Concertation sur le déploiement de dispositifs d’intelligence artificielle
dans des points de vente à des fins de vérification d’âge
Réunion du 3 mars 2025
Questionnaire aux participants
Ce questionnaire a pour objectif de permettre à la CNIL et aux participants à la concertation
de préparer la réunion de concertation.
Dans la mesure du possible, les membres de la concertation sont invités à renvoyer ce
questionnaire complété avant la réunion du 3 mars 2025 à l’adresse suivante :
. A défaut, le questionnaire devra être transmis postérieurement à la
réunion.
1 Propos liminaires
Les services de la CNIL ont constaté le déploiement de systèmes de vérification
d’âge, s’appuyant sur l’emploi de caméras dites « augmentées » ou algorithmiques qui
capturent et analysent les visages au moyen d’outils d’intelligence artificielle, dans certains
points de vente dans le but de prévenir la vente de produits interdits aux mineurs. Si cette
initiative poursuit manifestement l’objectif d’intérêt public de protection des mineurs, elle
soulève également des interrogations en termes de protection des données à caractère
personnel et de la vie privée des personnes concernées.
Compte tenu de ces enjeux, les services de la CNIL mènent actuellement, dans la continuité
des travaux sur le déploiement de caméras « augmentées » dans l’espace public et sur la
vérification de l’âge en ligne, des analyses sur la conformité de ces dispositifs au regard de
la réglementation applicable en matière de protection des données à caractère
personnelle (RGPD et loi « informatique et libertés »).
Dans cette perspective, l’objectif de la concertation et du présent questionnaire est
de cartographier les différents types d’outils déployés et d’obtenir des informations quant à
leur fonctionnement technique et au cadre juridique applicable aux traitements de
données personnelles qu’ils impliquent.
Les services de la CNIL pourront le cas échéant solliciter d’autres entretiens ultérieurs en
cas de besoin.
Nous vous précisons que
ce questionnaire a une finalité purement consultative, visant
à nous informer de la réalité des pratiques sur ce marché et des caractéristiques, notamment
techniques, des dispositifs et des traitements de données personnelles impliqués. Il n’a pas
pour but d’apprécier la conformité des pratiques spécifiques à la réglementation en matière de
protection des données.
Il vous est en effet adressé par le Service de l’économie numérique et
du secteur financier de la Direction de l’accompagnement juridique de la CNIL, qui a pour rôle
d’accompagner les professionnels et dont le travail bénéficie d’une étanchéité à l’égard de celui
des services de contrôle et de sanction1.
1 https://www.cnil.fr/sites/default/files/atoms/files/charte accompagnement des professionnels.pdf
RÉPUBLIQUE FRANÇAISE
3 Place de Fontenoy, TSA 80715 – 75334 PARIS CEDEX 07 – 01 53 73 22 22 – www.cnil.fr
Les données personnelles nécessaires à l’accomplissement des missions de la CNIL sont traitées dans des fichiers destinés à son usage exclusif.
Les personnes concernées peuvent exercer leurs droits Informatique et Libertés en s’adressant au délégué à la protection des données (DPO)
de la CNIL via un formulaire en ligne ou par courrier postal. Pour en savoir plus : www.cnil.fr/donnees-personnelles.
2 Questions
2.1 Sur les enjeux de déploiement de ces dispositifs
1. De manière générale à quels enjeux ou problématiques ce type de dispositif a-t-
il vocation à répondre ?
o La profession étant très fortement engagée sur le respect de la réglementation
destinée à la protection des mineurs, il nous semble indispensable de favoriser
le déploiement de toutes les solutions permettant de :
Aider la profession à appliquer l’interdiction de vente aux mineurs des
produits réglementés (tabac, vapotage, jeux et alcool).
Aider le buraliste et le personnel en points de vente à évaluer l'âge des
clients en atténuant les tensions lors des demandes de justificatif d'âge.
Dissuader les mineurs d’acheter les produits qui leur sont interdits.
