Analyse d'impact relative à la protection des données (AIPD) — modèle
Reconnaissance faciale « Retrouver mes photos » — Photoenlive
Modèle fourni par KWESTMI (éditeur de Photoenlive) — version 1.0 du 5 novembre 2026
Correspond au texte d'information et de consentement version 2026-11-05.
Notice — à lire avant de remplir
Pourquoi ce document ? Lorsque vous activez la reconnaissance faciale sur un événement, vous êtes responsable du traitement de données biométriques (article 9 du RGPD). Ce traitement réunit plusieurs critères qui rendent une analyse d'impact obligatoire avant sa mise en œuvre (article 35 du RGPD) : données biométriques, usage d'une technologie innovante, comparaison d'un visage avec un ensemble de photos, présence possible de personnes vulnérables (enfants). Kwestmi, votre sous-traitant, vous fournit ce modèle comme prévu par les CGV (article 14.3 et Annexe 1, article 8.3).
Quand la faire ? Avant la première activation de l'option. Une seule analyse peut couvrir un ensemble d'événements similaires (article 35.1 du RGPD) : vous pouvez remplir ce document une fois pour votre activité (par exemple « mariages » ou « soirées d'entreprise »), puis compléter une fiche événement (annexe A) pour chaque événement. Refaites l'analyse si vos usages changent (nouveau type d'événement, public d'enfants, volume nettement supérieur) ou si Kwestmi vous signale une évolution du dispositif.
Comment la remplir ?
- Tout ce qui décrit la plateforme est déjà rempli par Kwestmi, à partir du fonctionnement réel du service. Relisez-le : si votre usage diffère, corrigez.
- Les champs signalés par ✎ À REMPLIR vous concernent (nature de vos événements, nombre d'invités, présence de mineurs, mode d'information, contact, décision). Les cases ☐ sont à cocher.
- Les niveaux de risque (section 4) sont pré-évalués par Kwestmi pour un usage standard ; ajustez-les si vos événements présentent des particularités (enfants nombreux, personnalités exposées, lieu sensible…).
- La méthode suivie est celle de la CNIL (guides « PIA » : contexte, principes fondamentaux, risques, validation). Vous pouvez aussi reporter ce contenu dans le logiciel PIA de la CNIL.
Où la conserver ? Dans votre documentation de conformité (avec votre registre des traitements), pendant toute la durée d'utilisation de l'option, puis au moins 5 ans. Vous n'avez pas à l'envoyer à la CNIL ni à Kwestmi, mais vous devez pouvoir la présenter en cas de contrôle. Si l'analyse conclut à un risque résiduel élevé que vous ne pouvez pas réduire, vous devez consulter la CNIL avant d'activer l'option (article 36 du RGPD) — ou ne pas l'activer.
Contacts utiles : Kwestmi — contact@photoenlive.com — 07 86 01 97 43. CNIL — www.cnil.fr.
1. Contexte
1.1. Identification
| Responsable du traitement | ✎ À REMPLIR : raison sociale, SIREN, adresse |
| Représentant / personne en charge de l'analyse | ✎ À REMPLIR : nom, fonction, email |
| Délégué à la protection des données (DPO) | ✎ À REMPLIR : nom et contact, ou « aucun DPO désigné » |
| Adresse de contact affichée aux invités (nom commercial et email publiés sur l'album, la borne et la fenêtre de consentement) | ✎ À REMPLIR : vérifiez qu'elle est valide et consultée |
| Sous-traitant | KWESTMI, SASU, 269 rue Philippe Castan, 34090 Montpellier — RCS Montpellier 882 629 249 — contact@photoenlive.com (accord de sous-traitance : Annexe 1 des CGV Photoenlive) |
| Sous-traitant ultérieur | KALANDA SAS, 94 avenue de la Sarriette, ZAC Athelia 2, 13600 La Ciotat — hébergement du service (serveur, base de données, photos) — données hébergées en France |
| Date de l'analyse | ✎ À REMPLIR |
1.2. Présentation du traitement
Finalité unique : permettre à un invité qui le demande de retrouver les photos d'un album où il apparaît, à partir d'un selfie, pour un seul événement.
Enjeux : service rendu aux invités (retrouver rapidement ses photos parmi plusieurs centaines) ; option facultative, l'album restant consultable sans elle.
