La CNIL a sanctionné la société américaine Clearview AI d'une amende de 20 millions d'euros, jeudi. L'autorité française reproche à l'entreprise une collecte et une utilisation de données biométriques sans autorisation.
La Commission nationale de l'informatique et des libertés (CNIL) veille au grain, surtout lorsqu'il s'agit de reconnaissance faciale. Elle le prouve avec la lourde sanction prononcée à l'encontre du service américain Clearview AI, condamné à 20 millions d'euros d'amende pour avoir ignoré la mise en demeure de l'autorité française, au sujet de l'utilisation à très grande échelle de son logiciel de reconnaissance faciale.
Clearview AI, des photos dénichées absolument partout sur le Web à des fins d'identification
La société Clearview AI est connue pour aspirer des photos (et captures d'écran de vidéos) issues de nombreux sites web et réseaux sociaux auxquels il est possible d'accéder sans avoir à se connecter spécifiquement. Elle aurait gonflé sa base de données de quelque 20 milliards d'images à travers le monde de cette façon, avec des clichés appartenant à plusieurs dizaines de millions d'internautes français.
Ces photos collectées constituent la base du modèle économique de Clearview AI, qui commercialise l'accès à sa base d'images sous la forme d'un moteur de recherche qui permet de rechercher un individu à partir d'une photographie. Les forces de l'ordre l'utilisent régulièrement pour identifier des victimes ou auteurs de méfaits.
Et pour parvenir à l'identification, Clearview AI crée un gabarit biométrique, une sorte de représentation numérique des caractéristiques physiques d'une personne. Dans le cas de l'entreprise américaine, il s'agit du visage. Les données biométriques sont ainsi particulièrement sensibles, puisque liées à notre identité physique.
Collecte et traitement de données biométriques, aucun consentement recueilli, collaboration laconique avec les autorités… la liste est longue
La CNIL indique avoir reçu des plaintes de particuliers dès le mois de mai 2020 au sujet du logiciel de reconnaissance faciale utilisé par Clearview AI. Après avoir mené son enquête au cours de laquelle elle a collaboré avec ses homologues européens, l'autorité a constaté plusieurs manquements au RGPD, comme le traitement illicite de données personnelles. La firme américaine ne se base sur aucune base légale pour l'utilisation de son logiciel et le traitement des données biométriques dont il se nourrit. En outre, elle ne recueille pas le consentement des personnes concernées, et ne dispose d'aucun intérêt légitime à collecter et utiliser les données.
Parmi les autres manquements, la CNIL note la difficulté des plaignants à exercer leurs droits auprès de Clearview AI. L'entreprise limite par exemple toute demande aux données collectées dans les douze mois précédant la requête et ne daigne répondre qu'après un nombre excessif de demandes provenant d'une même personne.
Le gendarme français des données a par ailleurs constaté et regretté le manque total de coopération de l'entreprise visée. « Tout au long de la procédure, Clearview AI a manqué à son obligation de coopérer avec les services de la CNIL. En effet, la société n’a répondu que de manière très partielle au questionnaire de contrôle qui lui avait été adressé et n’a apporté aucune réponse à la mise en demeure de la présidente de la CNIL du 26 novembre 2021 », explique-t-il.
L'amende de 20 millions d'euros prononcée par la CNIL est assortie d'une demande de suppression des données. L'autorité souhaite également que la firme américaine mette fin immédiatement à la collecte et au traitement de données de personnes situées en France, et ce dans un délai de deux mois. Si au terme du délai, Clearview AI poursuit ses pratiques, l'entreprise sera placée sous astreinte de 100 000 euros par jour de retard.