2. Avez-vous des statistiques sur la vente à des mineurs de produits qui leurs sont
interdits, ou toute autre indication sur l’ampleur du non-respect de cette
interdiction en France ?
o Non
3. Avez-vous pu mesurer ou pouvez-vous estimer un changement dans l’accès des
mineurs à des produits qui leur sont interdits avec le déploiement de solutions
de vérification d’âge basées sur des dispositifs d’intelligence artificielle ?
o Les buralistes ayant déployé ces solutions dans leur point de vente nous
indiquent que l’évaluation automatisée de l’âge des clients leur permet de
satisfaire efficacement l’application de la règlementation dans des conditions
mieux acceptées par les mineurs.
4. Combien coûte le déploiement et le maintien en condition opérationnelle de ces
solutions de vérification d’âge ?
o Aux alentours de 500 € HT en acquisition.
5. Avez-vous connaissance de déploiement de ce type de dispositif à l’échelle
européenne ? Comment situez-vous le marché français par rapport aux autres
marchés européens du point de vue du recours à ce type de solutions ?
Comporte-t-il une spécificité ? Si oui, laquelle ?
o Nous avons connaissance du déploiement de ce type de solutions notamment
en Belgique ainsi qu’en Grande Bretagne.
6. En dehors de ces dispositifs, quel est le cadre légal du contrôle de l’âge pour la
vente de produits interdits aux mineurs ? quelles obligations reposent à cet
égard sur les commerçants ?
o Article L3512-12 du Code de la santé publique :
RÉPUBLIQUE FRANÇAISE
3 Place de Fontenoy, TSA 80715 – 75334 PARIS CEDEX 07 – 01 53 73 22 22 – www.cnil.fr
Les données personnelles nécessaires à l’accomplissement des missions de la CNIL sont traitées dans des fichiers destinés à son usage exclusif.
Les personnes concernées peuvent exercer leurs droits Informatique et Libertés en s’adressant au délégué à la protection des données (DPO)
de la CNIL via un formulaire en ligne ou par courrier postal. Pour en savoir plus : www.cnil.fr/donnees-personnelles.
«
Il est interdit de vendre ou d'offrir gratuitement, dans les débits de tabac et
tous commerces ou lieux publics, à des mineurs de moins de dix-huit ans des
produits du tabac définis à l'article L. 3512-1 ou des ingrédients définis à
l'article L. 3512-2.
La personne qui délivre l'un de ces produits exige du client qu'il établisse la
preuve de sa majorité. »
o Article R3515-5 du Code de la santé publique
«
Le fait de vendre ou d'offrir gratuitement, dans les débits de tabac, dans tous
commerces ou lieux publics, des produits du tabac à un mineur en
méconnaissance de l'interdiction prévue à l'article L. 3512-12 est puni de
l'amende prévue pour les contraventions de la quatrième classe ».
o Article L3513-5 du Code de la santé publique :
« Il est interdit de vendre ou d'offrir gratuitement, dans les débits de tabac et
tous commerces ou lieux publics, à des mineurs de moins de dix-huit ans des
produits du vapotage.
La personne qui délivre l'un de ces produits exige du client qu'il établisse la
preuve de sa majorité. »
o Article R3515-6 du Code de la santé publique :
o «
Le fait de vendre ou d'offrir gratuitement, dans les débits de tabac, dans tous
commerces ou lieux publics, des produits du vapotage à un mineur en
méconnaissance de l'interdiction prévue à l'article L. 3513-5 est puni de
l'amende prévue pour les contraventions de la quatrième classe ».
o Article L320-8 du Code de la sécurité intérieure :
«
Les opérateurs de jeux d'argent et de hasard légalement autorisés sont tenus
de faire obstacle à la participation de mineurs, même émancipés, aux activités
de jeu ou de pari qu'ils proposent.
Il est interdit de vendre ou d'offrir gratuitement à des mineurs des jeux
d'argent et de hasard mentionnés aux 1°, 3°, 4°, 5° et 6° de l'article L. 320-6.
