La Cnil tente d’empêcher Clearview AI de collecter des photos personnelles en France

La Cnll sanctionne d’une amende de 20 millions d’euros la jeune société Clearview AI, fondée en 2017 à New York, à cause de ses pratiques illégales vis à vis du RGPD. Mais on ne voit pas vraiment ce que cela va faire à la société au vu de son indifférence à ce que la Cnil lui reproche. Il est essentiellement demandé à Clearview AI de cesser son usage sans leur accord des photos des personnes présentes en France pour alimenter ses algorithmes de reconnaissance faciale.

La mise en demeure est restée sans réponse

La Cnil annonce avoir prononcé sa sanction à la suite d’une mise en demeure restée sans réponse. La Cnil enjoint également à Clearview AI de cesser de collecter et d’utiliser, sans base légale, les données des personnes se trouvant en France. Il lui est demandé de supprimer celles déjà collectées.

La Cnil s’est intéressée à Clearview AI à partir de mai 2020. L’autorité a reçu des plaintes de particuliers au sujet du logiciel de reconnaissance faciale de Clearview AI et a ouvert une enquête. En mai 2021, la Cnil a été alertée également par l’association Privacy International.

La Cnil rappelle que la société Clearview AI n’a pas d’établissement en Europe. Cela a d’ailleurs mené à une coopération de la Cnil avec ses homologues européens afin de partager le résultat des investigations, chaque autorité étant compétente pour agir sur son propre territoire dans ce cas.

Plusieurs manquements au RGPD

La Cnil déclare que ses investigations ont mis à jour plusieurs manquements au RGPD. La collecte et l’utilisation des données biométriques s’effectue sans base légale (manquement à l’article 6 du RGPD) ; absence de prise en compte satisfaisante et effective des droits des personnes (articles 12, 15 et 17 du RGPD).

Le 26  novembre 2021, la présidente de la Cnil avait mis en demeure Clearview AI de cesser la collecte et l’usage des données de personnes se trouvant sur le territoire français en l’absence de base légale ; de faciliter l’exercice des droits des personnes concernées et de faire droit aux demandes d’accès et d’effacement formulées.

La société Clearview AI disposait d’un délai de deux mois pour répondre. Elle n’a apporté aucune réponse à cette mise en demeure. Dès lors, la Cnil a décidé de prononcer une sanction de 20 millions d’euros en application de l’article 83 du RGPD.

Une astreinte de 100 000 € par jour de retard

Clearview AI devra supprimer les données des personnes qu’elle a déjà collectées, dans un délai de deux mois. La formation restreinte a assorti cette injonction d’une astreinte de 100 000 € par jour de retard au-delà de ces deux mois.
La Cnil déclare que Clearview AI ne recueille pas le consentement des personnes concernées pour aspirer et utiliser leurs photographies afin d’alimenter son logiciel.

Selon la Cnil, Clearview AI ne dispose pas non plus d’un intérêt légitime à collecter et utiliser ces données. La Cnil pointe que le procédé est intrusif et massif pour récupérer les images présentes sur internet des millions d’internautes en France. « Ces personnes, dont les photographies ou vidéos sont accessibles sur divers sites web et des réseaux sociaux, ne s’attendent raisonnablement pas à ce que leurs images soient traitées par la société pour alimenter un système de reconnaissance faciale pouvant être utilisé par des États à des fins policières » avertit la Cnil.

Dans le même temps, les plaintes reçues par la Cnil ont révélé les difficultés rencontrées par les plaignants pour exercer leurs droits auprès de la société Clearview AI (articles 12, 15 et 17 du RGPD). Clearview limite le droit d’accès aux données collectées durant les douze mois précédant la demande et elle restreint l’exercice de ce droit à deux fois par an. Enfin, elle ne répond à certaines demandes qu’à l’issue d’un nombre excessif de demandes d’une même personne.

Clearview ne répond pas de manière effective aux demandes d’effacement

De plus, Clearview AI ne répond pas de manière effective aux demandes d’accès et d’effacement qui lui sont adressées. Elle fournit des réponses partielles ou ne répond pas du tout aux demandes.

La Cnil souligne enfin l’absence de coopération avec ses services (article 31 du RGPD). Tout au long de la procédure, Clearview AI a manqué à son obligation de coopérer avec les services de la Cnil. En effet, la société n’a répondu que de manière très partielle au questionnaire de contrôle qui lui avait été adressé et n’a apporté aucune réponse à la mise en demeure de la présidente de la Cnil du 26 novembre 2021.