Aller au contenu principal
Quelle Signature

Identité du signataire

Comparaison du visage pour vérifier un signataire : que demander au fournisseur tant que la question RGPD reste ouverte

Pour qui : Responsable juridique ou délégué à la protection des données à qui un prestataire propose une vérification par comparaison du visage et qui doit décider s’il l’accepte pour ses signataires.

Prenez un parcours sans comparaison faciale si le risque le permet ; sinon, exigez par écrit une alternative, l’analyse juridique du fournisseur, le rôle de chacun et la durée de conservation, et écartez celui qui reste muet. L’article 9 du RGPD interdit, sauf exception comme le consentement explicite, le traitement de données biométriques aux fins d’identifier une personne de manière unique. Sur les pages de la CNIL ouvertes, aucune position ne vise la vérification d’identité d’un signataire : l’application de cet article à ce cas reste ouverte, et nous ne la tranchons pas. C’est l’achat que nous cadrons ici, et la réponse juridique sur votre traitement revient à votre délégué à la protection des données ou, si vous n’en avez pas, à votre juriste ou à votre conseil.

Notre avis

N’achetez pas de comparaison faciale sur la seule parole du vendeur. Prenez un parcours sans comparaison si le risque le permet ; sinon, faites écrire les réponses avant de signer, et offrez une autre voie à qui refuse.

Pourquoi

  • Nous ne savons pas dire si cette vérification relève de l’article 9 : c’est précisément ce que le fournisseur doit vous expliquer par écrit.
  • Une alternative protège aussi votre parcours : un signataire qui refuse reste un signataire à faire signer.
  • Un résultat probabiliste suppose un seuil et un cas d’échec, que vous devez connaître.

Ce qui change le choix

Une position de la CNIL propre à ce cas, un texte ou un arrêt changerait cette page. Votre délégué à la protection des données peut aussi conclure autrement sur votre traitement.

L’ordre à suivre

  1. Parcours sans comparaison faciale quand il répond au risque
  2. Comparaison faciale avec alternative réelle et réponses écrites
  3. Écartez le fournisseur qui ne donne pas ces réponses écrites

Ce que l’article 9 vise, et ce qu’il reste à établir pour un signataire

L’article 9, paragraphe 1, interdit le traitement de données biométriques aux fins d’identifier une personne physique de manière unique. Le paragraphe 2, a, en excepte le consentement explicite pour des finalités spécifiques, sauf si le droit de l’Union ou national l’écarte. Le texte vise donc une finalité. Comparer un visage à la photo d’une pièce pour vérifier qu’il s’agit bien du titulaire peut ou non entrer dans cette finalité : sur les pages de la CNIL ouvertes, aucune position ne vise ce cas, et l’article 4, point 14, qui définit ces données, n’est pas traité ici. Nous ne concluons ni dans un sens ni dans l’autre.

Une page de la CNIL du 10 avril 2018 demande un autre mode d’authentification pour des dispositifs à disposition de particuliers. Elle traite d’un autre sujet : nous ne l’appliquons pas à la vérification d’identité d’un signataire. Notre exigence d’une alternative est un choix d’acheteur, qui ne se fonde pas sur elle.

En 2019, la CNIL écrivait, dans un article général, que la comparaison faciale produit « une probabilité, et non une certitude absolue » et que son recours exige « un impératif particulier de forte fiabilité de vérification de l’identité des personnes ». Cet article ne porte pas sur le signataire ; il rappelle qu’une telle comparaison peut échouer et qu’il faut savoir ce qui se passe alors.

Six réponses écrites à obtenir avant de signer le contrat

Si le fournisseur ne répond pas à ces questions, nous vous conseillons de ne pas le retenir. Vous pouvez reprendre cette liste telle quelle dans votre demande.

Liste de notre main. Elle ne remplace pas votre analyse de conformité.
QuestionCe qu’une réponse utile contient
Le parcours compare-t-il un visage à une pièce, ou à une référence conservée ?La description du traitement, sans le seul mot biométrique
Votre analyse au regard de l’article 9 ?Sa conclusion, le fondement juridique retenu et qui l’assume
Quelle autre voie pour celui qui refuse ou qui échoue ?Une voie nommée, sans surcoût ou avec son prix, et son niveau de signature
Qui fait quoi : qui décide du traitement (le responsable) et qui l’exécute pour son compte (le sous-traitant) ?Le rôle de chacun, à inscrire dans l’accord de sous-traitance
Combien de temps conservez-vous le gabarit (le modèle numérique tiré du visage), l’image et le résultat ?Une durée pour chacun, et leur lieu de conservation
Quel seuil de décision, et que se passe-t-il en cas d’échec ?Le traitement de l’échec et l’intervention éventuelle d’une personne

« Signature biométrique » ne veut pas forcément dire comparaison du visage

La page de CertEurope sur sa plateforme infocert-sign mentionne une « signature biométrique avancée » sur son offre Enterprise, sans la décrire dans ce que nous avons lu. Ce terme peut recouvrir autre chose qu’un visage. Demandez ce qui est capté, et n’assimilez pas ce mot à la comparaison faciale, ni l’inverse. Le contrat de sous-traitance a sa page dédiée : l’article 28 du RGPD impose une forme écrite, sans fixer de niveau de signature.