Sur les hippodromes et dans les postes d'enregistrement de jeux de loterie, de
jeux de paris sportifs ou de paris hippiques mentionnés aux 3°, 4° et 5° de
l'article L. 320-6, la personne physique qui commercialise directement auprès
du client les jeux d'argent et de hasard peut exiger du client qu'il établisse la
preuve de sa majorité ».
o Article 5.1 Protection des mineurs du décret 2019-1060 du 17/10/2019 relatif
aux modalités d’application du contrôle étroit de l’Etat sur la société FDJ :
«
FDJ s'engage annuellement auprès de l'Etat sur les objectifs de la protection
des mineurs.
FDJ fixe annuellement des objectifs à atteindre pour les détaillants en matière
de protection des mineurs.
FDJ contrôle le respect des obligations des détaillants au titre de la protection
des mineurs et de la lutte contre le jeu excessif. En cas de manquement de la
part d'un de ses détaillants, FDJ sanctionne celui-ci ».
RÉPUBLIQUE FRANÇAISE
3 Place de Fontenoy, TSA 80715 – 75334 PARIS CEDEX 07 – 01 53 73 22 22 – www.cnil.fr
Les données personnelles nécessaires à l’accomplissement des missions de la CNIL sont traitées dans des fichiers destinés à son usage exclusif.
Les personnes concernées peuvent exercer leurs droits Informatique et Libertés en s’adressant au délégué à la protection des données (DPO)
de la CNIL via un formulaire en ligne ou par courrier postal. Pour en savoir plus : www.cnil.fr/donnees-personnelles.
(Sanction pouvant aller jusqu’à la résiliation du contrat d’agrément de
détaillant FDJ)
o Article D. 322-22-9 du Code de la sécurité intérieure :
«
Les agents chargés du contrôle et de la surveillance de l'exploitation des
postes d'enregistrement de paris sportifs ou de paris hippiques ont compétence
pour vérifier le respect des obligations d'affichage des personnes privées
exploitant un poste d'enregistrement de jeux en matière de prévention du jeu
excessif et de protection des mineurs ainsi que le respect de l'interdiction de
vente aux mineurs ».
7. A quels obstacles les commerçants sont-ils confrontés pour la vérification de
l’âge des clients via un titre d’identité ?
o Il est souvent difficile, sur leur apparence physique, de déterminer les clients à
qui demander une pièce justificative de leur majorité.
o Le flux de clientèle et la rapidité des ventes rendent difficile l’appréciation de
l’âge lors des ventes et des erreurs de bonne foi sont inévitables.
o La demande d’un titre permettant de justifier de l’âge étant de nature à pouvoir
provoquer des tensions, tous les dispositifs permettant, dans le respect de la loi,
d’aider les buralistes à ne pas vendre les produits réglementés aux mineurs en
maintenant les bonnes relations avec la clientèle et la convivialité des points de
vente peuvent intéresser les buralistes.
8. Identifiez-vous des risques pour les personnes concernées associés au
déploiement de ces dispositifs ?
o Non. Cela contribue au contraire à éviter aux mineurs d’acheter les produits
qui leur sont interdits.
2.2. Sur le fonctionnement des dispositifs
9. Pourriez-vous décrire le mode de fonctionnement de la solution ? Le cas
échéant, et dans la mesure du possible, pourriez-vous nous communiquer la
documentation technique qui détaille son fonctionnement (notamment sur le
circuit des données collectées, les briques logicielles utilisées, les dispositifs
utilisés dans le traitement des données, la localisation du traitement de
données, mais aussi les caractéristiques /
features d’estimation utilisées, etc.) ?
o Documentation en PJ
RÉPUBLIQUE FRANÇAISE
3 Place de Fontenoy, TSA 80715 – 75334 PARIS CEDEX 07 – 01 53 73 22 22 – www.cnil.fr
Les données personnelles nécessaires à l’accomplissement des missions de la CNIL sont traitées dans des fichiers destinés à son usage exclusif.
