Can you reject a GDPR access request? Prove it! – Cranium https://www.cranium.eu/can-you-reject-a-gdpr-access-request-prove-it/
[6] Refusal to provide information upon initial request for access https://www.taylorwessing.com/fr/insights-and-events/insights/2025/09/refusal-to-provide-information-upon-initial-request-for-access
[7]CURIA https://infocuria.curia.europa.eu/tabs/tout?searchTerm=C+526%2F24&lang=fr&sort=ALL_DATES-DESC
[8] Le droit d’accès aux courriels professionnels à des fins probatoires https://www.village-justice.com/articles/droit-acces-aux-courriels-professionnels-des-fins-probatoires-reel-detournement,56418.html

Par • internet-et-droit • • Tags: , , , ,

Vol des voix d’artistes : comment le droit les protège à l’ère numérique ?

L’essor des technologies numériques a profondément transformé les modes de création, de production et de diffusion des œuvres artistiques.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire et un avocat enverra une lettre de mise en demeure !

Parmi les mutations les plus marquantes de ces dernières années, le développement de l’intelligence artificielle générative occupe une place centrale. Capable de produire des textes, des images, des vidéos ou encore des contenus audio d’un réalisme saisissant, cette technologie bouleverse les repères traditionnels du droit et interroge les mécanismes classiques de protection des créateurs.

Dans ce contexte, le clonage vocal constitue une innovation particulièrement significative. Grâce à des techniques avancées d’apprentissage profond et de synthèse vocale, il est désormais possible de reproduire la voix d’un individu avec une fidélité remarquable, à partir de simples échantillons sonores. Des outils accessibles au grand public, tels que ElevenLabs, Resemble.AI ou Voicemod, permettent aujourd’hui de générer des contenus audio imitant parfaitement le timbre, l’intonation et le rythme d’une voix humaine. Ce qui relevait encore récemment de la science-fiction est ainsi devenu une pratique courante dans les secteurs de la création numérique, du divertissement et de la communication.

Si ces avancées technologiques offrent des perspectives inédites, notamment en matière de production artistique ou d’accessibilité, elles soulèvent également des enjeux juridiques majeurs. En effet, la voix constitue un attribut essentiel de la personnalité d’un individu. Pour les artistes en particulier, elle représente bien souvent un instrument de travail fondamental, mais également un élément déterminant de leur identité publique et de leur notoriété. Dès lors, la reproduction ou l’imitation non autorisée d’une voix est susceptible de porter atteinte à des intérêts multiples, qu’il s’agisse de la réputation, de l’image ou encore des droits économiques de l’artiste concerné.

Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

Les dérives liées à ces technologies se multiplient. Des contenus générés par intelligence artificielle imitant la voix de chanteurs ou d’acteurs célèbres circulent massivement sur internet, parfois dans un but humoristique, mais aussi à des fins commerciales ou de désinformation. Ces pratiques mettent en lumière un déséquilibre croissant entre la rapidité de l’innovation technologique et la capacité du droit à encadrer efficacement ces nouveaux usages.

Or, en l’état actuel du droit positif, la voix ne fait pas l’objet d’un régime juridique autonome clairement défini. Contrairement au nom ou à l’image, elle est appréhendée de manière indirecte à travers plusieurs branches du droit. Le droit civil permet d’agir sur le fondement des droits de la personnalité ou de la responsabilité civile. Le droit de la propriété intellectuelle offre également des outils, notamment à travers les droits voisins des artistes-interprètes. Par ailleurs, le droit pénal peut être mobilisé en cas d’usurpation d’identité ou de diffusion de contenus trompeurs.

À ces mécanismes traditionnels s’ajoute désormais le droit de la protection des données personnelles. Le Règlement général sur la protection des données (RGPD) introduit une approche renouvelée en considérant que la voix peut constituer une donnée personnelle, voire une donnée biométrique, bénéficiant à ce titre d’une protection renforcée. Cette qualification ouvre la voie à un régime particulièrement dissuasif, fondé sur des obligations strictes et des sanctions financières élevées. En outre, l’adoption récente du AI Act par l’Union européenne témoigne d’une volonté d’encadrer plus spécifiquement les systèmes d’intelligence artificielle, notamment en imposant des exigences de transparence et de gestion des risques.

Dans ce contexte, la question de la protection des artistes face au clonage vocal se pose avec une acuité particulière. Si plusieurs fondements juridiques peuvent être mobilisés, leur articulation et leur efficacité restent incertaines face à la complexité technique et à la diffusion massive des contenus numériques.

Dès lors, il convient de se demander : dans quelle mesure le droit positif permet-il de protéger efficacement les artistes contre l’appropriation numérique de leur voix par les technologies d’intelligence artificielle ?