Vos événements concernés :
| Nature des événements | ✎ À REMPLIR : mariages, soirées d'entreprise, séminaires, galas… |
| Nombre moyen d'invités par événement | ✎ À REMPLIR |
| Nombre d'événements par an avec l'option activée | ✎ À REMPLIR |
| Présence de mineurs | ✎ À REMPLIR : ☐ aucun ☐ quelques enfants accompagnés de leurs parents ☐ public majoritairement mineur (option à ne pas activer, CGV art. 14.3) |
| Personnes particulièrement exposées (personnalités, salariés d'un client, lieux sensibles) | ✎ À REMPLIR |
| Mode « uniquement mes photos » utilisé | ✎ À REMPLIR : ☐ oui ☐ non |
Référentiels applicables : RGPD (notamment articles 5, 6, 7, 9, 12 à 22, 25, 28, 32 à 36) ; loi n° 78-17 du 6 janvier 1978 (notamment article 45 sur le consentement des mineurs de moins de 15 ans) ; lignes directrices du CEPD 3/2019 sur les dispositifs vidéo (données biométriques) et 05/2020 sur le consentement ; recommandations de la CNIL.
1.3. Données, processus et supports
| Étape | Données | Où | Durée |
|---|---|---|---|
| 1. Information et consentement de l'invité | Case de consentement explicite (non pré-cochée) et déclaration « 15 ans ou plus » | Navigateur de l'invité | Instantané |
| 2. Selfie | Image de la caméra en direct | Uniquement sur l'appareil de l'invité : l'image n'est jamais envoyée | Instantané |
| 3. Calcul du gabarit | Gabarit facial (128 valeurs numériques) calculé dans le navigateur | Appareil de l'invité, puis transmis au serveur (HTTPS) | — |
| 4. Inscription | Gabarit, version du texte de consentement, date, empreinte (SHA-256) d'un jeton aléatoire ; le jeton lui-même est conservé dans le navigateur de l'invité | Base de données Photoenlive (KALANDA, France) | Jusqu'à la date de l'événement + 30 jours (ou 30 jours après l'inscription si elle est postérieure) |
| 5. Trace de consentement | Événement, version du texte, date — aucune donnée identifiante (ni IP, ni gabarit, ni nom) | Base de données | Conservée à titre de preuve |
| 6. Recherche | Les visages des photos de l'album prises par les photographes sont détectés par le serveur et comparés au seul gabarit des invités inscrits ; les photos déposées par les invités ne sont pas analysées | Mémoire vive du serveur uniquement : jamais enregistrés | 30 minutes au plus |
| 7. Résultat | Liste « invité inscrit ↔ photos où il apparaît » | Base de données | Comme l'étape 4 |
| 8. Consultation | L'invité voit ses photos (ou tout l'album selon son choix) ; en mode « uniquement mes photos », seulement les siennes | Navigateur de l'invité | — |
| 9. Retrait / effacement | Suppression du gabarit et de la liste | Base de données | Immédiat |
Ce que le dispositif ne fait pas : aucune analyse d'aucune photo tant qu'aucun invité ne s'est inscrit ; aucun index ni regroupement des personnes photographiées ; aucune réutilisation entre événements ; aucun service tiers de reconnaissance faciale (moteur exécuté sur le serveur de la plateforme et dans le navigateur) ; aucun transfert hors de l'Union européenne ; vous n'avez jamais accès aux gabarits (vous voyez seulement le nombre d'inscrits, de photos retrouvées et la date de fin de conservation).
Supports : navigateurs des invités (smartphone en général) ; serveur Windows (IIS, Node.js) et base PostgreSQL hébergés par KALANDA en France ; connexions chiffrées (HTTPS).
