[Brèves] Reconnaissance faciale : mise en demeure de la société Clearview AI de cesser la réutilisation de photographies accessibles sur internet

► En réponse à un traitement illicite de données personnelles et à l’absence de prise en compte satisfaisante et effective des droits des personnes, la présidente de la CNIL a mis en demeure la société Clearview AI de cesser la collecte et l’usage des données de personnes se trouvant sur le territoire français en l’absence de base légale, de faciliter l’exercice des droits des personnes concernées et de faire droit aux demandes d’effacement formulées.

Le fonctionnement du service de reconnaissance faciale de la société Clearview AI. La société a développé un logiciel de reconnaissance faciale dont la base de données repose sur l’aspiration de photographies et de vidéos publiquement accessibles sur internet. Cette collecte lui permet de commercialiser l'accès à son moteur de recherche où une personne peut être recherchée à l'aide d'une photographie. 

Un « gabarit biométrique » est ainsi constitué sans consentement des personnes concernées. Il s'agit d'une représentation numérique des caractéristiques physiques des personnes (ici, le visage). Ces données biométriques sont particulièrement sensibles, notamment parce qu’elles sont liées à l'identité physique et qu’elles permettent d'identifier les individus de façon unique.

À noter que la société offre ce service à des forces de l’ordre afin d’identifier des auteurs ou des victimes d’infraction et qu'elle s’est appropriée plus de 10 milliards d’images à travers le monde !

Procédure. À partir de mai 2020, la CNIL a reçu des plaintes de particuliers au sujet du logiciel de reconnaissance faciale de la société Clearview AI et a ouvert une enquête. En mai 2021, l’association Privacy International a également alerté la CNIL sur cette pratique.

Au cours de cette procédure, la CNIL a coopéré avec ses homologues européens afin de partager le résultat des investigations, chaque autorité étant compétente pour agir sur son propre territoire en raison de l’absence d’établissement de la société en Europe.

Un traitement illicite de données personnelles (« RGPD », art. 6). Pour être licite, un traitement de données personnelles doit reposer sur l’une des bases légales visées à l’article 6 du « RGPD » (Règlement n° 2016/679 du 27 avril 2016 N° Lexbase : L0189K8I).

Le logiciel de reconnaissance faciale Clearview AI, qui ne respecte pas cette règle, est donc illicite.

En effet, cette société ne recueille pas le consentement des personnes concernées pour aspirer et utiliser leurs photographies afin d’alimenter son logiciel.

Elle ne dispose pas non plus d’un intérêt légitime à collecter et utiliser ces données, notamment au regard du caractère particulièrement intrusif et massif du procédé qui permet de récupérer les images présentes sur internet de plusieurs dizaines de millions d’internautes en France. Ces personnes, dont les photographies ou vidéos sont accessibles sur divers sites web et réseaux sociaux, ne s’attendent raisonnablement pas à ce que leurs images soient traitées par la société pour alimenter un système de reconnaissance faciale pouvant être utilisé par des États à des fins policières.

La gravité de ce manquement conduit la présidente de la CNIL à enjoindre à la société Clearview AI de cesser, faute de base légale, la collecte et l’usage des données de personnes se trouvant sur le territoire français, dans le cadre du fonctionnement du logiciel de reconnaissance faciale qu’elle commercialise.

Les droits des personnes non respectés (« RGPD », art. 12, 15 et 17). Les plaintes reçues par la CNIL ont révélé les difficultés rencontrées par les plaignants pour exercer leurs droits auprès de la société Clearview AI.

D’une part, la société ne facilite pas l’exercice du droit d’accès des personnes concernées :

• en limitant l’exercice de ce droit aux données collectées durant les douze mois précédant la demande ;
• en restreignant l’exercice de ce droit à deux fois par an, sans justification ;
• en ne répondant à certaines demandes qu’à l’issue d’un nombre excessif de demandes d’une même personne.

D’autre part, la société ne répond pas de manière effective aux demandes d’accès et d’effacement qui lui sont adressées. Elle fournit en effet des réponses partielles ou ne répond pas du tout aux demandes.

La société, qui manque à ses obligations en vertu du « RGPD », est donc mise en demeure de :

• faciliter l’exercice des droits des personnes concernées ;
• faire droit aux demandes d’effacement formulées.

La société Clearview AI dispose d’un délai de deux mois pour respecter les injonctions formulées dans la mise en demeure et en justifier auprès de la CNIL. Si, à l’issue de ce délai, elle ne s’est pas conformée, la présidente de la CNIL aura la possibilité de saisir la formation restreinte de la CNIL qui pourra prononcer une sanction, notamment pécuniaire.

© Reproduction interdite, sauf autorisation écrite préalable