Reconnaissance faciale : Clearview IA condamnée à 20 millions d’euros par la Cnil

Clearview IA est une jeune entreprise américaine de reconnaissance faciale. Cette start-up a développé un logiciel qui permet d’identifier une personne avec sa photographie. Pour ce faire, elle « aspire des photographies provenant de très nombreux sites web, y compris des réseaux sociaux », explique la Commission nationale de l’informatique et des libertés, et en extrait des visages.

Clearview IA a ainsi constitué une banque de 20 milliards d’images qu’elle commercialise sur Internet, notamment aux forces de l’ordre américaines afin qu’elles identifient les auteurs d’infractions, mais aussi à des sociétés privées.

Or, tout ceci se fait sans le consentement des personnes concernées.

Entre mai et décembre 2020, plusieurs personnes, ne parvenant pas à exercer leur droit d’accès et d’effacement auprès de Clearview, ont saisi la Cnil. L’ONG Privacy international, qui milite notamment contre la violation de la vie privée, a à son tour saisi d’une plainte la Commission le 27 mai 2021.

Ces différentes plaintes ont conduit à l’ouverture d’une enquête par la Cnil qui s’est également appuyé sur ses homologues européens pour mener à bien les investigations. Cette coopération européenne a permis le partage des résultats des enquêtes de chacune des autorités de contrôle.

Dans un communiqué transmis à l’AFP, Hoan Ton-That, le n°1 de l’entreprise américaine, explique qu’« il n’y a aucun moyen de déterminer si une personne est de nationalité française, uniquement à partir d’une photo publique sur internet, et il est donc impossible de supprimer les données des résidents français. »

Il a également précisé que Clearview AI n’avait pas d’enseigne commerciale ni de clients dans l’Union européenne, et que son entreprise n’avait pas d’activité la soumettant au RGPD.

L’étau se resserre. En effet, Clearview IA avait déjà été condamnée à de fortes amendes cette année par le Royaume-Uni (8,5 M€), l’Italie et la Grèce (20 M€ chacun). Et à supprimer les données personnelles des habitants de ces pays.

Elle a également était attaquée aux États-Unis dans l’Illinois par l’association Aclu (Union américaine pour les libertés civiles) pour non-respect des lois de cet État sur la confidentialité des données biométriques. À la suite de quoi, la start-up a dû accepter, le 9 mai 2022, de « ne plus vendre sa base de données biométriques à des entreprises privées », note Le Monde. Le journal poursuit : « L’État de l’Illinois et sa police ne pourront plus y accéder, et ce pendant cinq ans. En revanche, les services fédéraux, comme le service des douanes et de la protection des frontières, ainsi que les forces de l’ordre des autres États, seront toujours autorisés. »