Plus de 10 milliards de photos ont été récoltées sur Internet et les réseaux sociaux sans le consentement des personnes concernées.
La mise en demeure de Clearview AI par la CNIL. © CNIL
Clearview AI, la société qui a développé un logiciel de reconnaissance faciale, dont le but est d’aspirer des photos et des vidéos publiques sur Internet et les réseaux sociaux à des fins commerciales, a reçu une mise en demeure de la Commission nationale de l’informatique et des libertés (CNIL). Elle a deux mois pour « cesser ce traitement illicite et supprimer les données » dont elle dispose.
Comment fonctionne le logiciel Clearview AI ?
La firme américaine Clearview AI a développé un logiciel, qui aspire des photographies accessibles gratuitement en ligne sur Internet et sur les réseaux sociaux. « Elle collecte sur ces réseaux l’ensemble des photographies directement accessibles, c’est-à-dire pouvant être consultées sans connexion à un compte. Des images sont également extraites de vidéos disponibles en ligne quelles que soient les plateformes », explique la CNIL. Clearview aura ainsi accumulé plus de 10 milliards d’images à travers le monde. Certaines d’entre elles ont été utilisées par les forces de l’ordre pour reconnaître des auteurs ou des victimes d’infraction.
Cette collecte lui permet de commercialiser l’accès à sa base de données, qui fonctionne comme un moteur de recherche et offre la possibilité de retrouver une personne à partir de sa photo. Pour cela, la société crée un « gabarit biométrique », qui correspond à la « représentation numérique des caractéristiques physiques des personnes (ici, le visage) » et sont utilisées en vue d’identifier une personne de façon unique. Le problème : ces donnés biométriques, qui sont particulièrement sensibles, ont été conçues à partir de photos aspirées depuis la toile sans le consentement des personnes concernées.
Qu’est-ce que la CNIL reproche à Clearview AI ?
Dans sa mise en demeure, qui est le résultat d’une enquête menée par la CNIL et ses homologues européens à la suite de plaintes envoyées par des particuliers depuis mai 2020 et de l’association Privacy International, la CNIL établit 2 manquements distincts :
- La collecte d’images et l’utilisation des données biométriques illégales, qui ont conduit à « un traitement illicite de données personnelles », conformément à l’article 6 du RGPD,
- L’absence de prise en compte « satisfaisante et effective » des droits des personnes concernées, qui n’avaient pas la possibilité d’accéder à leurs données ni d’obtenir la suppression des photos récoltées à leur insu (articles 12, 15 et 17 du RGPD).
De son côté, Clearview AI justifie ses pratiques et l’utilisation de son logiciel de reconnaissance faciale en soutenant qu’elle n’a pas besoin d’obtenir le consentement des personnes, car les photos récoltées sont partagées de manière publique par leurs utilisateurs sur la toile.
Que va-t-il se passer ensuite ?
À la suite de cette mise en demeure, Clearview AI a désormais deux mois pour faire cesser les manquements constatés par la CNIL, à savoir stopper « la collecte et l’usage des données de personnes se trouvant sur le territoire français en l’absence de base légale » et « faciliter l’exercice des droits des personnes concernées et de faire droit aux demandes d’effacement formulées ». Dans le cas contraire, une fois le délai expiré, des sanctions pourront être formulées à l’encontre de Clearview AI, comme une amende pouvant aller jusqu’à 10 % de son chiffre d’affaires annuel mondial.
À noter que la firme américaine fait déjà l’objet d’autres poursuites à l’international, notamment par l’Information Commissioner’s Office (ICO), l’équivalent de la CNIL au Royaume-Uni, par 3 organismes provinciaux de surveillance de la vie privée au Canada, ainsi que par les autorités autrichiennes, italiennes ou encore grecques.
À lire également
Reconnaissance faciale : une start-up récolte et exploite 3 milliards de photos d’individus
Recevez par email toute l’actualité du digital