2. Principes fondamentaux
2.1. Proportionnalité et nécessité
| Principe | Mesure | Appréciation |
|---|---|---|
| Finalité déterminée, explicite et légitime | Retrouver ses propres photos dans un album, pour un événement | Conforme |
| Base légale | Consentement explicite de l'invité (art. 9.2.a RGPD), recueilli avant l'ouverture de la caméra, distinct de toute autre acceptation, retirable à tout moment | Conforme, sous réserve de l'information préalable des invités (§ 2.2) |
| Caractère libre du consentement | Fonction facultative ; album consultable sans elle ; en mode « uniquement mes photos », l'invité peut demander ses photos à l'organisateur (adresse affichée) | Conforme si vous traitez effectivement ces demandes ✎ À REMPLIR : comment et dans quel délai vous y répondez |
| Mineurs | Déclaration « 15 ans ou plus » obligatoire ; pour un enfant plus jeune, seul un parent peut faire la démarche, avec la photo de l'enfant et en son nom | Déclarative ; adaptée aux événements où les enfants sont accompagnés. ✎ À REMPLIR : précautions propres à vos événements |
| Minimisation | Selfie jamais transmis ; seul un gabarit est conservé, pour les seuls inscrits ; visages des autres personnes traités en mémoire, le temps de la comparaison ; liste de correspondances sans gabarit ni position du visage | Conforme |
| Exactitude | Seuil de correspondance (distance < 0,5) ; refus si aucun visage n'est détecté ; résultats probabilistes signalés aux invités | Conforme ; faux positifs possibles (voir § 4) |
| Durée de conservation | Date de l'événement + 30 jours ; purge automatique toutes les 6 heures ; données biométriques exclues des sauvegardes | Conforme. Vous pouvez effacer plus tôt (bouton d'effacement de l'événement) ✎ À REMPLIR : effacez-vous dès la fin de l'événement ? |
| Volumes | Plafonds par défaut : 500 inscriptions par événement, 200 par heure ; 100 visages au plus par photo | Conforme |
2.2. Mesures protectrices des droits des personnes
| Droit / exigence | Mesure |
|---|---|
| Information des invités avant l'événement ou sur place | Choix obligatoire à la publication de l'album : email aux invités, affichage sur place (affiche A4 fournie) ou les deux, avec attestation. ✎ À REMPLIR : mode retenu pour vos événements, et vérifiez que le texte mentionne la reconnaissance faciale |
| Information au moment du consentement | Fenêtre d'information : responsable du traitement (votre nom et votre email), finalité, conservation, absence de fichage des autres invités, droits, alternative ; lien vers la politique de confidentialité |
| Information sur place | La borne de diffusion affiche en permanence la diffusion en direct, le droit de refuser d'être photographié et votre adresse pour le retrait d'une photo |
| Retrait du consentement | Bouton « Retirer mon consentement » dans l'album : effacement immédiat |
| Accès, effacement, opposition | Demandes adressées à votre adresse de contact ou à Kwestmi (transmission sous 5 jours ouvrés) ; effacement de toutes les données biométriques de l'événement en un clic depuis votre espace |
| Portabilité | Sans objet en pratique (gabarit non réutilisable hors du service) ; la liste des photos est accessible à l'invité |
| Sous-traitance | Accord conforme à l'article 28 (Annexe 1 des CGV) ; sous-traitant ultérieur : KALANDA (France) |
| Transferts hors UE | Aucun |
3. Mesures existantes et prévues
3.1. Mesures de la plateforme (Kwestmi)
| Domaine | Mesure |
|---|---|
| Architecture « consentement d'abord » | Aucune analyse sans inscrit ; comparaison aux seuls inscrits ; visages des photos jamais enregistrés (mémoire vive, 30 minutes au plus, 3 000 photos au plus) |
| Cloisonnement | Gabarits propres à un événement ; aucune interface ne les expose, ni à vous ni aux invités ; en mode « uniquement mes photos », aucun identifiant de personne n'est divulgué |
| Contrôle d'accès | Inscription possible seulement avec l'accès à l'album (code, mot de passe éventuel vérifié de manière sécurisée) ; jeton « mes photos » aléatoire, stocké sous forme d'empreinte côté serveur ; limitation du nombre de tentatives |
| Sécurité des échanges | HTTPS de bout en bout ; seul le gabarit (128 valeurs) transite, jamais l'image |
| Stockage | Base de données sur un serveur hébergé en France, accès réservé à l'exploitant ; pas de chiffrement applicatif spécifique des gabarits à ce jour |
| Sauvegardes | Tables biométriques exclues des sauvegardes de la base |
| Effacement | Purge planifiée toutes les 6 heures ; effacement immédiat au retrait, à votre demande, à la désactivation de l'option ou de votre compte ; une photo supprimée entraîne l'effacement des correspondances qui la concernent |
| Qualité | Seuil de correspondance ; refus d'une détection sans visage ; photos au nombre de visages aberrant ignorées |
| Caméra | Selfie pris avec la caméra en direct (pas d'import d'un fichier image) |
| Gouvernance | Revue de sécurité de chaque modification du code ; notification des violations de données sous 48 heures (accord de sous-traitance, art. 11) |
3.2. Mesures à votre charge
| Mesure | En place ? |
|---|---|
| Informer les invités avant l'événement ou sur place (email et/ou affiche), en mentionnant la reconnaissance faciale | ✎ ☐ oui ☐ non |
| Respecter le refus de toute personne qui ne veut pas être photographiée ; consignes données aux photographes | ✎ ☐ oui ☐ non |
| Renseigner une adresse de contact valide et la consulter pendant et après l'événement | ✎ ☐ oui ☐ non |
| Répondre aux demandes d'invités qui ne veulent pas utiliser la reconnaissance faciale (notamment en mode « uniquement mes photos ») | ✎ ☐ oui ☐ non — délai : … |
| Ne pas activer l'option pour un événement destiné principalement à des mineurs | ✎ ☐ oui ☐ non |
| Effacer les données biométriques dès qu'elles ne sont plus utiles (par exemple à la livraison des photos) | ✎ ☐ oui ☐ non |
| Protéger l'accès à votre compte (mot de passe robuste, appareil personnel) et aux albums (codes non diffusés publiquement) | ✎ ☐ oui ☐ non |
| Mesures complémentaires propres à vos événements | ✎ À REMPLIR |
4. Risques sur les droits et libertés des personnes
Échelle CNIL — gravité et vraisemblance : 1 négligeable, 2 limitée, 3 importante, 4 maximale. Niveaux pré-évalués pour un usage standard, après application des mesures du § 3.