Les personnes concernées peuvent exercer leurs droits Informatique et Libertés en s’adressant au délégué à la protection des données (DPO)
de la CNIL via un formulaire en ligne ou par courrier postal. Pour en savoir plus : www.cnil.fr/donnees-personnelles.
10. Les caméras augmentées sont-elles activées en permanence ou manuellement
par les commerçants ? Tous les clients sont-ils analysés par ces caméras, ou
seulement ceux dont la majorité est incertaine ?
o Tous les clients se présentant devant l’appareil sont automatiquement évalués
comme étant mineurs ou majeurs, l’appareil affichant le résultat. Aucune
activation n’est requise de la part du buraliste.
11. Les personnes souhaitant acheter un produit dont la vente n’est pas interdite
aux mineurs sont-ils également analysés par ces caméras ?
o Oui.
12. Quelle est la marge d’erreur des dispositifs de vérification d’âge déployés ? Y-a-
t-il une alternative / une levée de doute par d’autres moyens, si oui lesquels ?
Comment sont traitées les estimations très proches du seuil ?
o Un des fournisseurs de système précise que les appareils ont un seuil fixé à 21
ans.
Pourriez-vous préciser les performances de la solution, notamment :
o La méthode d’évaluation de la performance (données utilisées, etc.) ?
o Les erreurs moyennes par âges spécifiques si disponibles (notamment
pour les âges allant de 13 à 25 ans ?
o Le taux de faux positif et faux négatif sur l’estimation de la majorité (i.e.
une personne mineure est indiquée comme majeure et inversement) ?
o Le choix ayant été fait, quant à l’équilibre entre faux positifs et faux
négatifs pour l’évaluation de la majorité ? (Priorité donnée à un taux de
faux positifs le plus faible, équilibre entre FP et FN, etc.)
2.3 Sur la conception des dispositifs
•
Pour les fournisseurs ayant conçu eux-mêmes leurs solutions
13. Avez-vous constitué vous-même une base de données d’entrainement pour
entraîner la solution algorithmique ? Comment ces données ont-elles été
collectées (collecte spécifique de données à caractère personnel à cette fin ou
réutilisation de données déjà collectées pour une autre finalité ou par un tiers) ?
Merci de détailler les sources et les conditions de collecte de ces données.
14. Êtes-vous passé par un prestataire pour le traitement (par exemple
d’annotation) des données d'entraînement ? Si oui, quelles mesures techniques
RÉPUBLIQUE FRANÇAISE
3 Place de Fontenoy, TSA 80715 – 75334 PARIS CEDEX 07 – 01 53 73 22 22 – www.cnil.fr
Les données personnelles nécessaires à l’accomplissement des missions de la CNIL sont traitées dans des fichiers destinés à son usage exclusif.
Les personnes concernées peuvent exercer leurs droits Informatique et Libertés en s’adressant au délégué à la protection des données (DPO)
de la CNIL via un formulaire en ligne ou par courrier postal. Pour en savoir plus : www.cnil.fr/donnees-personnelles.
ou contractuelles ont été mises en place pour assurer la confidentialité des
données personnelles concernées ?
15. Des mesures sont-elles prises pour évaluer la présence de biais algorithmiques ?
Pour les réduire ou les compenser ?
16. La conception de la solution nécessite-t-elle une intervention humaine
notamment en vue de l'annotation d’images ou de vidéos ?
o Si le système détecte un client comme potentiellement mineur, le buraliste est
invité à vérifier l’âge en demandant la production d’un titre adéquat.
•
Pour les fournisseurs réutilisant un modèle tiers
17. Disposez-vous de garanties concernant la légalité de la collecte des données
ayant servi à l’entrainement initial du modèle ?
18. Avez-vous procédé à un réentraînement du modèle ? Si oui, sur quelles bases de
données (comment ont-elles été notamment collectées, annotées, etc.) ?
19. Avez-vous évalué la présence de biais algorithmiques ? Comment les avez-vous
réduits / compensés ?
