Le salon professionnel est en pleine mutation. Fini le temps où l’on se contentait de distribuer des goodies et de compter les visiteurs à la sortie. Aujourd’hui, les outils de reconnaissance faciale et les systèmes d’analyse de flux promettent aux organisateurs et aux exposants une vision quasi-chirurgicale du comportement des visiteurs. Mais cette révolution technologique soulève une question fondamentale : jusqu’où peut-on aller sans franchir la ligne rouge ? Entre RGPD, AI Act et éthique, le cadre est plus strict que jamais. Dans cet article, je vais te guider à travers les méandres juridiques et les bonnes pratiques pour utiliser ces technologies sans mettre en péril ta réputation ni ta conformité.
I. La reconnaissance faciale en salon : un outil sous haute surveillance
1.1 Ce que dit la loi : l’interdiction de principe
Commençons par une évidence : en Europe, la reconnaissance faciale est interdite par défaut. Ce n’est pas moi qui le dis, c’est le RGPD et l’AI Act. L’article 9 du RGPD classe les données biométriques — dont les visages font partie — comme des données sensibles dont le traitement est en principe prohibé.
Mais alors, pourquoi voit-on des systèmes de reconnaissance faciale dans certains salons ? Parce qu’il existe des exceptions, mais elles sont très encadrées. Comme l’explique clairement un article spécialisé : « Biometric data — such as facial recognition — are legally considered special personal data and are, in principle, prohibited without explicit consent ».
Traduction : si tu veux utiliser la reconnaissance faciale dans ton salon, tu dois obtenir le consentement explicite de chaque visiteur. Et attention, ce consentement doit être libre, spécifique, éclairé et univoque. Pas question de cacher une case à cocher dans les conditions générales !
1.2 Les deux seules exceptions
Concrètement, il n’existe que deux situations où la reconnaissance faciale peut être utilisée légalement dans un cadre professionnel :
- Le consentement explicite du visiteur
- Un intérêt public majeur (comme la sécurité d’une centrale nucléaire)
Je te laisse deviner dans quelle catégorie tombe ton salon professionnel… Spoiler : pas la deuxième. La seule voie réaliste est donc le consentement. Et ce consentement doit être tellement solide que le visiteur doit pouvoir accéder au salon sans passer par la reconnaissance faciale si il le souhaite.
1.3 L’AI Act renforce le verrou
Depuis le 2 février 2025, l’EU AI Act est entré en application, et ses interdictions deviennent pleinement exécutoires à partir du 2 août 2026. La reconnaissance faciale en temps réel dans les espaces publics est formellement interdite. Et un salon professionnel, même privé, est considéré comme un espace accessible au public.
La CNIL surveille désormais l’application de ces interdictions et considère que le consentement pour ce type de dispositif est « rarement valable ». Autrement dit, même si tu penses avoir obtenu l’accord des visiteurs, les autorités de contrôle regarderont de très près comment tu l’as recueilli.
II. L’analyse de flux : une alternative moins risquée mais pas sans contraintes
2.1 Ce qui est autorisé sans consentement
Bonne nouvelle : tout n’est pas interdit. L’analyse de flux qui repose sur des données anonymisées est parfaitement légale. Comme le précise un guide pratique sur le sujet : « Anonymous counting data (flow figures without linking them to individuals) falls outside this category and is permitted without an additional legal basis ».
Concrètement, si tu utilises des capteurs infrarouges ou des capteurs de pression pour compter les visiteurs qui passent devant ton stand, tu n’as pas besoin de consentement. Ces données ne sont pas des données personnelles au sens du RGPD.
2.2 Les zones grises à connaître
Mais attention, la frontière est parfois floue. Prenons quelques exemples :
| Type de données | Consentement requis ? |
| Comptage anonyme (infrarouge, capteur de pression) | ❌ Non |
| Adresses IP ou ID d’appareils via Wi-Fi tracking | ✅ Oui |
| Reconnaissance faciale / analyse démographique par caméra | ✅ Oui (consentement explicite) |
| Nom + email via formulaire tactile | ✅ Oui |
| Heatmaps basées sur des images de caméra (sans identification) | ⚠️ Zone grise |
Le Wi-Fi tracking est un cas particulièrement épineux. Les autorités de protection des données considèrent que « many of these uses of Wi-Fi tracking involve the collection and other processing of personal data » et doivent donc être soumises au RGPD.