4.1. Accès illégitime aux données
| Impacts potentiels | Utilisation d'un gabarit pour reconnaître la personne sur d'autres images ; révélation de la présence d'une personne à un événement ; accès aux photos d'une personne par un tiers |
| Sources de risque | Attaquant externe ; invité malveillant ayant accès à l'album ; personne utilisant l'appareil d'un inscrit ; personnel ayant un accès technique |
| Menaces | Intrusion sur le serveur ou vol de la base ; utilisation de la photo d'un tiers présentée à la caméra pour obtenir ses photos (notamment en mode « uniquement mes photos ») ; consultation du jeton « mes photos » sur un appareil partagé |
| Mesures | § 3.1 (contrôle d'accès, cloisonnement, absence d'exposition des gabarits, hébergement en France, durée courte, exclusion des sauvegardes) ; interdiction d'utiliser le visage d'un tiers (CGU art. 11) ; caméra en direct ; limitation des tentatives |
| Gravité | 3 — importante (donnée biométrique, non modifiable) ✎ ajuster si besoin : … |
| Vraisemblance | 2 — limitée ✎ ajuster si besoin : … |
4.2. Modification non désirée des données
| Impacts potentiels | Un invité se voit attribuer les photos d'une autre personne, ou ne retrouve pas les siennes |
| Sources de risque | Erreur du moteur (faux positif / faux négatif) ; ressemblance entre personnes (famille) |
| Menaces | Correspondance erronée ; altération de la base |
| Mesures | Seuil de correspondance ; résultat présenté comme probabiliste ; aucun gabarit modifiable par un tiers ; l'invité peut retirer son consentement et refaire une inscription |
| Gravité | 2 — limitée (exposition de photos d'un même événement) ✎ ajuster si besoin : … |
| Vraisemblance | 2 — limitée ✎ ajuster si besoin : … |
4.3. Disparition des données
| Impacts potentiels | L'invité ne retrouve plus ses photos par ce moyen (les photos de l'album, elles, restent disponibles) |
| Sources de risque | Incident technique ; purge à l'échéance ; effacement par l'organisateur |
| Menaces | Perte de la base ; effacement prématuré |
| Mesures | Les photos sont sauvegardées indépendamment ; l'invité peut se réinscrire ; l'absence de sauvegarde des gabarits est volontaire (minimisation) |
| Gravité | 1 — négligeable |
| Vraisemblance | 2 — limitée |
4.4. Points d'attention complémentaires
| Point | Appréciation | Votre action |
|---|---|---|
| Visages des personnes non inscrites : pour être comparés aux inscrits, les visages présents sur les photos sont analysés en mémoire vive, sans enregistrement ni identification | Traitement transitoire, limité à la comparaison avec les seuls inscrits ; gravité limitée | Mentionnez-le dans l'information des invités (« les photos sont seulement comparées au selfie des invités qui l'ont demandé ; les autres visages ne sont ni enregistrés ni identifiés ») ✎ ☐ fait |
| Enfant de moins de 15 ans déclarant faussement son âge | Déclaration non vérifiable | Rappel oral ou sur l'affiche ; pas d'activation pour les événements d'enfants ✎ ☐ fait |
| Mode « uniquement mes photos » : la photo d'un tiers présentée à la caméra peut donner accès à ses photos | Vraisemblance limitée (accès à l'album nécessaire) | N'utilisez ce mode que si sa finalité le justifie ✎ justification : … |
4.5. Cartographie
| Risque | Gravité | Vraisemblance | Niveau |
|---|---|---|---|
| Accès illégitime | 3 | 2 | Modéré |
| Modification non désirée | 2 | 2 | Limité |
| Disparition | 1 | 2 | Faible |
✎ À REMPLIR : reportez ici vos niveaux s'ils diffèrent.