2.4 Sur le cadre juridique
•
Les catégories de données collectées et leur durée de conservation
20. Quelles sont les catégories de données personnelles collectées par le dispositif
(images, vidéo, son, etc.) ?
o Un des fournisseurs nous indique que les données ne permettent en aucun cas
d’identifier une personne de manière unique.
21. Les solutions utilisées reposent-elles sur le traitement de catégories
particulières de données à caractère personnel (au sens de l’article 9 du RGPD),
comme des données biométriques ou des données qui révèlent l’origine raciale
ou ethnique des personnes concernées ?
o Un des fournisseurs de système indique que les données traitées ne sont pas
considérées comme des données de catégorie particulière au sens de l’article 9
du RGPD et qu’elles ne peuvent être utilisées que pour estimer l’âge.
Les données personnelles sont-elles conservées ? Si oui quelles données sont
conservées, pour combien de temps et quelles finalités ? et qui pourra y avoir
accès et dans quelles conditions ?
o Un des fournisseurs nous indique qu’aucune information personnelle ou
identifiable n'est jamais stockée ou traitée sur l'appareil.
•
Les conditions de licéité du traitement
RÉPUBLIQUE FRANÇAISE
3 Place de Fontenoy, TSA 80715 – 75334 PARIS CEDEX 07 – 01 53 73 22 22 – www.cnil.fr
Les données personnelles nécessaires à l’accomplissement des missions de la CNIL sont traitées dans des fichiers destinés à son usage exclusif.
Les personnes concernées peuvent exercer leurs droits Informatique et Libertés en s’adressant au délégué à la protection des données (DPO)
de la CNIL via un formulaire en ligne ou par courrier postal. Pour en savoir plus : www.cnil.fr/donnees-personnelles.
22. Comment vous assurez-vous que seules les données personnelles nécessaire aux
finalités de vérification d’âge sont traitées (principe de minimisation des
données) ?
o Un des fournisseurs nous indique que les données traitées pour obtenir
l'estimation de l'âge ne sont pas considérées comme des données personnelles
ni comme des données de catégorie particulière au sens du RGPD.
Quelles sont les bases légales (au sens de l’article 6 du RGPD) mobilisées pour
le traitement de données en cause ? Pourriez-vous détailler les modalités de
mise en œuvre de la base légale choisie (ex : conditions de recueil du
consentement, balance des intérêts pour l’intérêt légitime, etc.)
o Un des fournisseurs nous indique qu’une analyse d'impact relative à la
protection des données (DPIA) a été réalisée et a conclu que l'appareil ne
relève pas du champ d'application du RGPD.
Quelles précautions sont prises pour encadrer les traitements de données de
mineurs ?
o Un des fournisseurs indique qu’aucune donnée de catégorie particulière n'est
traitée et aucune donnée n'est enregistrée.
23. Pourriez-vous indiquer les modalités de conformité à l’article 22 du RGPD ?
o L'appareil fournit une recommandation. Aucune donnée de catégorie
particulière n'est traitée. L'appareil est conçu pour aider le buraliste à empêcher
l'accès des mineurs aux produits soumis à une restriction d'âge.
24. Pourriez-vous indiquer quel acteur est qualifié de responsable des traitements
de données personnelles impliqués par les dispositifs de vérification d’âge au
titre du RGPD ? quel est le rôle du fournisseur de la solution de vérification d’âge
au regard du RGPD (co-responsable de traitement, sous-traitant, destinataire,
sans responsabilité juridique) ?
o D’après nos informations, aucun traitement de données n'a lieu via les
appareils.
•
L’information et les droits des personnes concernées
25. Comment les personnes sont-elles informées de la mise en œuvre du dispositif
au sein du point de vente ? En particulier, pourriez-vous indiquer les modalités
de mise en œuvre du droit à l’information à l’égard des mineurs ?
o Une notification, fournie avec les appareils, est placée à l’entrée du commerce
ou au comptoir, comme illustré ci-dessous.