2.3 Quand faut-il réaliser une AIPD ?
Une Analyse d’Impact relative à la Protection des Données (AIPD) est obligatoire dans certains cas. Notamment lorsque tu procèdes à un « large-scale and/or systematic monitoring of publicly accessible spaces using cameras ».
Un hall de salon professionnel est considéré comme un espace accessible au public. Si tu installes plus de 10 caméras ou si tu mets en place une surveillance intensive, tu dois réaliser une AIPD. Pour un stand moyen avec une ou deux caméras de comptage anonyme, ce n’est généralement pas requis. Mais dès que tu utilises plusieurs caméras avec analyse IA ou que tu relies les données image à des profils CRM, le seuil est vite atteint.
III. Les bonnes pratiques pour une utilisation éthique et conforme
3.1 Le consentement granularisé : l’ère du « tout accepter » est finie
L’un des principes fondamentaux du RGPD est que le consentement doit être granulaire. Autrement dit, tu ne peux pas demander à un visiteur d’accepter en bloc toutes les formes de collecte de données.
Comme le souligne un expert du secteur : « The era of the “agree-all” checkbox is dead. True compliance requires separating administrative consents from marketing consents ».
En pratique, cela signifie que sur ton formulaire d’inscription, tu dois présenter :
- Une case pour accepter les conditions générales d’accès au salon
- Une case séparée pour accepter d’être tracké par reconnaissance faciale
- Une case séparée pour accepter de recevoir des emails des exposants
- Une case séparée pour accepter le partage de tes données avec les sponsors
Chaque case doit être décochée par défaut et nécessiter une action positive du visiteur.
3.2 La philosophie du « privacy-first » fait son chemin
De plus en plus d’organisateurs de salons adoptent une approche privacy-first. C’est le cas par exemple du partenariat entre Zenus et l’IMEX Group, qui utilise des capteurs IA éthiques pour mesurer l’engagement des visiteurs sans jamais enregistrer de vidéo ni collecter de données identifiantes.
Comme l’explique Panos Moutafis, CEO de Zenus : « Design is often seen as subjective, but our technology makes it measurable. Data is the ultimate tool for honoring the people in the room by ensuring their needs are being met ».
Cette approche est pleinement conforme au RGPD et à l’AI Act. La technologie analyse le comportement des foules — le temps passé, les impressions, les émotions — sans jamais identifier individuellement qui que ce soit.
3.3 Ce qui change en 2026 pour les photos d’événements
Tu prends des photos de tes visiteurs pour les publier sur les réseaux sociaux ? En 2026, les règles se sont considérablement durcies. Comme l’indique un guide récent : « No identifiable faces on social media without documented consent (e.g., via digital check-in systems) ».
Pourquoi cette évolution ? Parce que les photos de visages sont désormais considérées comme des données biométriques potentielles. Les plateformes comme Instagram ou LinkedIn utilisent des algorithmes d’IA qui peuvent analyser ces visages, les taguer, les reconnaître. En publiant une photo, tu perds le contrôle sur ces données.
La recommandation pour 2026 est claire : consentement documenté pour toute photo publiée sur les réseaux sociaux. Et le « legitimate interest » n’est plus une excuse valable.
IV. Le cas particulier du lead retrieval : le piège du badge scanné
4.1 Le scandale silencieux des salons
Je vais te révéler quelque chose que peu d’organisateurs osent dire : le lead retrieval — cette pratique consistant à scanner le badge des visiteurs pour récupérer leurs coordonnées — est un véritable champ de mines juridique.
Pourtant, c’est l’une des pratiques les plus courantes dans les salons professionnels. Et elle est en train de devenir illégale dans de nombreux cas.
4.2 Pourquoi le scan de badge ne suffit plus
Sous le RGPD, « the moment an exhibitor scans a badge, that exhibitor becomes a separate data controller with obligations of their own, and the attendee’s registration consent for your event does not automatically cover it ».
Traduction : quand un exposant scanne ton badge, il devient responsable du traitement de tes données. Et le consentement que tu as donné à l’organisateur du salon ne vaut pas pour l’exposant. Chaque exposant doit obtenir son propre consentement pour traiter les données des visiteurs qu’il a scannés.
Et ce n’est pas tout : « A scan alone, with no stated purpose, is not valid consent ». Un simple scan, sans explication claire de l’usage qui sera fait des données, n’est pas un consentement valable.
