Le 11 juillet 2025, la Commission nationale de l’informatique et des libertés s’est prononcée sur l’utilisation de dispositifs de caméras dites « augmentées » dans les bureaux de tabac pour estimer l’âge des clients. À l’issue de son analyse, elle considère que ce type de traitement ne respecte pas les exigences posées par le Règlement général sur la protection des données, faute de répondre aux critères de nécessité et de proportionnalité.

​

Des dispositifs de contrôle basés sur l’intelligence artificielle

​

Plusieurs bureaux de tabac ont mis en place des caméras dotées d’un algorithme d’intelligence artificielle, capables d’analyser les visages des clients afin d’estimer leur âge. L’objectif affiché est d’aider les commerçants à s’assurer que les produits interdits aux mineurs (tabac, alcool, jeux d’argent…) ne soient pas vendus de manière illicite.

​

Ces dispositifs fonctionnent de manière automatique et continue : ils scannent chaque visage capté dans leur champ de vision. En fonction du résultat de l’analyse algorithmique, un voyant vert (client probablement majeur) ou rouge (client probablement mineur) s’affiche. Toutefois, cette estimation de leur âge ne constitue pas une preuve de majorité : elle n’est qu’une aide à la décision et ne dispense pas le vendeur de contrôler l’âge avec un justificatif officiel.

​

Une qualification juridique : un traitement de données personnelles soumis au RGPD

​

La Commission nationale de l’informatique et des libertés (ci-après la « Cnil » ) rappelle que l’analyse du visage d’un individu constitue un traitement de données personnelles au sens de l’article 4 du Règlement général sur la protection des données  (ci-après le « RGPD »), dans la mesure où elle porte sur des informations biométriques susceptibles d’identifier indirectement une personne physique.

​

Même si les images sont, dans certains cas, traitées localement et rapidement supprimées, la seule analyse algorithmique du visage constitue un traitement de données, qui nécessite de respecter l’ensemble des principes de licéité, loyauté, transparence, minimisation, finalité, sécurité et responsabilité prévus par le RGPD.

​

Un traitement ni nécessaire, ni proportionné selon la Cnil 

​

Tout d’abord, le principe de nécessité impose que le traitement envisagé soit strictement indispensable pour atteindre l’objectif poursuivi. Or, dans ce cas, l’estimation de l’âge par la caméra ne permet aucune certitude. Les buralistes restent légalement tenus de vérifier la majorité du client via une pièce d’identité ou une preuve équivalente.

​

La Cnil note donc que ces dispositifs ne remplacent pas le contrôle obligatoire mais viennent s’ajouter à celui-ci. Autrement dit, cette technologie ne peut être qualifiée de nécessaire au sens du droit.

​

Son utilisation pourrait induire une confiance excessive dans les résultats de la machine. En cas d’erreur, un vendeur pourrait être tenté de s’en remettre à l’analyse algorithmique, au risque de vendre un produit interdit à un mineur.

​

Ensuite, le principe de proportionnalité implique que les moyens mis en œuvre ne doivent pas porter une atteinte excessive aux droits et libertés des personnes concernées. La Cnil constate généralement que :

• Les caméras sont activées en permanence, sans consentement préalable ;

• Tous les clients sont scannés, y compris ceux manifestement majeurs ;

• Le droit d’opposition prévu par l’article 21 du RGPD n’est pas techniquement réalisable dans la configuration actuelle ;

• Il s’agit d’une analyse en temps réel, pas d’une simple captation d’image.

​

Ainsi, l’ampleur du traitement, son caractère systématique et son automatisation renforcent l’atteinte aux droits fondamentaux, notamment au respect de la vie privée (article 8 de la CEDH, article 7 de la Charte des droits fondamentaux de l’UE).

​

En outre, la CNIL met en garde contre un risque de banalisation d’une surveillance algorithmique dans l’espace public, au détriment des principes de liberté et de contrôle humain.

​

Des alternatives plus respectueuses du RGPD

​

La CNIL évoque des solutions plus adaptées au contrôle de l’âge des clients, notamment :

• La vérification d’une pièce d’identité, qui reste l’option la plus simple et juridiquement valide ;

• Le recours à des applications mobiles spécialisées, comme le « mini-wallet » en cours de développement par la Commission européenne, permettant de prouver sa majorité sans divulguer d’autres données personnelles.

​

Ces outils permettraient de concilier l’objectif de protection des mineurs et le respect du droit à la protection des données.

​

La position de la CNIL s’inscrit dans la continuité de sa doctrine exprimée depuis 2022 concernant les dispositifs de caméras dites « augmentées ». Elle réaffirme ici que les traitements fondés sur la reconnaissance ou l’analyse faciale doivent faire l’objet d’un examen strict de leur légalité, et ne sauraient se substituer au respect des droits fondamentaux.