5. Risque résiduel et plan d'action
Appréciation proposée par Kwestmi pour un usage standard : risque résiduel acceptable (limité à modéré), à condition que les mesures à votre charge (§ 3.2) soient en place. Dans ce cas, une consultation préalable de la CNIL n'est pas nécessaire.
Le risque résiduel n'est pas acceptable — et l'option ne doit pas être activée sans consultation de la CNIL — notamment si : le public est majoritairement composé d'enfants ; vous ne pouvez pas informer les invités avant ou pendant l'événement ; vous ne pouvez pas traiter les demandes des invités qui refusent la reconnaissance faciale ; l'événement présente un caractère sensible (par exemple réunion révélant des opinions, une religion ou un état de santé).
Plan d'action
| Action | Responsable | Échéance | Statut |
|---|---|---|---|
| ✎ À REMPLIR | |||
| ✎ À REMPLIR |
6. Avis du délégué à la protection des données
✎ À REMPLIR (si un DPO est désigné) : avis, date, signature. ☐ Aucun DPO désigné.
7. Avis des personnes concernées (facultatif)
✎ À REMPLIR : par exemple avis de votre client organisateur, retours d'invités, ou raison pour laquelle cet avis n'a pas été recueilli.
8. Décision du responsable du traitement
☐ Le traitement peut être mis en œuvre en l'état. ☐ Le traitement peut être mis en œuvre sous réserve des actions du plan d'action. ☐ Le traitement ne doit pas être mis en œuvre (ou une consultation préalable de la CNIL est nécessaire).
| Nom et fonction | ✎ À REMPLIR |
| Date | ✎ À REMPLIR |
| Signature | ✎ À REMPLIR |
| Date de révision prévue | ✎ À REMPLIR (au plus tard dans un an, ou à tout changement d'usage) |
Annexe A — Fiche événement
À remplir pour chaque événement sur lequel la reconnaissance faciale est activée, et à conserver avec l'analyse.
| Événement (titre, date, lieu) | ✎ |
| Nature (mariage, entreprise…) et organisateur client | ✎ |
| Nombre d'invités attendus | ✎ |
| Présence d'enfants | ✎ ☐ aucun ☐ quelques-uns, accompagnés ☐ nombreux (option à ne pas activer) |
| Mode d'information choisi à la publication | ✎ ☐ email avant l'événement ☐ affichage sur place ☐ les deux — date de l'attestation : … |
| La reconnaissance faciale est mentionnée dans l'information | ✎ ☐ oui |
| Mode « uniquement mes photos » | ✎ ☐ oui ☐ non |
| Adresse de contact affichée | ✎ |
| Particularités / mesures supplémentaires | ✎ |
| Date d'effacement des données biométriques (anticipé ou automatique : date de l'événement + 30 jours) | ✎ |
| Demandes d'invités reçues (accès, effacement, photos sans reconnaissance faciale) et suites données | ✎ |
Annexe B — Rappel des paramètres de la plateforme
| Paramètre | Valeur |
|---|---|
| Version du texte de consentement | 2026-11-05 |
| Conservation du gabarit et des correspondances | Date de l'événement + 30 jours (ou 30 jours après l'inscription si elle est postérieure) |
| Fréquence de la purge automatique | Toutes les 6 heures |
| Conservation des visages détectés dans les photos | Mémoire vive, 30 minutes au plus ; jamais enregistrés |
| Plafonds d'inscription | 500 par événement, 200 par heure (valeurs par défaut) |
| Seuil de correspondance | Distance euclidienne < 0,5 entre gabarits |
| Photos analysées | Photos des photographes de l'album ; jamais les photos déposées par les invités |
| Hébergement | KALANDA SAS, France |
| Sauvegardes | Données biométriques exclues |
| Accès de l'organisateur | Nombres d'inscrits et de photos retrouvées, date de fin de conservation ; effacement global |