I – Les mécanismes juridiques traditionnels de protection de la voix des artistes

L’utilisation non autorisée de la voix d’un artiste par des technologies d’intelligence artificielle peut être appréhendée par plusieurs branches du droit. Avant même de mobiliser le droit de la protection des données, les victimes disposent déjà d’un ensemble de fondements civils et pénaux permettant de lutter contre l’exploitation illicite de leur identité vocale. Ces mécanismes offrent des réponses complémentaires, tant en matière d’indemnisation que de sanction.

A – La mobilisation du droit civil et de la propriété intellectuelle

La voie civile constitue souvent le premier réflexe juridique pour un artiste victime de clonage vocal, notamment en raison de sa rapidité et de sa souplesse. Deux fondements principaux peuvent être mobilisés : la protection des droits de la personnalité et les droits voisins des artistes-interprètes.

  1. La protection de la voix au titre des droits de la personnalité

La voix d’une personne est largement reconnue comme un attribut de la personnalité, au même titre que le nom ou l’image. En droit français, cette protection s’appuie principalement sur l’article 9 du Code civil, qui garantit le respect de la vie privée.

La jurisprudence a progressivement admis que la reproduction ou l’imitation de la voix d’une personne sans son consentement pouvait constituer une atteinte à ses droits de la personnalité, notamment lorsque cette utilisation crée une confusion dans l’esprit du public ou porte atteinte à sa réputation.

Pour les artistes, la voix représente souvent un élément central de leur identité professionnelle. Dans ce contexte, l’utilisation d’une voix artificiellement générée imitant celle d’un chanteur ou d’un acteur peut constituer une atteinte directe à son identité artistique.

L’un des avantages majeurs de la voie civile réside dans la possibilité d’obtenir des mesures d’urgence en référé, permettant par exemple :

  • le retrait immédiat d’un contenu audio généré par IA
  • l’interdiction de diffusion d’un deepfake vocal
  • l’indemnisation du préjudice moral subi par l’artiste

Cette procédure rapide constitue un outil particulièrement efficace face à la viralité des contenus numériques.

  1. Les droits voisins des artistes-interprètes

Au-delà de la protection de la personnalité, les artistes disposent également d’un fondement solide dans le droit de la propriété intellectuelle, plus précisément dans les droits voisins du droit d’auteur.

Les artistes-interprètes bénéficient d’un droit exclusif sur l’exploitation de leurs prestations, consacré par l’article L.212-3 du Code de la propriété intellectuelle.

Cet article prévoit que toute fixation, reproduction ou communication au public d’une prestation d’un artiste-interprète nécessite son autorisation préalable.

La violation de ces droits peut être sanctionnée au titre de la contrefaçon, infraction prévue par l’article L.335-4 du Code de la propriété intellectuelle.

Dans le contexte du clonage vocal, plusieurs situations peuvent être envisagées :

  • l’entraînement d’un modèle d’IA sur des enregistrements vocaux d’un artiste
  • la génération d’une nouvelle prestation imitant sa voix
  • la diffusion commerciale d’un contenu reproduisant artificiellement ses caractéristiques vocales

La question de l’entraînement des modèles d’IA est devenue particulièrement sensible dans le secteur musical. Des organisations représentant les artistes, telles que la ADAMI, ont récemment exercé leur droit d’opt-out afin de s’opposer à l’exploitation de leurs catalogues pour l’entraînement de systèmes d’intelligence artificielle.

Dans ce contexte, l’utilisation non autorisée de ces contenus pourrait renforcer la qualification de contrefaçon, offrant ainsi un fondement juridique particulièrement solide aux artistes.

B – Les réponses apportées par le droit pénal

Si la voie civile permet d’obtenir réparation du préjudice subi, certaines situations de clonage vocal peuvent également relever du droit pénal, notamment lorsque l’utilisation de la voix artificielle vise à tromper le public ou à nuire à la personne imitée.

  1. L’usurpation d’identité

Le premier fondement pénal mobilisable est celui de l’usurpation d’identité, prévu par l’article 226-4-1 du Code pénal.

Cette infraction sanctionne le fait d’utiliser les données d’identification d’une personne afin de troubler sa tranquillité ou de porter atteinte à son honneur ou à sa considération.

Dans le cas du clonage vocal, l’utilisation d’une voix artificielle reproduisant celle d’un artiste peut contribuer à créer une confusion quant à l’origine d’un message ou d’un contenu audio. Cette confusion peut être particulièrement grave lorsque le contenu diffusé véhicule des propos que l’artiste n’a jamais tenus.

  1. La nouvelle infraction de deepfake issue de la loi SREN

Face à l’essor des technologies de manipulation numérique, le législateur français a récemment renforcé l’arsenal juridique avec la loi du 21 mai 2024 visant à sécuriser et réguler l’espace numérique, souvent appelée loi SREN.

Cette loi a introduit une nouvelle infraction visant spécifiquement les contenus manipulés ou deepfakes, codifiée à l’article 226-8-1 du Code pénal.

Cette disposition sanctionne la diffusion de contenus audiovisuels manipulés lorsqu’ils sont susceptibles d’induire le public en erreur sur la réalité des propos ou des actions attribuées à une personne.