Limites de cette page

RGPD lu dans la reproduction publiée par la CNIL, et non au Journal officiel. Article 4, point 14, et autres exceptions de l’article 9 non analysés. Aucune position de la CNIL propre à la vérification d’identité d’un signataire n’a été lue, et la page de 2018 n’est pas transposée. Nous n’avons vu qu’un extrait d’une recommandation de la CNIL de 2023 sur la télésurveillance d’examens, et nous ne la reprenons pas, car son secteur diffère. Nous n’avons pas pu lire les exigences du référentiel PVID, qui concerne les prestataires de vérification d’identité à distance (erreur 404, page introuvable). Nous n’avons pas examiné si une analyse d’impact, l’évaluation des risques prévue par le RGPD, est nécessaire : posez la question à votre délégué à la protection des données ou, si vous n’en avez pas, à votre juriste ou à votre conseil. Cette page ne remplace ni votre délégué à la protection des données ni un conseil sur un cas précis.

Prochaine action

Envoyez les six questions à votre fournisseur, joignez ses réponses à votre registre de traitements (le document RGPD qui recense vos traitements de données), et soumettez ce dossier à votre délégué à la protection des données ou, si vous n’en avez pas, à votre juriste ou à votre conseil, puis faites décider votre direction par écrit avant d’activer la comparaison.

Preuves et sources

Article 9 du RGPD, lu dans la reproduction publiée par la CNIL, article de la CNIL du 14 novembre 2019, page de la grille de CertEurope, lus le 4 novembre 2026. Article 4, point 14, du RGPD non lu. Référentiel PVID non lu. Aucun parcours testé.

Chaque élément ci-dessous indique s’il s’agit d’un fait lu dans une source, d’une déclaration de son auteur, de notre calcul, de notre méthode ou de notre avis. Vérifiez sur le document toute source marquée à vérifier ou non tranchée avant de vous y fier. Notre méthode

  • Fait lu. L’article 9 du RGPD interdit, sauf exception du paragraphe 2, le traitement de données biométriques aux fins d’identifier une personne physique de manière unique ; le consentement explicite pour des finalités spécifiques est l’une des exceptions, sauf si le droit de l’Union ou national l’écarte.

    Périmètre : RGPD, art. 9, § 1 et § 2, a

    Réserve : Reproduction publiée par la CNIL, et non Journal officiel. Article borné à la finalité d’identification unique.

    Relevé du 4 novembre 2026.

  • Notre calcul ou déduction. Aucune position de la CNIL propre à la vérification d’identité d’un signataire n’a été lue, et la page du 10 avril 2018 vise l’authentification à disposition de particuliers.

    Périmètre : Constat borné aux lectures

    Réserve : Ne prouve pas l’absence d’une telle position.

    Relevé du 4 novembre 2026.

  • Fait lu. En 2019, la CNIL écrivait que la comparaison faciale produit « une probabilité, et non une certitude absolue » et que son recours exige « un impératif particulier de forte fiabilité de vérification de l’identité des personnes ».

    Périmètre : Article de la CNIL du 14 novembre 2019

    Réserve : Position générale, non propre au signataire.

    Relevé du 4 novembre 2026.

  • Déclaration de l’émetteur. CertEurope mentionne une « signature biométrique avancée » sur son offre infocert-sign Enterprise, sans la décrire sur la page lue.

    Périmètre : Page de la plateforme

    Réserve : Contenu non décrit.

    Relevé du 4 novembre 2026.

  • Fait lu. Le contrat de sous-traitance se présente sous une forme écrite, y compris électronique, selon l’article 28, paragraphe 9, du RGPD.

    Périmètre : Responsable et sous-traitant

    Réserve : Reproduction ; le texte ne fixe aucun niveau de signature.

    Relevé du 4 novembre 2026.

  • Notre avis. Exigez une alternative, l’analyse du fournisseur, son rôle et sa durée de conservation par écrit, et écartez celui qui ne répond pas.

    Périmètre : Choix d’acheteur

    Réserve : Avis assumé, non fondé sur la page de 2018 ; ne tranche pas l’application de l’article 9.

    Relevé du 4 novembre 2026.

  • Notre méthode. La liste de six questions à adresser au fournisseur.

    Périmètre : À exécuter avant l’achat

    Réserve : Ne remplace pas l’analyse du responsable de traitement.

    Daté du 4 novembre 2026.