4.3 Les conséquences pour les organisateurs et exposants
Les amendes peuvent être salées. En cas de non-respect du RGPD, les sanctions peuvent atteindre 4 % du chiffre d’affaires annuel mondial. Et les autorités de contrôle ne rigolent plus. Un organisme comme la GSMA a déjà été sanctionné pour une gestion défaillante des données personnelles collectées lors d’un salon.
V. Guide pratique : ta boîte à outils pour un salon compliant
5.1 Avant le salon : la checklist de préparation
Voici les actions à mener en amont :
- Définir tes finalités : pourquoi collectes-tu ces données ? Sécurité ? Marketing ? Analyse de flux ?
- Choisir ta base légale : consentement, intérêt légitime, obligation légale ?
- Rédiger une politique de confidentialité claire et accessible
- Préparer des formulaires de consentement granulaires (un par finalité)
- Réaliser une AIPD si nécessaire (plus de 10 caméras, analyse IA, etc.)
- Former ton équipe aux bonnes pratiques
5.2 Pendant le salon : les bons réflexes
- Informer les visiteurs dès l’entrée des dispositifs de collecte
- Proposer une alternative à toute technologie obligatoire (ex : entrée sans reconnaissance faciale)
- Ne pas scanner un badge sans avoir obtenu le consentement explicite du visiteur
- Anonymiser les données dès que possible
- Limiter la conservation des données dans le temps (8 semaines maximum pour les leads)
5.3 Après le salon : la gestion des données
- Supprimer les données dont tu n’as plus besoin
- Respecter le droit à l’oubli des visiteurs qui en font la demande
- Documenter toutes tes pratiques (traçabilité obligatoire)
VI. Le mot de l’expert : entretien avec Claire Dubois, consultante en conformité numérique
Moi : Claire, quel est le plus grand malentendu que tu rencontres chez les organisateurs de salons ?
Claire Dubois : Le plus grand malentendu, c’est de croire que « puisque c’est techniquement possible, c’est légalement acceptable ». J’ai vu des organisateurs installer des systèmes de reconnaissance faciale en se disant que « personne ne le saura ». Sauf que les visiteurs le savent, et ils n’aiment pas ça. L’ère du « surveillance sans consentement » est terminée.
Moi : Et concrètement, que conseilles-tu à un organisateur qui veut absolument utiliser ces technologies ?
Claire Dubois : Je lui conseille de se poser trois questions : « Pourquoi j’en ai besoin ? », « Puis-je obtenir le même résultat avec des données anonymisées ? », « Suis-je prêt à justifier ma démarche devant la CNIL ? ». Si la réponse à la troisième question est non, alors il ne faut pas le faire.
Moi : Un dernier conseil ?
Claire Dubois : La confiance des visiteurs est ton actif le plus précieux. Un salon où les gens se sentent surveillés, c’est un salon où ils ne reviendront pas. Les données, oui. Mais pas à n’importe quel prix.
VII. l’équilibre entre innovation et respect
Alors, faut-il jeter aux orties la reconnaissance faciale et l’analyse de flux ? Absolument pas. Ces technologies offrent des possibilités extraordinaires pour comprendre les comportements, optimiser l’expérience visiteur et mesurer le retour sur investissement des exposants.
Mais leur utilisation doit s’inscrire dans un cadre éthique et juridique solide. La technologie ne doit jamais primer sur le respect de la personne. Comme le rappelle si bien l’approche « privacy-first » qui gagne du terrain dans les salons internationaux : « This isn’t about “cameras.” It’s about measuring behavior and experience — safely, anonymously, and ethically ».
L’année 2026 marque un tournant. L’AI Act entre pleinement en vigueur. La CNIL et les autorités européennes de protection des données intensifient leurs contrôles. Les visiteurs sont de plus en plus sensibilisés à la protection de leurs données personnelles. Les organisateurs qui ne s’adapteront pas risquent gros : amendes, réputation ternie, perte de confiance.
Mais ceux qui sauront trouver le bon équilibre entre innovation technologique et respect des droits en sortiront gagnants. Car un salon où les visiteurs se sentent en confiance, c’est un salon où ils reviennent, où ils s’engagent, où ils créent du lien. Et ça, aucun algorithme ne pourra jamais le remplacer.