RÉPUBLIQUE FRANÇAISE
3 Place de Fontenoy, TSA 80715 – 75334 PARIS CEDEX 07 – 01 53 73 22 22 – www.cnil.fr
Les données personnelles nécessaires à l’accomplissement des missions de la CNIL sont traitées dans des fichiers destinés à son usage exclusif.
Les personnes concernées peuvent exercer leurs droits Informatique et Libertés en s’adressant au délégué à la protection des données (DPO)
de la CNIL via un formulaire en ligne ou par courrier postal. Pour en savoir plus : www.cnil.fr/donnees-personnelles.
26. Comment les personnes peuvent-elles exercer leurs droits au titre du RGPD (au
sens du chapitre III du RGPD, particulièrement droit d’accès et droit
d’opposition le cas échéant)?
o Un des fournisseurs nous informe que l’appareil ne relève pas du champ
d’application des droits prévus par le RGPD.
27. Les personnes ont-elles la possibilité de contester un refus de vente du
commerçant suite à une vérification de leur âge par le dispositif ? si oui, de
quelle manière ? si non, pourquoi ?
o Oui, bien sûr en établissant la preuve de leur majorité.
28. Le fonctionnement du dispositif repose-t-il sur le transfert de données en-
dehors de l’Union européenne ? Si oui, dans quelles conditions ?
o Pas à notre connaissance
29. Les données collectées sont-elles réutilisées à des fins d’amélioration de la
solution ? Si oui, quelles données et dans quelles conditions ?
o Pas à notre connaissance
30. Les données collectées sont-elles réutilisées à d’autres fins ? Si oui, quelles
données et dans quelles conditions ?
o Pas à notre connaissance
RÉPUBLIQUE FRANÇAISE
3 Place de Fontenoy, TSA 80715 – 75334 PARIS CEDEX 07 – 01 53 73 22 22 – www.cnil.fr
Les données personnelles nécessaires à l’accomplissement des missions de la CNIL sont traitées dans des fichiers destinés à son usage exclusif.
Les personnes concernées peuvent exercer leurs droits Informatique et Libertés en s’adressant au délégué à la protection des données (DPO)
de la CNIL via un formulaire en ligne ou par courrier postal. Pour en savoir plus : www.cnil.fr/donnees-personnelles.
31. Les données collectées sont-elles transmises à des tiers ? Si oui, à quelles fins ?
o Non, pas à notre connaissance
32. La diffusion ou la revente des modèles d’algorithmes entrainés à partir de
données personnelles est-elle prévue ? Quel est l’encadrement juridique prévu
dans ce cas ?
o Non, pas à notre connaissance.
•
Les mesures de sécurité 33. Les dispositifs déployés font-ils l’objet de mesures de minimisation des risques
liés à la vie privée ou à la protection des données à caractère personnel des
personnes concernées (ex : traitement des données en local, suppression des
données immédiatement après l’achèvement du traitement, pseudonymisation
/ anonymisation des données, sécurité du matériel, dégradation ou floutage des
images, etc.) ?
o A notre connaissance, le système est entièrement fermé et il ne peut y être
accédé.
34. Quelles mesures techniques sont mises en place pour assurer la sécurité des
traitements de données ?
o A notre connaissance, l’appareil ne donne pas lieu au traitement de données.
2.4 Autres questions
35. Avez-vous des remarques ou informations complémentaires que vous
souhaiteriez partager ?
RÉPUBLIQUE FRANÇAISE
3 Place de Fontenoy, TSA 80715 – 75334 PARIS CEDEX 07 – 01 53 73 22 22 – www.cnil.fr
Les données personnelles nécessaires à l’accomplissement des missions de la CNIL sont traitées dans des fichiers destinés à son usage exclusif.
Les personnes concernées peuvent exercer leurs droits Informatique et Libertés en s’adressant au délégué à la protection des données (DPO)
de la CNIL via un formulaire en ligne ou par courrier postal. Pour en savoir plus : www.cnil.fr/donnees-personnelles.