Les sanctions prévues peuvent atteindre :

  • 3 ans d’emprisonnement
  • 75 000 euros d’amende

Dans le cas d’un clonage vocal imitant un artiste, cette infraction pourrait être caractérisée lorsque le contenu généré est présenté comme authentique ou susceptible de tromper les auditeurs.

Au-delà des sanctions pénales, cette voie présente également un effet médiatique important, susceptible de dissuader certaines pratiques dans l’industrie technologique.

II – Le renouvellement de la protection par le droit des données personnelles

Si les voies civiles et pénales offrent déjà des moyens d’action significatifs, le droit de la protection des données personnelles pourrait constituer l’outil le plus redoutable pour lutter contre le clonage vocal, en raison de la portée extraterritoriale du règlement et de l’ampleur des sanctions financières prévues.

A – La reconnaissance de la voix comme donnée personnelle et biométrique

Le Règlement général sur la protection des données définit les données personnelles comme toute information se rapportant à une personne physique identifiée ou identifiable.

La voix peut clairement entrer dans cette définition dès lors qu’elle permet d’identifier un individu.

Plus encore, dans le cadre des technologies d’intelligence artificielle, les systèmes de clonage vocal reposent généralement sur l’analyse biométrique des caractéristiques vocales d’une personne : timbre, rythme, fréquence, intonation.

Dans ces conditions, la voix peut être qualifiée de donnée biométrique, catégorie bénéficiant d’une protection renforcée en vertu de l’article 9 du RGPD, qui interdit en principe le traitement de ces données sauf exceptions strictes.

L’utilisation de données vocales pour entraîner des modèles d’intelligence artificielle pourrait donc constituer un traitement de données biométriques nécessitant un consentement explicite de la personne concernée.

Le RGPD prévoit également la possibilité pour les organisations représentant les personnes concernées d’exercer des actions collectives. L’article 80 du RGPD permet notamment à des associations ou organismes de défense des droits numériques d’agir au nom des victimes.

B – Un régime de sanctions dissuasif renforcé par le AI Act

Le véritable pouvoir dissuasif du RGPD réside dans son régime de sanctions.

Les autorités de contrôle, telles que la Commission nationale de l’informatique et des libertés, disposent du pouvoir d’infliger des amendes administratives extrêmement élevées en cas de violation du règlement.

Selon l’article 83 du RGPD, ces sanctions peuvent atteindre :

  • 20 millions d’euros, ou
  • 4 % du chiffre d’affaires annuel mondial de l’entreprise concernée.

Ces montants sont particulièrement significatifs pour les entreprises technologiques développant des systèmes d’intelligence artificielle à grande échelle.

En outre, le RGPD reconnaît aux personnes concernées un droit à réparation en cas de dommage causé par un traitement illicite de leurs données personnelles. L’article 82 du RGPD prévoit ainsi que toute personne ayant subi un préjudice matériel ou moral peut obtenir réparation auprès du responsable du traitement.

Ce mécanisme ouvre la voie à des actions en responsabilité potentiellement très coûteuses pour les entreprises exploitant des technologies de clonage vocal sans base légale valable.

Dans cette perspective, le RGPD apparaît comme le levier juridique le plus dissuasif financièrement, susceptible de contraindre les acteurs de l’intelligence artificielle à adopter des pratiques plus respectueuses des droits des artistes.

Pour lire une version plus complète de cet article sur la protection des voix d’artistes, cliquez

Sources :

  1. Free AI Voice Generator & Voice Agents Platform | ElevenLabs
  2. Générateur de voix par IA et détection de deepfake pour les entreprises | Ressemblez à l’IA
  3. Changeur de voix en temps réel gratuit pour PC et Mac | Voicemod
  4. Entrée en vigueur du règlement européen sur l’IA : les premières questions-réponses de la CNIL | CNIL
  5. Article 9 – Code civil – Légifrance
  6. Section 1 : Dispositions communes (Articles L212-1 à L212-3-10) – Légifrance
  7. Chapitre V : Dispositions pénales (Articles L335-1 à L335-9) – Légifrance
  8. Article 226-4-1 – Code pénal – Légifrance
  9. Section 2 : De l’atteinte à la représentation de la personne (Articles 226-8 à 226-9) – Légifrance
  10. Réglementation – 2016/679 – EN – PIB – EUR-Lex

 

Par • internet-et-droit • • Tags: , , , , , , ,

1 2 3 4 5

# Nos catégories juridiques

# Poser une question en ligne

Si vous avez une question précise à poser au cabinet d’avocats, dont vous ne trouvez pas la réponse sur le site, posez votre question en ligne.
La question sera alors payante et le montant est de 150 euros TTC. Paiement sécurisé par Paypal ou Crédit Mutuel »

# Nos articles avocat Paris

© Murielle Cahen Cabinet d’avocats Paris 2026
Powered by WordPress • Themify WordPress Themes