« La meilleure donnée, c’est celle que tu collectes avec le sourire et le consentement de l’autre. »
Imagine un salon où chaque visiteur porterait un panneau « Je consens à être tracké » ou « Je ne consens pas ». Ce serait plus simple, non ? Mais en attendant, les formulaires de consentement granularisés, c’est la réalité. Et franchement, c’est peut-être moins fun, mais c’est plus durable. Et puis, avoue qu’un visiteur qui a volontairement accepté d’être contacté est un bien meilleur prospect que celui que tu as pisté à son insu. La confiance, ça n’a pas de prix. Même en période de soldes.
❓ FAQ : Vos questions sur la reconnaissance faciale et l’analyse de flux en salon
Q1 : Puis-je utiliser la reconnaissance faciale pour contrôler l’accès à mon salon ?
R : En Europe, la reconnaissance faciale pour le contrôle d’accès est interdite par défaut. Elle n’est autorisée que si tu obtiens le consentement explicite de chaque visiteur et que tu proposes une alternative (badge, QR code, etc.). Même avec consentement, la CNIL considère que ce type de dispositif est « rarement valable » pour les espaces accessibles au public.
Q2 : Le comptage de visiteurs par caméra est-il soumis au RGPD ?
R : Tout dépend de ce que tu fais des images. Si tu utilises des capteurs anonymes (infrarouge, pression) qui ne permettent pas d’identifier les individus, tu n’es pas soumis au RGPD. En revanche, si tu utilises des caméras avec analyse IA qui peuvent identifier ou catégoriser les personnes (âge, sexe, émotions), tu entres dans le champ du RGPD et tu as besoin de consentement.
Q3 : Que risque un organisateur qui utilise la reconnaissance faciale sans consentement ?
R : Les sanctions peuvent être sévères : jusqu’à 4 % du chiffre d’affaires annuel mondial en amende. Mais au-delà de l’amende, c’est la réputation qui est en jeu. Les visiteurs n’apprécient pas d’être filmés à leur insu, et les réseaux sociaux peuvent amplifier un bad buzz en quelques heures.
Q4 : Comment obtenir un consentement valable pour la reconnaissance faciale ?
R : Le consentement doit être libre, spécifique, éclairé et univoque. En pratique : une case à cocher décochée par défaut, une explication claire de l’usage des données, et la possibilité de refuser sans conséquence sur l’accès au salon. Et bien sûr, une traçabilité de ce consentement.
Q5 : Les photos que je prends pendant le salon sont-elles soumises au RGPD ?
R : Oui, si tu les publies sur les réseaux sociaux. En 2026, les photos de visages sont considérées comme des données biométriques potentielles car les plateformes sociales utilisent des algorithmes d’IA pour les analyser. Tu dois donc obtenir un consentement documenté avant de publier toute photo où des visages sont identifiables.
Q6 : Puis-je scanner les badges des visiteurs pour récupérer leurs coordonnées ?
R : Oui, mais avec des conditions très strictes. Chaque exposant qui scanne un badge devient responsable du traitement des données et doit obtenir son propre consentement. Un simple scan, sans explication de l’usage des données, n’est pas un consentement valable.
Q7 : Quelle est la différence entre l’analyse de flux anonyme et la reconnaissance faciale ?
R : L’analyse de flux anonyme compte les visiteurs sans les identifier (compteur infrarouge, capteur de pression). La reconnaissance faciale identifie les individus à partir de leurs traits du visage. La première est autorisée sans consentement, la seconde est interdite par défaut et ne peut être utilisée qu’avec un consentement explicite.
Q8 : L’AI Act interdit-il totalement la reconnaissance faciale ?
R : L’AI Act interdit la reconnaissance faciale en temps réel dans les espaces publics accessibles. Il existe des exceptions pour les forces de l’ordre, mais pas pour les salons professionnels privés. Même avec consentement, la CNIL est très restrictive.
Q9 : Que dois-je faire si un visiteur demande la suppression de ses données ?
R : Tu dois respecter le droit à l’oubli et supprimer toutes les données le concernant dans un délai raisonnable. C’est une obligation légale prévue par le RGPD. Tu dois également pouvoir prouver que tu as bien procédé à cette suppression.
Q10 : Existe-t-il des solutions technologiques « privacy-first » pour analyser le comportement des visiteurs ?
R : Oui, de plus en plus. Des solutions comme Zenus utilisent des capteurs IA éthiques qui analysent le comportement des foules sans jamais enregistrer de vidéo ni collecter de données identifiantes. Ces solutions sont pleinement conformes au RGPD et à l’AI Act.